Wiedza → przepis → działanie. Odnośniki do przepisów otwierają ich brzmienie z bazy Replicord; na końcu sekcji - podstawa prawna i narzędzie, którym wykonasz obowiązek.
DORA nie zakazuje korzystania z chmury, centrów danych ani zewnętrznych dostawców oprogramowania - wymaga, żeby instytucja finansowa panowała nad ryzykiem, które z nimi przychodzi. Ryzyko ze strony zewnętrznych dostawców usług ICT jest częścią ryzyka ICT i zarządza się nim w tych samych ramach, które opisuje artykuł o zarządzaniu ryzykiem ICT (art. 28 ust. 1). Odpowiedzialności nie da się przy tym przekazać: instytucja, która zawarła umowę o usługi ICT, przez cały czas ponosi pełną odpowiedzialność za wypełnianie obowiązków z DORA i przepisów o usługach finansowych (art. 28 ust. 1 lit. a).
Artykuł prowadzi przez cały cykl współpracy z dostawcą - od strategii i oceny przed podpisaniem umowy, przez obowiązkowe postanowienia umowne i podwykonawstwo, po rejestr informacji, monitorowanie i wyjście z umowy. Szczegóły doprecyzowują rozporządzenia delegowane 2024/1773 (polityka korzystania z usług ICT wspierających funkcje krytyczne lub istotne) i 2025/532 (podwykonawstwo) oraz rozporządzenie wykonawcze 2024/2956 (wzory rejestru informacji).
Pojęcia, od których wszystko zależy
Zakres obowiązków wobec dostawcy zależy przede wszystkim od tego, czy usługa wspiera funkcję krytyczną lub istotną. Warto więc zacząć od definicji:
| Pojęcie | Co oznacza | Przepis |
|---|---|---|
| Ryzyko ze strony zewnętrznych dostawców usług ICT | ryzyko ICT związane z korzystaniem z usług dostawców lub ich podwykonawców, także w ramach outsourcingu | art. 3 pkt 18 |
| Zewnętrzny dostawca usług ICT | przedsiębiorstwo świadczące usługi ICT | art. 3 pkt 19 |
| Dostawca usług ICT wewnątrz grupy | przedsiębiorstwo z grupy finansowej świadczące głównie usługi ICT dla podmiotów tej grupy | art. 3 pkt 20 |
| Usługi ICT | usługi cyfrowe i usługi w zakresie danych świadczone w sposób ciągły za pośrednictwem systemów ICT | art. 3 pkt 21 |
| Krytyczna lub istotna funkcja | funkcja, której zakłócenie w istotny sposób wpłynęłoby na wyniki finansowe, bezpieczeństwo lub ciągłość usług albo na wypełnianie warunków zezwolenia | art. 3 pkt 22 |
| Ryzyko koncentracji w obszarze ICT | uzależnienie od jednego lub kilku powiązanych kluczowych dostawców, którego skutki mogą zagrozić funkcjom krytycznym | art. 3 pkt 29 |
Zarządzanie ryzykiem dostawców odbywa się w świetle zasady proporcjonalności - z uwzględnieniem charakteru i znaczenia zależności oraz krytyczności usługi (art. 28 ust. 1 lit. b).
Strategia i polityka korzystania z usług ICT
Podmioty finansowe inne niż mikroprzedsiębiorstwa i inne niż podmioty z art. 16 ust. 1 przyjmują - jako część ram zarządzania ryzykiem ICT - strategię dotyczącą ryzyka ze strony dostawców i regularnie ją przeglądają (art. 28 ust. 2). Strategia obejmuje politykę korzystania z usług ICT wspierających funkcje krytyczne lub istotne. Politykę zatwierdza i okresowo przegląda organ zarządzający (art. 5 ust. 2 lit. h), a ten sam organ regularnie przegląda ryzyka zidentyfikowane w takich umowach.
Co zawiera polityka według RTS 2024/1773
Polityka określa wymogi dla każdego głównego etapu cyklu życia umowy (art. 4 rozporządzenia 2024/1773):
| Etap | Co ustala polityka | Przepis |
|---|---|---|
| Decyzje | obowiązki organu zarządzającego, w tym jego udział w decyzjach o usługach dla funkcji krytycznych | lit. a |
| Planowanie | ocena ryzyka, należyta staranność, zatwierdzanie nowych umów i istotnych zmian | lit. b |
| Zaangażowanie | udział jednostek biznesowych i kontroli wewnętrznej | lit. c |
| Wdrożenie i monitorowanie | zarządzanie umową, także na poziomie grupy | lit. d |
| Dokumentacja | rejestry, w tym rejestr informacji | lit. e |
| Wyjście | strategie wyjścia i procesy wypowiedzenia | lit. f |
Podmioty inne niż mikroprzedsiębiorstwa mają też funkcję monitorowania ustaleń z dostawcami ICT albo wyznaczają odpowiedzialnego członka kadry kierowniczej wyższego szczebla (art. 5 ust. 3).
Zanim podpiszesz umowę
Najwięcej ryzyka da się ograniczyć przed podpisem. DORA wymienia, co instytucja robi przed zawarciem każdej umowy o usługi ICT:
Czy przed zawarciem umowy wykonano ocenę z art. 28 ust. 4 DORA?
Lista pomocnicza: zaznaczenia zostają tylko w tym oknie i nie są nigdzie zapisywane. Pełna lista nie oznacza zgodności z przepisami.
Instytucja może zawierać umowy wyłącznie z dostawcami, którzy przestrzegają odpowiednich standardów bezpieczeństwa informacji; przy funkcjach krytycznych lub istotnych należycie uwzględnia, czy dostawca stosuje najbardziej aktualne i najwyższe standardy (art. 28 ust. 5). Ocenę ryzyka ex ante, należytą staranność i konflikty interesów rozpisują art. 5-7 rozporządzenia 2024/1773.
Ryzyko koncentracji
Przy usługach dla funkcji krytycznych lub istotnych instytucja sprawdza, czy umowa nie doprowadzi do zawarcia jej z dostawcą, którego nie można łatwo zastąpić, albo do wielu takich umów z tym samym lub blisko powiązanymi dostawcami (art. 29 ust. 1). Rozważa przy tym korzyści i koszty rozwiązań alternatywnych, np. korzystania z różnych dostawców. Przy dalszym podwykonawstwie, dostawcy z państwa trzeciego i długich łańcuchach podwykonawców bierze pod uwagę dodatkowe ryzyka: prawo upadłościowe, odzyskiwanie danych, ochronę danych w państwie trzecim i zdolność nadzoru (art. 29 ust. 2).
Co musi zawierać umowa
Prawa i obowiązki stron są wyraźnie przypisane i określone na piśmie, a cała umowa - wraz z klauzulami o gwarantowanym poziomie usług - jest zawarta w jednym dokumencie w formie pisemnej albo w innym trwałym formacie umożliwiającym pobranie (art. 30 ust. 1).
Postanowienia obowiązkowe w każdej umowie
Czy umowa o usługi ICT zawiera elementy z art. 30 ust. 2 DORA?
Lista pomocnicza: zaznaczenia zostają tylko w tym oknie i nie są nigdzie zapisywane. Pełna lista nie oznacza zgodności z przepisami.
Dodatkowo przy funkcjach krytycznych lub istotnych
| Element | Przepis |
|---|---|
| Pełne opisy poziomów usług z ilościowymi i jakościowymi celami, umożliwiające monitorowanie i działania naprawcze | art. 30 ust. 3 lit. a |
| Okresy wypowiedzenia i obowiązki sprawozdawcze dostawcy, w tym o zmianach wpływających na świadczenie usług | lit. b |
| Wdrażanie i testowanie planów awaryjnych przez dostawcę, jego środki bezpieczeństwa ICT | lit. c |
| Udział dostawcy w TLPT instytucji i pełna współpraca | lit. d |
| Prawo do bieżącego monitorowania: nieograniczony dostęp, kontrola i audyt, współpraca przy kontrolach na miejscu | lit. e |
| Strategie wyjścia z obowiązkowym okresem przejściowym | lit. f |
Mikroprzedsiębiorstwo może uzgodnić z dostawcą, że jego prawa dostępu, kontroli i audytu wykonuje niezależna osoba trzecia wyznaczona przez dostawcę (art. 30 ust. 3, akapit ostatni). Przy negocjacjach strony rozważają standardowe klauzule umowne opracowane przez organy publiczne (art. 30 ust. 4). Wymogi wobec klauzul w polityce instytucji określa art. 8 rozporządzenia 2024/1773.
Podwykonawstwo
Umowa wskazuje, czy podwykonawstwo usługi wspierającej funkcję krytyczną lub istotną jest dozwolone i na jakich warunkach (art. 30 ust. 2 lit. a). Elementy, które instytucja określa i ocenia przy takim podwykonawstwie, doprecyzowuje rozporządzenie delegowane 2025/532:
| Zagadnienie | Przepis |
|---|---|
| Należyta staranność i ocena ryzyka przed zgodą na podwykonawstwo | art. 3 |
| Warunki w umowie: odpowiedzialność dostawcy za podwykonawców, ich monitorowanie, sprawozdawczość, ocena ryzyka lokalizacji | art. 4 |
| Istotne zmiany w podwykonawstwie: uprzedzenie, termin na sprzeciw, wprowadzenie dopiero po akceptacji | art. 5 |
| Wypowiedzenie umowy z dostawcą | art. 6 |
Dostawca informuje instytucję o planowanych istotnych zmianach w podwykonawstwie z odpowiednim wyprzedzeniem, a umowa zawiera rozsądny termin, w którym instytucja zatwierdza zmiany albo zgłasza sprzeciw (art. 5 ust. 1, ust. 2). Jeśli zmiana przekracza tolerancję ryzyka instytucji, ta zgłasza sprzeciw i żąda modyfikacji przed wprowadzeniem zmiany (art. 5 ust. 4).
Rejestr informacji
Wszystkie podmioty finansowe utrzymują i aktualizują - na poziomie podmiotu oraz subskonsolidowanym i skonsolidowanym - rejestr informacji o wszystkich ustaleniach umownych dotyczących usług ICT (art. 28 ust. 3). Rejestr odróżnia umowy wspierające funkcje krytyczne lub istotne od pozostałych.
Wzory rejestru określa rozporządzenie wykonawcze 2024/2956: ogólne wymogi wobec wzorów (art. 3), format danych (art. 4), zawartość (art. 5) i zakres na poziomie grupy (art. 6). Każdy dostawca jest w rejestrze identyfikowany kodem, np. LEI albo EUID.
Monitorowanie, audyt i wypowiedzenie
Korzystając z praw dostępu, kontroli i audytu, instytucja z góry - według analizy ryzyka - określa częstotliwość audytów i obszary kontroli, stosując powszechnie przyjęte standardy audytu; przy usługach o dużej złożoności technicznej sprawdza, czy audytorzy mają odpowiednie umiejętności (art. 28 ust. 6). Polityka określa środki i kluczowe wskaźniki bieżącego monitorowania dostawcy oraz konsekwencje niedotrzymania poziomów usług (art. 9 rozporządzenia 2024/1773).
Umowa musi dawać możliwość wypowiedzenia co najmniej w czterech sytuacjach (art. 28 ust. 7):
- poważne naruszenie przez dostawcę przepisów albo warunków umowy (lit. a);
- okoliczności wykryte w monitorowaniu, które mogą zmienić wykonywanie umowy, w tym istotne zmiany po stronie dostawcy (lit. b);
- wykazane słabości dostawcy w zarządzaniu ryzykiem ICT, zwłaszcza w ochronie danych (lit. c);
- sytuacja, w której właściwy organ nie może już skutecznie nadzorować instytucji z powodu umowy (lit. d).
Strategie i plany wyjścia
Dla usług ICT wspierających funkcje krytyczne lub istotne instytucja ma strategie wyjścia, które uwzględniają awarię dostawcy, pogorszenie jakości usług, zakłócenia działalności i wypowiedzenie umowy (art. 28 ust. 8). Wyjście z umowy ma być możliwe bez zakłóceń działalności, bez ograniczenia zgodności z wymogami regulacyjnymi i bez szkody dla ciągłości i jakości usług dla klientów.
Umowa dla funkcji krytycznych przewiduje obowiązkowy okres przejściowy, w którym dostawca nadal świadczy usługi, a instytucja migruje do innego rozwiązania (art. 30 ust. 3 lit. f).
Kluczowi dostawcy pod nadzorem europejskim
Część dostawców - tych o kluczowym znaczeniu dla sektora finansowego - podlega bezpośredniemu nadzorowi europejskich urzędów nadzoru. Europejskie urzędy nadzoru wyznaczają kluczowych dostawców i dla każdego z nich wiodący organ nadzorczy (art. 31 ust. 1), według kryteriów z art. 31 ust. 2 doprecyzowanych w rozporządzeniu delegowanym 2024/1502. Wiodący organ nadzorczy może m.in. żądać informacji, prowadzić dochodzenia i kontrole oraz wydawać zalecenia (art. 35 ust. 1).
Kluczowy dostawca w ciągu 60 dni kalendarzowych informuje, czy zastosuje się do zaleceń, albo wyjaśnia, dlaczego nie (art. 42 ust. 1).
DORA a umowa powierzenia z RODO
Gdy dostawca ICT przetwarza dane osobowe, ta sama umowa musi spełniać wymogi DORA i art. 28 RODO (umowa powierzenia przetwarzania). Zakresy się pokrywają, ale nie są identyczne:
| Temat | DORA | RODO (art. 28) |
|---|---|---|
| Forma | jeden dokument pisemny albo trwały format (art. 30 ust. 1) | umowa lub inny instrument prawny, na piśmie, także elektronicznej |
| Bezpieczeństwo danych | dostępność, autentyczność, integralność, poufność - wszystkich danych (art. 30 ust. 2 lit. c) | środki z art. 32 RODO - dla danych osobowych |
| Podwykonawcy | warunki podwykonawstwa przy funkcjach krytycznych (art. 30 ust. 2 lit. a) | zgoda administratora na dalsze powierzenie |
| Miejsca przetwarzania | regiony lub kraje i uprzedzenie o zmianie (art. 30 ust. 2 lit. b) | zasady przekazywania danych do państw trzecich |
| Koniec umowy | dostęp, odzyskanie i zwrot danych, okres przejściowy (art. 30 ust. 2 lit. d) | usunięcie albo zwrot danych osobowych |
Najczęstsze pytania
Co to jest rejestr informacji i komu się go przekazuje?
To prowadzony przez instytucję wykaz wszystkich umów o usługi ICT - na poziomie podmiotu oraz grupy - z odróżnieniem umów wspierających funkcje krytyczne lub istotne (art. 28 ust. 3). Co najmniej raz w roku instytucja przekazuje właściwemu organowi wskazane informacje, a na żądanie - pełny rejestr albo jego sekcje. Wzory określa rozporządzenie wykonawcze 2024/2956.
Czy każda umowa z dostawcą ICT musi zawierać postanowienia z art. 30?
Tak - elementy z art. 30 ust. 2 obejmują każdą umowę o usługi ICT. Umowy dotyczące usług wspierających funkcje krytyczne lub istotne zawierają dodatkowo elementy z art. 30 ust. 3, m.in. pełne prawa audytu, udział w TLPT i okres przejściowy przy wyjściu.
Czy mikroprzedsiębiorstwo musi mieć strategię dotyczącą ryzyka dostawców ICT?
Nie - obowiązek przyjęcia strategii z art. 28 ust. 2 nie dotyczy mikroprzedsiębiorstw ani podmiotów z art. 16 ust. 1. Mikroprzedsiębiorstwo nadal prowadzi rejestr informacji, ocenia umowy przed ich zawarciem, stosuje postanowienia z art. 30 i ma strategie wyjścia dla funkcji krytycznych lub istotnych.
Jak często trzeba testować plan wyjścia?
DORA nie określa częstotliwości. Plany wyjścia mają być „wystarczająco przetestowane” zgodnie z kryteriami proporcjonalności z art. 4 ust. 2 i okresowo przeglądane (art. 28 ust. 8); polityka z rozporządzenia 2024/1773 wymaga okresowego przeglądu i testowania udokumentowanego planu (art. 10).
Czy można korzystać z jednego dostawcy chmury dla kilku funkcji krytycznych?
Można, ale przed każdą taką umową instytucja ocenia ryzyko koncentracji: czy dostawcę można łatwo zastąpić i czy nie ma już wielu umów z nim albo z blisko powiązanymi dostawcami (art. 29 ust. 1), oraz rozważa korzyści i koszty rozwiązań alternatywnych.
Podstawa prawna
Przepisy, na które powołuje się artykuł. Brzmienie pochodzi z bazy aktów prawnych Replicord, a oficjalny tekst - z EUR-Lex.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Tekst mający znaczenie dla EOG)
- DORAart. 3 pkt 18
- DORAart. 3 pkt 19
- DORAart. 3 pkt 20
- DORAart. 3 pkt 21
- DORAart. 3 pkt 22
- DORAart. 3 pkt 29
- DORAart. 5 ust. 2 lit. h
- DORAart. 5 ust. 3
- DORAart. 28 ust. 1
- DORAart. 28 ust. 1 lit. a
- DORAart. 28 ust. 1 lit. b
- DORAart. 28 ust. 2
- DORAart. 28 ust. 3
- DORAart. 28 ust. 4
- DORAart. 28 ust. 4 lit. a
- DORAart. 28 ust. 4 lit. b
- DORAart. 28 ust. 4 lit. c
- DORAart. 28 ust. 4 lit. d
- DORAart. 28 ust. 4 lit. e
- DORAart. 28 ust. 5
- DORAart. 28 ust. 6
- DORAart. 28 ust. 7
- DORAart. 28 ust. 7 lit. a
- DORAart. 28 ust. 7 lit. b
- DORAart. 28 ust. 7 lit. c
- DORAart. 28 ust. 7 lit. d
- DORAart. 28 ust. 8
- DORAart. 29 ust. 1
- DORAart. 29 ust. 2
- DORAart. 30 ust. 1
- DORAart. 30 ust. 2
- DORAart. 30 ust. 2 lit. a
- DORAart. 30 ust. 2 lit. b
- DORAart. 30 ust. 2 lit. c
- DORAart. 30 ust. 2 lit. d
- DORAart. 30 ust. 2 lit. e
- DORAart. 30 ust. 2 lit. f
- DORAart. 30 ust. 2 lit. g
- DORAart. 30 ust. 2 lit. h
- DORAart. 30 ust. 2 lit. i
- DORAart. 30 ust. 3
- DORAart. 30 ust. 3 lit. a
- DORAart. 30 ust. 3 lit. b
- DORAart. 30 ust. 3 lit. c
- DORAart. 30 ust. 3 lit. d
- DORAart. 30 ust. 3 lit. e
- DORAart. 30 ust. 3 lit. f
- DORAart. 30 ust. 4
- DORAart. 31 ust. 1
- DORAart. 31 ust. 2
- DORAart. 35 ust. 1
- DORAart. 42 ust. 1
Rozporządzenie delegowane Komisji (UE) 2024/1773 z dnia 13 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych doprecyzowujących szczegółową treść polityki w zakresie ustaleń umownych dotyczących korzystania z usług ICT wspierających krytyczne lub istotne funkcje świadczonych przez zewnętrznych dostawców usług ICT
Rozporządzenie delegowane Komisji (UE) 2025/532 z dnia 24 marca 2025 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających elementy, które podmiot finansowy musi określić i ocenić, zlecając podwykonawstwo usług ICT wspierających krytyczne lub istotne funkcje
Rozporządzenie wykonawcze Komisji (UE) 2024/2956 z dnia 29 listopada 2024 r. ustanawiające wykonawcze standardy techniczne do celów stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do standardowych wzorów na potrzeby rejestru informacji
Narzędzia Replicord do tego tematu
Bezpłatne, bez zakładania konta. Dane, które wpiszesz, zostają na tym urządzeniu.
Opracowanie ma charakter informacyjny i nie jest poradą prawną. Rozróżniamy wymogi prawne (z brzmieniem przepisu) od interpretacji i dobrych praktyk. Brzmienie przepisów pochodzi z bazy aktów prawnych Replicord, która śledzi zmiany w źródłach urzędowych; wiążący jest tekst opublikowany w Dzienniku Urzędowym UE.