Zgłaszanie poważnych incydentów ICT w DORA: klasyfikacja, terminy i treść zgłoszeń

01Incydent, poważny incydent i cyberzagrożenie

02Proces zarządzania incydentami

Podmioty finansowe określają, ustanawiają i wdrażają proces zarządzania incydentami ICT: wykrywania, zarządzania nimi i zgłaszania (art. 17 ust. 1). Rejestrują wszystkie incydenty i znaczące cyberzagrożenia oraz identyfikują, dokumentują i eliminują ich przyczyny źródłowe (art. 17 ust. 2). Wykrywanie opisuje art. 10 - zob. artykuł o zarządzaniu ryzykiem ICT.

03Klasyfikacja: kiedy incydent jest poważny

Każdy incydent instytucja klasyfikuje i określa jego wpływ według sześciu kryteriów: klienci, kontrahenci i transakcje (ze skutkami reputacyjnymi), czas trwania i przerwa w usługach, zasięg geograficzny, utrata danych, krytyczność usług oraz skutki gospodarcze (art. 18 ust. 1). Rozporządzenie 2024/1772 opisuje każde kryterium (art. 1-7) i mówi, kiedy incydent jest poważny.

Progi istotności

Gdy faktycznych liczb nie da się ustalić, instytucja je szacuje na podstawie danych z porównywalnych okresów (art. 9 ust. 1, akapit drugi). Incydenty powtarzające się - co najmniej dwa razy w ciągu 6 miesięcy, z tą samą widoczną przyczyną podstawową, łącznie spełniające kryteria - uznaje się za jeden poważny incydent (art. 8 ust. 2).

04Terminy zgłoszeń

Poważny incydent instytucja zgłasza w trzech etapach: wstępne powiadomienie, sprawozdanie śródokresowe i sprawozdanie końcowe (art. 19 ust. 4). Terminy określa art. 5 rozporządzenia 2025/301:

Termin przypadający w weekend lub dzień wolny od pracy przesuwa się do południa następnego dnia roboczego (art. 5 ust. 4) - ale nie dla wstępnego powiadomienia i sprawozdania śródokresowego instytucji kredytowych, kontrahentów centralnych, operatorów systemów obrotu i podmiotów kluczowych lub ważnych według dyrektywy NIS2 (art. 5 ust. 5); organ może też wyłączyć tę możliwość dla innych podmiotów znaczących lub systemowych (art. 5 ust. 6). Gdy dotrzymanie terminu nie jest możliwe, instytucja informuje organ najpóźniej w tym terminie i wyjaśnia przyczyny (art. 5 ust. 3).

05Co zawierają zgłoszenia

Wstępne powiadomienie i sprawozdania zawierają wszystkie informacje potrzebne organowi do określenia znaczenia incydentu i oceny skutków transgranicznych (art. 19 ust. 1). Instytucja sporządza je na wzorach, a gdy brak technicznej możliwości nie pozwala użyć wzoru - powiadamia organ w inny sposób.

Sprawozdanie końcowe składa się po zakończeniu analizy przyczyn źródłowych, gdy dostępne są dane o rzeczywistym wpływie zamiast szacunków (art. 19 ust. 4 lit. c).

06Komu zgłaszać

Poważne incydenty zgłasza się odpowiedniemu właściwemu organowi z art. 46 (art. 19 ust. 1). Gdy nad instytucją nadzór sprawuje kilka organów krajowych, państwo członkowskie wskazuje jeden. Instytucje kredytowe sklasyfikowane jako istotne zgłaszają incydenty organowi krajowemu, który niezwłocznie przekazuje je EBC. Państwo członkowskie może dodatkowo wymagać przekazywania zgłoszeń zespołom CSIRT.

Organ przekazuje informacje o incydencie dalej - m.in. europejskim urzędom nadzoru, EBC, organom i CSIRT według dyrektywy NIS2 oraz organom restrukturyzacji (art. 19 ust. 6). Po otrzymaniu zgłoszenia potwierdza je i może przekazać informacje zwrotne, ale instytucja pozostaje w pełni odpowiedzialna za obsługę incydentu i jego konsekwencje (art. 22 ust. 1).

07Klienci i znaczące cyberzagrożenia

Gdy poważny incydent wpływa na interesy finansowe klientów, instytucja bez zbędnej zwłoki - gdy tylko się o nim dowie - informuje klientów o incydencie i o środkach podjętych w celu złagodzenia skutków (art. 19 ust. 3). Przy znaczącym cyberzagrożeniu informuje klientów, których może ono dotyczyć, o środkach ochrony, które mogą rozważyć.

Znaczące cyberzagrożenia instytucja może zgłosić dobrowolnie, jeśli uzna je za istotne dla systemu finansowego, użytkowników usług lub klientów (art. 19 ust. 2). Kiedy cyberzagrożenie jest znaczące, określa art. 10 rozporządzenia 2024/1772, a treść dobrowolnego powiadomienia - art. 6 rozporządzenia 2025/301.

08Outsourcing zgłoszeń i dostawcy ICT

Zadania sprawozdawcze można zlecić zewnętrznemu dostawcy usług, ale instytucja pozostaje w pełni odpowiedzialna za spełnienie wymogów zgłaszania (art. 19 ust. 5); o takim outsourcingu powiadamia się organ (2025/302 art. 6).

Gdy incydent dotyczy usług dostawcy ICT, umowa powinna zapewniać pomoc dostawcy - bez dodatkowych opłat albo za opłatą określoną z góry (art. 30 ust. 2 lit. f), a przy funkcjach krytycznych także obowiązki sprawozdawcze dostawcy (art. 30 ust. 3 lit. b). Więcej w artykule o ryzyku dostawców ICT.

09DORA, RODO i NIS2

Jeden incydent może uruchomić kilka obowiązków. Dla podmiotów finansowych uznanych za kluczowe lub ważne według przepisów wdrażających dyrektywę NIS2 DORA jest sektorowym aktem prawnym w rozumieniu art. 4 NIS2 (art. 1 ust. 2) - zgłoszenie incydentu ICT odbywa się według DORA.