Czy DORA nas dotyczy?

DORA, czyli rozporządzenie w sprawie operacyjnej odporności cyfrowej (rozporządzenie (UE) 2022/2554), stosuje się od 17 stycznia 2025 r. do podmiotów finansowych, takich jak banki, ubezpieczyciele, firmy inwestycyjne i instytucje płatnicze, oraz do wyznaczonych na jego podstawie kluczowych zewnętrznych dostawców usług ICT. Art. 19 wymaga od podmiotów finansowych zgłaszania poważnych incydentów związanych z ICT właściwemu organowi: zgłoszenia wstępnego, sprawozdania pośredniego i sprawozdania końcowego; terminy określają standardy techniczne przyjęte na podstawie art. 20. Dla podmiotu finansowego zasady DORA dotyczące incydentów ICT mają pierwszeństwo przed ogólnymi zasadami NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów.. Jeśli świadczysz usługi ICT dla podmiotu finansowego, DORA dociera do Ciebie przez umowę: art. 30 wymienia postanowienia, które takie umowy muszą zawierać, w tym pomoc przy incydentach, prawa audytu i plany wyjścia. Od klientów finansowych należy spodziewać się szczegółowych pytań i klauzul umownych.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy