Wiedza → przepis → działanie. Odnośniki do przepisów otwierają ich brzmienie z bazy Replicord; na końcu sekcji - podstawa prawna i narzędzie, którym wykonasz obowiązek.
Ramy zarządzania ryzykiem ICT są tyle warte, ile wytrzymają w zderzeniu z rzeczywistością. Rozdział IV DORA (art. 24-27) wymaga, żeby instytucja to sprawdzała: regularnie, według planu i niezależnie. Przepisy mają dwa poziomy. Pierwszy - program testowania z art. 24 i 25 - dotyczy wszystkich podmiotów innych niż mikroprzedsiębiorstwa. Drugi - zaawansowane testy penetracyjne ukierunkowane przez analizę zagrożeń (TLPT) z art. 26 i 27 - tylko podmiotów wskazanych przez organy nadzoru.
Testowanie jest jednym z elementów strategii operacyjnej odporności cyfrowej (art. 6 ust. 8 lit. g), a jego wnioski zasilają ocenę ryzyka (art. 13 ust. 3) - więcej o tym w artykule o zarządzaniu ryzykiem ICT. Szczegóły TLPT określa rozporządzenie delegowane (UE) 2025/1190, przygotowane zgodnie z ramami TIBER-EU (art. 26 ust. 11).
Program testowania operacyjnej odporności cyfrowej
Podmioty finansowe inne niż mikroprzedsiębiorstwa ustanawiają i utrzymują prawidłowy i kompleksowy program testowania, który jest integralną częścią ram zarządzania ryzykiem ICT, i przeglądają go (art. 24 ust. 1). Celem jest ocena gotowości do obsługi incydentów, wykrycie słabości, niedoskonałości i luk oraz szybkie wdrożenie środków naprawczych.
| Wymóg | Przepis |
|---|---|
| Program obejmuje szereg ocen, testów, metodyk, praktyk i narzędzi zgodnie z art. 25 i 26 | art. 24 ust. 2 |
| Podejście oparte na analizie ryzyka: zmieniające się zagrożenia, szczególne ryzyka, krytyczność zasobów i usług | art. 24 ust. 3 |
| Testy przeprowadzają niezależne strony wewnętrzne lub zewnętrzne; tester wewnętrzny - z wystarczającymi zasobami i bez konfliktu interesów | art. 24 ust. 4 |
| Procedury ustalania priorytetów, klasyfikowania i usuwania problemów oraz wewnętrzne zatwierdzanie, że słabości w pełni usunięto | art. 24 ust. 5 |
| Co najmniej raz w roku odpowiednie testy wszystkich systemów i aplikacji ICT wspierających funkcje krytyczne lub istotne | art. 24 ust. 6 |
Jakie testy przewiduje DORA
Program przewiduje - zgodnie z kryteriami proporcjonalności - odpowiednie testy, „takie jak” (art. 25 ust. 1):
| Test | Do czego służy (opis redakcji) |
|---|---|
| oceny podatności i skanowanie | wyszukanie znanych słabości w systemach i aplikacjach |
| analizy otwartych źródeł informacji | sprawdzenie, co o instytucji i jej systemach da się ustalić z publicznych źródeł |
| oceny bezpieczeństwa sieci | konfiguracja i segmentacja sieci, zabezpieczenia brzegowe |
| analizy luk | porównanie stanu zabezpieczeń z wymaganiami i politykami |
| kontrole bezpieczeństwa fizycznego | dostęp do pomieszczeń, ośrodków przetwarzania i sprzętu |
| kwestionariusze i oprogramowanie skanujące | samoocena i automatyczny przegląd konfiguracji |
| przeglądy kodu źródłowego, gdy jest to wykonalne | błędy bezpieczeństwa w oprogramowaniu własnym lub dostarczanym |
| testy scenariuszowe | przebieg zdarzenia od wykrycia do odtworzenia |
| testy kompatybilności, wydajności i kompleksowe | działanie systemów razem i pod obciążeniem |
| testy penetracyjne | próba przełamania zabezpieczeń metodami atakującego |
Centralne depozyty papierów wartościowych i kontrahenci centralni przeprowadzają oceny podatności przed każdym wdrożeniem lub przeniesieniem aplikacji, infrastruktury i usług ICT wspierających funkcje krytyczne lub istotne (art. 25 ust. 2).
Kto musi przeprowadzać TLPT
TLPT to ramy naśladujące taktyki, techniki i procedury rzeczywistych atakujących: kontrolowany, dostosowany do podmiotu test zespołu typu red team, oparty na analizie zagrożeń i prowadzony na działających systemach (art. 3 pkt 17).
Przeprowadzają go podmioty wskazane przez właściwe organy - z wyłączeniem podmiotów z art. 16 ust. 1 i mikroprzedsiębiorstw (art. 26 ust. 1). Organy wskazują je na podstawie oceny wpływu na sektor finansowy, obaw o stabilność finansową i profilu ryzyka ICT (art. 26 ust. 8, akapit trzeci). Kryteria rozwija art. 2 rozporządzenia 2025/1190:
| Zasada | Przepis |
|---|---|
| Ocena każdego podmiotu: wielkość, powiązania, krytyczność i zastępowalność usług, złożoność modelu biznesowego, przynależność do grupy systemowej; profil ryzyka ICT, krajobraz zagrożeń, zależność od ICT, dostawcy, dojrzałość planów ciągłości | art. 2 ust. 1 |
| Co do zasady TLPT przeprowadzają m.in.: banki o znaczeniu systemowym (globalnym lub innym), instytucje płatnicze i instytucje pieniądza elektronicznego powyżej progów wartości transakcji, centralne depozyty papierów wartościowych, kontrahenci centralni, wybrane systemy obrotu i zakłady ubezpieczeń - chyba że ocena wskaże, że TLPT nie jest uzasadniony | art. 2 ust. 2 |
Dla instytucji płatniczej próg to łączna wartość transakcji płatniczych powyżej 150 mld EUR w każdym z dwóch lat poprzedzających ocenę; dla instytucji pieniądza elektronicznego - ten sam próg albo pieniądz elektroniczny w obiegu powyżej 40 mld EUR (art. 2 ust. 2 lit. b, lit. c).
Zakres, częstotliwość i przebieg TLPT
Wskazany podmiot przeprowadza TLPT nie rzadziej niż co trzy lata; organ może - według profilu ryzyka - zwiększyć albo zmniejszyć częstotliwość (art. 26 ust. 1). Test obejmuje kilka albo wszystkie funkcje krytyczne lub istotne i jest przeprowadzany na działających systemach produkcyjnych. Instytucja wskazuje wszystkie systemy, procesy i technologie wspierające te funkcje - także usługi zlecone dostawcom - a wynik tej oceny, czyli zakres TLPT, zatwierdzają organy (art. 26 ust. 2).
Etapy według rozporządzenia 2025/1190
| Etap | Najważniejsze terminy i rezultaty | Przepis |
|---|---|---|
| Przygotowanie | etap przygotowawczy testu | art. 9 |
| Analiza zagrożeń | analiza zagrożeń dla konkretnej instytucji | art. 10 |
| Testy red team | aktywne testowanie z udziałem zespołu typu red team | art. 11 |
| Zamknięcie | sprawozdanie red team do 4 tygodni, sprawozdanie blue team oraz odtworzenie działań i purple team do 10 tygodni od końca aktywnych testów; sprawozdanie podsumowujące do zatwierdzenia - w 8 tygodni od powiadomienia przez organ ds. TLPT | art. 12 |
| Plan naprawczy | dla każdego ustalenia - w 8 tygodni od tego samego powiadomienia organu | art. 13 |
| Poświadczenie | potwierdzenie organu, że test przeprowadzono zgodnie z wymogami | art. 14 |
Po zakończeniu testu instytucja przedstawia organowi podsumowanie ustaleń, plany naprawcze i dokumentację (art. 26 ust. 6), a organ wydaje poświadczenie, które umożliwia wzajemne uznawanie testów między państwami (art. 26 ust. 7). Przez cały czas instytucja stosuje skuteczne środki kontroli ryzyka testu - dla danych, zasobów i ciągłości funkcji (art. 26 ust. 5).
Testerzy: zewnętrzni i wewnętrzni
Podmioty finansowe korzystają do TLPT wyłącznie z testerów, którzy spełniają warunki z art. 27 ust. 1:
Czy tester TLPT spełnia wymogi art. 27 ust. 1 DORA?
Lista pomocnicza: zaznaczenia zostają tylko w tym oknie i nie są nigdzie zapisywane. Pełna lista nie oznacza zgodności z przepisami.
Testerzy wewnętrzni
Testerzy wewnętrzni są dopuszczalni, ale co trzeci test wykonują testerzy zewnętrzni, a instytucje kredytowe sklasyfikowane jako istotne (nadzór EBC) korzystają wyłącznie z testerów zewnętrznych (art. 26 ust. 8). Korzystanie z testerów wewnętrznych wymaga zatwierdzenia przez organ, sprawdzenia zasobów i braku konfliktów interesów, a dostawca analizy zagrożeń musi być zewnętrzny (art. 27 ust. 2). Szczegóły - art. 15 rozporządzenia 2025/1190.
Umowy z testerami zewnętrznymi wymagają należytego zarządzania wynikami TLPT - tak, żeby przetwarzanie danych z wyników nie stwarzało ryzyka dla instytucji (art. 27 ust. 3).
Dostawcy ICT w testach
Jeśli zakres TLPT obejmuje dostawców ICT, instytucja zapewnia ich udział i przez cały czas odpowiada za zgodność z DORA (art. 26 ust. 3). Umowa o usługi wspierające funkcje krytyczne lub istotne zawiera obowiązek udziału dostawcy w TLPT i pełnej współpracy (art. 30 ust. 3 lit. d) - więcej o umowach w artykule o ryzyku dostawców ICT.
Gdy udział dostawcy mógłby zaszkodzić jakości lub bezpieczeństwu usług dla jego innych klientów, dostawca i instytucja mogą uzgodnić testowanie zbiorcze: dostawca zawiera umowę bezpośrednio z testerem zewnętrznym, a test - pod kierownictwem jednego wyznaczonego podmiotu finansowego - obejmuje kilka instytucji (art. 26 ust. 4). Takie testowanie uznaje się za TLPT każdej z uczestniczących instytucji.
Mniejsze podmioty i proporcjonalność
Rozdział IV stosuje się proporcjonalnie do wielkości, profilu ryzyka oraz charakteru, skali i złożoności działalności (art. 4 ust. 2).
| Podmiot | Program testowania (art. 24) | Testy (art. 25) | TLPT (art. 26) |
|---|---|---|---|
| Mikroprzedsiębiorstwo | nie dotyczy | testy z ust. 1, łącząc analizę ryzyka ze strategicznym planowaniem testów (art. 25 ust. 3) | nie dotyczy |
| Podmiot z art. 16 ust. 1 (uproszczone ramy), niebędący mikroprzedsiębiorstwem | według art. 24 | według art. 25 | nie dotyczy (art. 26 ust. 1) |
| Pozostałe podmioty | tak | tak | tylko wskazane przez organ |
Podmioty z uproszczonymi ramami regularnie testują też plany ciągłości oraz skuteczność środków ochrony (art. 16 ust. 1 lit. g).
Testy, ciągłość działania i doskonalenie
Testy z rozdziału IV to nie jedyne testy w DORA. Plany ciągłości działania oraz plany reagowania i przywracania sprawności testuje się co najmniej raz w roku i po istotnych zmianach (art. 11 ust. 6), a mechanizmy wykrywania - regularnie, zgodnie z art. 25 (art. 10 ust. 1). Wnioski z testów, w tym z TLPT, należycie uwzględnia się w ocenie ryzyka ICT i przeglądach ram (art. 13 ust. 3).
Najczęstsze pytania
Czy zwykły test penetracyjny to już TLPT?
Nie. Test penetracyjny jest jednym z testów programu z art. 25 ust. 1. TLPT (art. 3 pkt 17) to test zespołu typu red team oparty na analizie zagrożeń dla konkretnej instytucji, prowadzony na systemach produkcyjnych wspierających funkcje krytyczne lub istotne, z zakresem zatwierdzanym przez organ i poświadczeniem po zakończeniu.
Jak często trzeba testować?
Systemy i aplikacje ICT wspierające funkcje krytyczne lub istotne - co najmniej raz w roku (art. 24 ust. 6). TLPT - nie rzadziej niż co trzy lata, chyba że organ zmieni częstotliwość (art. 26 ust. 1).
Czy TLPT może przeprowadzić własny zespół instytucji?
Tak, po spełnieniu warunków z art. 27 ust. 2, w tym zgody organu i zewnętrznego dostawcy analizy zagrożeń. Co trzeci test przeprowadzają jednak testerzy zewnętrzni, a instytucje kredytowe sklasyfikowane jako istotne korzystają wyłącznie z zewnętrznych (art. 26 ust. 8).
Kto decyduje, że instytucja musi przeprowadzić TLPT?
Właściwe organy (organ ds. TLPT), na podstawie oceny wpływu, stabilności finansowej i profilu ryzyka ICT (art. 26 ust. 8) oraz kryteriów z art. 2 rozporządzenia 2025/1190.
Czy mikroprzedsiębiorstwo musi testować odporność cyfrową?
Tak, ale w lżejszej formie: przeprowadza testy z art. 25 ust. 1, łącząc analizę ryzyka ze strategicznym planowaniem testów (art. 25 ust. 3). Nie ma obowiązku programu z art. 24 ani TLPT.
Podstawa prawna
Przepisy, na które powołuje się artykuł. Brzmienie pochodzi z bazy aktów prawnych Replicord, a oficjalny tekst - z EUR-Lex.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Tekst mający znaczenie dla EOG)
- DORAart. 3 pkt 17
- DORAart. 4 ust. 2
- DORAart. 6 ust. 8 lit. g
- DORAart. 10 ust. 1
- DORAart. 11 ust. 6
- DORAart. 13 ust. 3
- DORAart. 16 ust. 1 lit. g
- DORAart. 24 ust. 1
- DORAart. 24 ust. 2
- DORAart. 24 ust. 3
- DORAart. 24 ust. 4
- DORAart. 24 ust. 5
- DORAart. 24 ust. 6
- DORAart. 25 ust. 1
- DORAart. 25 ust. 2
- DORAart. 25 ust. 3
- DORAart. 26 ust. 1
- DORAart. 26 ust. 2
- DORAart. 26 ust. 3
- DORAart. 26 ust. 4
- DORAart. 26 ust. 5
- DORAart. 26 ust. 6
- DORAart. 26 ust. 7
- DORAart. 26 ust. 8
- DORAart. 26 ust. 11
- DORAart. 27 ust. 1
- DORAart. 27 ust. 1 lit. a
- DORAart. 27 ust. 1 lit. b
- DORAart. 27 ust. 1 lit. c
- DORAart. 27 ust. 1 lit. d
- DORAart. 27 ust. 1 lit. e
- DORAart. 27 ust. 2
- DORAart. 27 ust. 3
- DORAart. 30 ust. 3 lit. d
Rozporządzenie delegowane Komisji (UE) 2025/1190 z dnia 13 lutego 2025 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria stosowane do identyfikacji podmiotów finansowych zobowiązanych do przeprowadzania testów penetracyjnych pod kątem wyszukiwania zagrożeń, wymogi i standardy regulujące korzystanie z testerów wewnętrznych, wymogi dotyczące zakresu, metodyki testowania i podejścia dla każdego etapu procesu testowania oraz etapów testów odnoszących się do wyników, zamykania i środków naprawczych, a także rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania
Opracowanie ma charakter informacyjny i nie jest poradą prawną. Rozróżniamy wymogi prawne (z brzmieniem przepisu) od interpretacji i dobrych praktyk. Brzmienie przepisów pochodzi z bazy aktów prawnych Replicord, która śledzi zmiany w źródłach urzędowych; wiążący jest tekst opublikowany w Dzienniku Urzędowym UE.