DORA I COMPLIANCE

DORA i compliance — odporność cyfrowa, ryzyko ICT i umowy z dostawcami technologii.

Pomagamy instytucjom finansowym, fintechom, instytucjom płatniczym, dostawcom usług ICT i podmiotom technologicznym przygotować się do wymogów DORA: zarządzania ryzykiem ICT, rejestru informacji, raportowania incydentów, testowania odporności, umów z dostawcami i nadzoru nad outsourcingiem.

Umów konsultację

Kiedy warto wdrożyć DORA?

Gdy Twoja firma działa w sektorze finansowym, dostarcza technologię podmiotom regulowanym albo musi uporządkować ryzyko ICT, incydenty, outsourcing, rejestr umów i wymagania wobec dostawców.

  • jesteś fintechiem, MIP, KIP, EMI, firmą inwestycyjną albo inną instytucją finansową,
  • potrzebujesz gap analysis DORA i planu wdrożenia wymogów ICT,
  • musisz przygotować rejestr informacji o umowach z dostawcami ICT,
  • zawierasz lub renegocjujesz umowy outsourcingowe, cloud, SaaS albo IT,
  • chcesz uporządkować procedury incydentów, testów odporności i nadzoru nad dostawcami.

DLA KOGO?

DORA wymaga nie tylko procedur, ale działającego systemu zarządzania ryzykiem ICT.

Najpierw mapujemy działalność, systemy ICT, dostawców, umowy, procesy krytyczne, incydenty i odpowiedzialność zarządu. Dopiero potem projektujemy dokumenty, rejestry, procedury, zmiany w umowach oraz plan wdrożenia DORA w realnym modelu operacyjnym.

01

Instytucje finansowe i fintech

Dla podmiotów regulowanych, które muszą wdrożyć wymogi DORA dotyczące ryzyka ICT, incydentów, testowania odporności, outsourcingu i zarządzania dostawcami.

02

MIP, KIP i e-money

Dla instytucji płatniczych i pieniądza elektronicznego, które potrzebują uporządkować systemy, procesy krytyczne, procedury ICT, partnerów technologicznych i raportowanie.

03

Dostawcy ICT dla finansów

Dla software house’ów, dostawców cloud, SaaS, infrastruktury, cyberbezpieczeństwa i usług IT współpracujących z bankami, fintechami lub innymi podmiotami regulowanymi.

04

Outsourcing i umowy IT

Dla firm, które muszą zweryfikować umowy z dostawcami ICT, zasady podwykonawstwa, audytu, exit planu, ciągłości działania, bezpieczeństwa i lokalizacji danych.

05

Rejestr informacji i incydenty

Dla zespołów, które potrzebują przygotować rejestr umów ICT, procedury klasyfikacji i obsługi incydentów, ścieżkę raportowania oraz komunikację wewnętrzną.

06

Gap analysis i wdrożenie

Dla organizacji, które chcą sprawdzić gotowość do DORA, wskazać braki, uporządkować dokumentację i przygotować praktyczny plan wdrożenia compliance.

JAK WYGLĄDA PROCES?

Od mapowania ryzyk ICT do dokumentów i wdrożenia DORA — krok po kroku.

Proces prowadzimy etapowo, aby organizacja wiedziała, jakie systemy i umowy są krytyczne, które dokumenty trzeba przygotować, jak zarządzać incydentami, jak kontrolować dostawców i jak wykazać zgodność w razie audytu, due diligence albo kontroli.

01
01 / analiza

Systemy, dostawcy i ryzyka ICT

Analizujemy działalność, procesy krytyczne, systemy ICT, dostawców, umowy, incydenty, outsourcing, zależności technologiczne i aktualne dokumenty.

02
02 / dokumenty

Polityki, rejestr i umowy ICT

Przygotowujemy procedury DORA, rejestr informacji, wzory klauzul, zasady nadzoru nad dostawcami, incydenty, testowanie odporności i plan ciągłości.

03
03 / wdrożenie

Compliance, audyt i monitoring

Wspieramy wdrożenie dokumentów, rozmowy z dostawcami, przegląd umów, przygotowanie do audytu, due diligence, kontroli i cyklicznej aktualizacji.

CO ZYSKUJE ORGANIZACJA?

DORA porządkuje cyberodporność, odpowiedzialność zarządu i relacje z dostawcami ICT.

Największe ryzyko przy DORA pojawia się wtedy, gdy organizacja ma dokumenty rozproszone między działem prawnym, IT, compliance i dostawcami. Pomagamy zbudować spójny system, który da się stosować operacyjnie.

  • mapę procesów krytycznych, systemów ICT i dostawców technologii,
  • procedury zarządzania ryzykiem ICT, incydentami i testowaniem odporności,
  • rejestr informacji o umowach ICT oraz uporządkowanie dokumentów,
  • klauzule DORA do umów z dostawcami, software house’ami, cloud i SaaS,
  • lepszą gotowość do audytu, due diligence, kontroli i rozmów z partnerami,
  • praktyczny model compliance dopasowany do skali i ryzyka organizacji.

KTO POPROWADZI PROCES?

Wsparcie przy DORA, ryzyku ICT, outsourcingu i compliance fintech.

DORA wymaga połączenia perspektywy prawnej, regulacyjnej, technologicznej i operacyjnej. Ważne jest nie tylko przygotowanie procedur, ale też umów z dostawcami, rejestru informacji, zasad raportowania incydentów, testowania odporności i odpowiedzialności za ICT.

Ekspert prowadzący proces
✓ gap analysis DORA i mapowanie obowiązków ICT
✓ przygotowanie procedur, polityk, rejestru informacji i dokumentów compliance
✓ przegląd i negocjowanie umów z dostawcami ICT, cloud, SaaS i IT
✓ wsparcie przy incydentach, testach odporności, outsourcingu i gotowości do kontroli
Dlaczego Pasternak Business Law przy DORA?
✓ łączymy regulacje finansowe, nowe technologie, AML, fintech i umowy IT
✓ wspieramy MIP, KIP, fintechy, dostawców ICT i projekty technologiczne
✓ pomagamy przełożyć wymogi DORA na dokumenty, procesy i klauzule umowne
✓ przygotowujemy compliance dopasowane do realnej organizacji, a nie tylko formalny wzór
Konsultacja DORA i compliance
Podczas rozmowy ustalamy model działalności, systemy ICT, dostawców, umowy, procesy krytyczne, obecne dokumenty i pierwszy plan wdrożenia wymogów DORA.
Bartosz Pasternak

Bartosz Pasternak
Prawnik zarządzający, Pasternak Business Law

Doradza przedsiębiorcom, fintechom, instytucjom płatniczym, zarządom i zespołom technologicznym w projektach regulacyjnych, IT, AML i compliance. Przy DORA łączy doświadczenie prawne z praktycznym spojrzeniem na ryzyko ICT, outsourcing, umowy technologiczne i organizację procesów.

NAJWAŻNIEJSZE PYTANIA

FAQ o DORA, compliance ICT i odporności cyfrowej

Konkretne odpowiedzi na pytania, które najczęściej pojawiają się przy DORA: zakres obowiązków, rejestr informacji, umowy ICT, incydenty, outsourcing, dostawcy technologiczni, testy odporności i compliance.

Co to jest DORA?

DORA to unijne rozporządzenie dotyczące operacyjnej odporności cyfrowej sektora finansowego. W praktyce wymaga uporządkowania zarządzania ryzykiem ICT, incydentami, testami odporności, dostawcami technologii, outsourcingiem, umowami ICT i zasadami odpowiedzialności w organizacji.

Kogo dotyczy DORA?

DORA dotyczy szerokiej grupy podmiotów sektora finansowego, w tym m.in. instytucji płatniczych, instytucji pieniądza elektronicznego, firm inwestycyjnych, zakładów ubezpieczeń, podmiotów rynku finansowego oraz pośrednio wielu dostawców ICT współpracujących z tym sektorem.

Czy DORA dotyczy MIP, KIP i fintechów?

Tak, w zależności od statusu regulacyjnego i modelu działalności DORA może mieć znaczenie dla MIP, KIP, EMI, fintechów, dostawców usług płatniczych oraz firm technologicznych obsługujących podmioty finansowe. Kluczowe jest ustalenie, jakie usługi są świadczone, jakie systemy są krytyczne i jacy dostawcy wspierają działalność.

Jakie dokumenty trzeba przygotować pod DORA?

Najczęściej potrzebne są dokumenty dotyczące zarządzania ryzykiem ICT, incydentów, ciągłości działania, testowania odporności, outsourcingu, nadzoru nad dostawcami, rejestru informacji, klasyfikacji procesów, komunikacji, audytu oraz zmian w umowach z dostawcami ICT.

Co powinno znaleźć się w umowach z dostawcami ICT?

Umowy z dostawcami ICT powinny jasno regulować zakres usług, lokalizację danych, bezpieczeństwo, audyt, podwykonawców, raportowanie incydentów, poziomy usług, ciągłość działania, exit plan, dostęp do informacji, współpracę przy kontroli i odpowiedzialność stron. Zakres postanowień zależy od rodzaju dostawcy i krytyczności usługi.

Czym jest rejestr informacji o umowach ICT?

Rejestr informacji to uporządkowany zestaw danych o umowach z dostawcami ICT, usługach, podwykonawcach, funkcjach wspieranych przez dane rozwiązanie, krytyczności, lokalizacji, terminach, ryzykach i odpowiedzialności. Jest ważnym elementem wykazania kontroli nad dostawcami technologii.

Jak DORA wpływa na outsourcing IT i cloud?

DORA wzmacnia znaczenie nadzoru nad outsourcingiem IT, cloud, SaaS, cyberbezpieczeństwem, hostingiem i innymi usługami ICT. Organizacja powinna wiedzieć, które usługi są krytyczne, jakie ryzyka tworzą dostawcy, jak wygląda podwykonawstwo, exit plan, audyt i ciągłość działania.

Czy dostawca IT musi spełniać DORA?

Dostawca IT nie zawsze jest bezpośrednio podmiotem obowiązanym, ale w praktyce często musi spełniać wymagania klientów finansowych wynikające z DORA. Oznacza to konieczność przyjęcia odpowiednich klauzul umownych, standardów bezpieczeństwa, procedur incydentowych, zasad audytu i wsparcia przy raportowaniu.

Jak zacząć wdrożenie DORA?

Najbezpieczniej zacząć od gap analysis: ustalenia statusu podmiotu, mapy systemów ICT, dostawców, umów, procesów krytycznych, incydentów, procedur i braków dokumentacyjnych. Dopiero potem warto przygotować plan wdrożenia, priorytety, harmonogram i pakiet zmian w dokumentach oraz umowach.

Potrzebujesz wdrożyć DORA i uporządkować compliance ICT?

Podczas konsultacji ustalimy, czy DORA dotyczy Twojej organizacji, jakie systemy i umowy są krytyczne, jakie dokumenty trzeba przygotować i od czego zacząć praktyczne wdrożenie.

Bezpłatna konsultacja