Dlaczego sektor finansowy nie może zignorować uKSC
Wiele instytucji finansowych zakłada, że skoro podlega rozporządzeniu DORA i regularnie raportuje do KNF, nowa ustawa o krajowym systemie cyberbezpieczeństwa (uKSC) implementująca dyrektywę NIS2 ich nie dotyczy. To błędne założenie, które może kosztować organizację wielomilionowe kary – a jej kierownika – osobistą odpowiedzialność finansową.
Dla podmiotów kluczowych i ważnych z sektora bankowości i infrastruktury rynków finansowych uKSC nie stosuje przepisów dotyczących systemu zarządzania bezpieczeństwem informacji ani obowiązków zgłaszania poważnych incydentów – ale tylko z wyjątkiem wyraźnie wskazanego katalogu przepisów, które nadal obowiązują. Wyłączenie jest więc selektywne, nie całkowite. Artykuł ten wyjaśnia dokładnie, co zostaje w mocy, kiedy i jak to wdrożyć oraz jakie konsekwencje grożą za zaniechanie.
Niniejszy artykuł adresuje sytuację konkretnego rodzaju podmiotu – takiego, który łącznie spełnia dwa warunki:
- Jest podmiotem finansowym w rozumieniu art. 2 ust. 1 lit. a–t rozporządzenia DORA (rozporządzenie UE 2022/2554) i faktycznie realizuje obowiązki wynikające z tego rozporządzenia.
- Spełnia przesłanki uznania za podmiot kluczowy lub ważny w rozumieniu nowej ustawy o krajowym systemie cyberbezpieczeństwa (uKSC), implementującej dyrektywę NIS2.
Jeśli Twoja organizacja spełnia tylko jeden z tych warunków – analiza obowiązków będzie zasadniczo odmienna i artykuł ten nie daje gotowych odpowiedzi dla Twojego przypadku.
Mapa regulacyjna: DORA, NIS2 i uKSC – trzy filary, jeden podmiot
DORA: sektorowe rozporządzenie o odporności cyfrowej
Rozporządzenie DORA (Digital Operational Resilience Act, rozporządzenie UE 2022/2554) obowiązuje bezpośrednio we wszystkich państwach członkowskich i obejmuje szeroki krąg podmiotów finansowych – od banków, przez firmy inwestycyjne i ubezpieczycieli, po dostawców usług płatniczych i instytucje pieniądza elektronicznego. Ustawa definiuje „podmiot finansowy” przez odesłanie do art. 2 ust. 1 lit. a–t rozporządzenia (UE) 2022/2554 (DORA). DORA reguluje zarządzanie ryzykiem ICT, zgłaszanie poważnych incydentów do KNF, testowanie odporności cyfrowej oraz relacje z zewnętrznymi dostawcami usług ICT.
NIS2 i uKSC: horyzontalne ramy dla całej gospodarki
Dyrektywa NIS2 ustanawia horyzontalne wymagania w zakresie cyberbezpieczeństwa dla szerokiego kręgu podmiotów z sektorów uznanych za krytyczne. Nowa uKSC implementuje tę dyrektywę do polskiego porządku prawnego, tworząc kategorie podmiotów kluczowych i ważnych oraz nakładając na nie obowiązki organizacyjne, techniczne i nadzorcze
Co DORA „zdejmuje” z podmiotów finansowych w uKSC
Dla sektora bankowości i infrastruktury rynków finansowych uKSC pozostawia stosowanie m.in. art. 7–7m (wykaz), art. 8 ust. 1 pkt 1 oraz art. 8 ust. 1 pkt 2 lit. j (szacowanie ryzyka i cyberhigiena), art. 8h (wymiana informacji), art. 9, a także przepisów dotyczących systemu teleinformatycznego (art. 46 w określonym zakresie) oraz przepisów dotyczących dostawcy wysokiego ryzyka i poleceń zabezpieczających. Dodatkowo do tych podmiotów stosuje się odpowiednio przepisy art. 8c–8f, dotyczące odpowiedzialności i zadań kierownictwa, szkoleń rocznych oraz weryfikacji niekaralności personelu.
Krok 0: Czy w ogóle podlegasz uKSC?
Objęcie DORA nie implikuje automatycznie objęcia uKSC. Są to dwa odrębne akty prawne o różnych kryteriach stosowania, i podmiot może podlegać jednemu z nich, obydwu lub żadnemu.
Przed przejściem do analizy obowiązków każda instytucja finansowa powinna przejść przez dwuetapowy test:
Etap 1 – Sektor: Czy organizacja świadczy usługi w sektorze bankowości lub infrastruktury rynków finansowych wskazanym wprost w załączniku do uKSC? Sama przynależność do szeroko rozumianego sektora finansowego nie wystarczy – uKSC posługuje się konkretnym, enumeratywnym wykazem.
Etap 2 – Wielkość i charakter podmiotu: Czy organizacja spełnia próg wielkości (co do zasady: średnie lub duże przedsiębiorstwo w rozumieniu unijnego prawa) albo należy do kategorii podmiotów kwalifikowanych jako kluczowe lub ważne niezależnie od wielkości? Mała instytucja płatnicza objęta DORA może nie przekraczać progów uKSC i w ogóle nie trafić do wykazu podmiotów kluczowych ani ważnych.
Dopiero pozytywna odpowiedź na oba pytania otwiera dalszą analizę i uruchamia terminy na złożenie wniosku o wpis.
Mechanizm wyłączeń: nie włącznik, lecz reosta
Dla podmiotów z sektora bankowości i infrastruktury rynków finansowych, które spełniają oba powyższe warunki, uKSC przewiduje istotne wyłączenia – przede wszystkim w zakresie pełnego systemu zarządzania bezpieczeństwem informacji (SZBI) w rozumieniu uKSC oraz trybu zgłaszania poważnych incydentów z NIS2. Uzasadnienie jest proste: te same obowiązki podmiot realizuje już na gruncie DORA i raportuje do KNF.
Kluczowe jest jednak to, czym wyłączenia nie są:
- Nie są generalnym zwolnieniem z uKSC. Szereg przepisów pozostaje w mocy wprost z mocy ustawy, niezależnie od faktu objęcia DORA.
- Nie są automatyczne w każdym przypadku. Wyłączenie przysługuje podmiotowi, który faktycznie realizuje odpowiednie obowiązki wynikające z DORA – co organ nadzoru może weryfikować. Podmiot nominalnie objęty DORA, który nie wdrożył wymaganych przez to rozporządzenie ram zarządzania ryzykiem ICT, nie ma pewności, że wyłączenie z uKSC zostanie mu przyznane bez zastrzeżeń.
- Nie są ekwiwalentami jeden do jednego. Część obowiązków, które pozostają w mocy na gruncie uKSC (np. szacowanie ryzyka, zasady cyberhigieny), jest regulowana również przez DORA – tyle że w innej formie, zakresie i z innymi wymogami dokumentacyjnymi. Sam fakt realizacji obowiązku DORA nie zwalnia automatycznie z odpowiadającego mu wymogu uKSC. Wymagana jest formalna analiza ekwiwalentności, a nie domniemanie zgodności.ków.
DORA vs. uKSC – co zostaje, co odpada?
Rozporządzenie DORA i nowa uKSC implementująca dyrektywę NIS2 nakładają się zakresowo w sektorze finansowym, jednak ich relacja jest bardziej złożona niż prosty podział na obowiązki „wyłączone” i „pozostające”. Mapa obowiązków opracowana na potrzeby niniejszego artykułu wyróżnia trzy jakościowo odmienne kategorie, które wymagają różnych działań compliance.
Kategoria A – obowiązki wyłączone z uKSC. uKSC expressis verbis nie stosuje tych przepisów wobec podmiotów finansowych objętych DORA, ponieważ DORA reguluje daną materię wyczerpująco. Dotyczy to m.in. pełnego systemu zarządzania bezpieczeństwem informacji (SZBI) w rozumieniu NIS2/uKSC, trybu zgłaszania poważnych incydentów zgodnie z NIS2 do organu właściwego (24h / 72h / 1 miesiąc) oraz wymogów NIS2 dotyczących bezpieczeństwa łańcucha dostaw jako samoistnego obowiązku krajowego. Wyłączenie to nie jest jednak automatyczne ani bezwarunkowe – przysługuje wyłącznie podmiotowi, który faktycznie realizuje odpowiednie obowiązki wynikające z DORA. Nominalne objęcie zakresem rozporządzenia bez jego wdrożenia nie gwarantuje wyłączenia z uKSC.
Kategoria B – obowiązki pozostające w uKSC bez odpowiednika w DORA. Są to obszary, których DORA w ogóle nie reguluje lub nie reguluje w sposób ekwiwalentny, a wyłączenie nie może zatem wchodzić w grę – nie ma czego wyłączyć. Obowiązki te wymagają wdrożenia od zera, bez możliwości oparcia się na istniejących procedurach DORA. Należą do nich: rejestracja jako podmiot kluczowy lub ważny w wykazie krajowym, weryfikacja niekaralności personelu realizującego zadania cyberbezpieczeństwa, reżim dostawcy wysokiego ryzyka wraz z obowiązkiem wycofania wskazanych produktów ICT, polecenia zabezpieczające ministra właściwego ds. informatyzacji oraz korzystanie z systemu teleinformatycznego uKSC. Dla wielu instytucji finansowych właśnie ta kategoria – a nie kwestia wyłączeń – będzie wymagała największego nakładu wdrożeniowego.
Kategoria C – obowiązki nakładające się, wymagające analizy ekwiwalentności. To kategoria o największej złożoności i najwyższym ryzyku błędu compliance. Oba reżimy regulują te same obszary – szacowanie ryzyka ICT, cyberhigienę operacyjną, wymianę informacji o zagrożeniach, governance i odpowiedzialność kierownictwa, szkolenia, a także audyt bezpieczeństwa – lecz czynią to przy użyciu odmiennej terminologii, z różnymi wymogami dokumentacyjnymi i innymi progami formalnymi. Realizacja obowiązku na gruncie DORA stanowi tu punkt wyjścia, nie gotową odpowiedź. Instytucja finansowa musi przeprowadzić i udokumentować formalną analizę ekwiwalentności dla każdego obowiązku z tej kategorii – wykazując, że jej rozwiązania DORA faktycznie wyczerpują odpowiedni wymóg uKSC, a nie jedynie zakładając, że tak jest.
Kluczowy wniosek dla compliance jest zatem następujący: DORA nie zwalnia z uKSC kompleksowo ani nawet automatycznie tam, gdzie wyłączenia formalnie istnieją. Zwalnia selektywnie i warunkowo, a instytucja finansowa musi dokładnie zmapować każdy obowiązek – ustalając, czy należy on do kategorii A (wyłączone, lecz pod warunkiem faktycznej realizacji DORA), B (bez odpowiednika w DORA – wdrożenie od zera) czy C (nakładające się – wymagające udokumentowanej analizy luk). Brak tego rozróżnienia jest jednym z najczęstszych i najkosztowniejszych błędów w podejściu do compliance regulacyjnego w sektorze finansowym.
Checklista obowiązków względem NIS2 dla podmiotów finansowych
Poniższa tabela stanowi praktyczne narzędzie compliance dla podmiotu finansowego objętego DORA, który jest jednocześnie podmiotem kluczowym lub ważnym w rozumieniu uKSC.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa nakłada na podmioty kluczowe i ważne dziesięć kategorii obowiązków, które różnią się zarówno horyzontem czasowym wykonania, jak i reżimem sankcji. Pierwszym krokiem jest rejestracja – złożenie elektronicznego wniosku o wpis do wykazu podmiotów z użyciem kwalifikowanego podpisu lub pieczęci, w terminie sześciu miesięcy od spełnienia przesłanek, z obowiązkiem aktualizacji danych w ciągu 14 dni od każdej zmiany. Równolegle i bez przerwy podmiot zobowiązany jest do systematycznego szacowania ryzyka dla sieci i systemów informacyjnych oraz dokumentowania wyników, a także do bieżącej cyberhigieny operacyjnej: w praktyce oznacza to utrzymywanie aktualności oprogramowania, zarządzanie podatnościami i reagowanie na wskaźniki kompromitacji (IoC). Szczególną wagę ustawodawca przywiązuje do odpowiedzialności zarządu: kierownik podmiotu personalnie podejmuje decyzje w sprawach bezpieczeństwa, zapewnia finansowanie i nadzoruje realizację zadań, a w organie kolegialnym musi imiennie wskazać osobę odpowiedzialną. Z odpowiedzialnością zarządu powiązany jest obowiązek corocznych szkoleń kierownika i wyznaczonego koordynatora ds. cyberbezpieczeństwa, których odbycie musi być udokumentowane. Przed dopuszczeniem kogokolwiek do zadań z zakresu cyberbezpieczeństwa konieczne jest zebranie aktualnych zaświadczeń z KRK potwierdzających brak skazania za przestępstwa przeciwko ochronie informacji. Osoba skazana prawomocnie nie może realizować tych zadań. Do stałych obowiązków należy też wymiana informacji z właściwym CSIRT o zagrożeniach, podatnościach i technikach ataku, a także korzystanie z systemu teleinformatycznego uKSC do oficjalnych wniosków i zgłoszeń, do czego podmiot musi się dostosować w ciągu 12 miesięcy od spełnienia przesłanek. Odrębne i szczegółowe wymogi dotyczą dostawców ICT wysokiego ryzyka: po wydaniu stosownej decyzji ministra podmiot musi zaprzestać wdrożeń wskazanych produktów i wycofać już posiadane. Ma na to do siedmiu lat i musi wdrożyć odpowiednie klauzule umowne. Wreszcie podmiot musi być gotowy na natychmiastowe wykonanie polecenia zabezpieczającego ministra, co oznacza konieczność wbudowania takiego scenariusza w plany ciągłości działania (BCP/DRP) i wyznaczenia koordynatora zdolnego do błyskawicznej zmiany konfiguracji, wzmożenia monitoringu czy ograniczenia ruchu sieciowego. Za naruszenie większości z tych obowiązków grozi kara pieniężna dla podmiotu, za zaniedbania w obszarze governance, szkoleń, niekaralności personelu oraz rejestracji dodatkowo lub wyłącznie kara osobista kierownika.
Nadzór i sankcje: złożony obraz odpowiedzialności
Uwaga wstępna: sankcja maksymalna to nie sankcja standardowa
Każde omówienie sankcji regulacyjnych niesie ryzyko odwrotne do zamierzonego: zamiast skłonić do działania, może uśpić czujność organizacji, które uznają, że „maksymalna kara i tak nas nie dosięgnie”. Niniejszy rozdział celowo unika przedstawiania wyłącznie górnych limitów kar. Kara jest wypadkową wielu zmiennych – rodzaju naruszenia, stopnia zawinienia, czasu trwania, historii kontaktów z organem i podjętych działań naprawczych. Co równie ważne, podmiot finansowy objęty DORA i jednocześnie podlegający uKSC funkcjonuje w przestrzeni dwóch nakładających się reżimów sankcyjnych, co stwarza ryzyko kumulacji odpowiedzialności, o którym wiele organizacji jeszcze nie myśli.
Dwa reżimy sankcyjne, jeden podmiot – ryzyko kumulacji
Dla podmiotu finansowego będącego jednocześnie podmiotem kluczowym lub ważnym w rozumieniu uKSC sankcje za naruszenia regulacyjne mogą płynąć z dwóch niezależnych źródeł.
Na gruncie DORA organem właściwym do nakładania sankcji jest KNF jako właściwy organ nadzoru sektora finansowego. Naruszenie obowiązków DORA – na przykład niewystarczające ramy zarządzania ryzykiem ICT (art. 6 DORA), nieprawidłowe zgłoszenie poważnego incydentu (art. 19 DORA) czy uchybienia w zarządzaniu zewnętrznymi dostawcami usług ICT (art. 28 DORA) – może skutkować sankcjami nakładanymi przez KNF w trybie właściwym dla nadzoru sektorowego.
Na gruncie uKSC organem właściwym dla podmiotów z sektora finansowego może być – zależnie od struktury przyjętej w ustawie – ten sam organ (KNF) lub inny organ właściwy ds. cyberbezpieczeństwa. Naruszenie obowiązków pozostawionych w uKSC (rejestracja, governance, szkolenia, weryfikacja niekaralności, reagowanie na polecenia zabezpieczające) może skutkować niezależnymi sankcjami w trybie administracyjnym na gruncie uKSC.
Kluczowe jest to, czego polskie prawo dotychczas nie rozstrzyga w sposób wykluczający: oba postępowania mogą toczyć się równolegle, a mechanizmy koordynacji między organami nie są uregulowane w sposób gwarantujący, że kara nałożona na gruncie DORA jest automatycznie uwzględniana przy wymiarze kary na gruncie uKSC i odwrotnie. Podmiot finansowy musi zatem uwzględniać ryzyko kumulacji sankcji – szczególnie w obszarach z kategorii C (obowiązki nakładające się), gdzie naruszenie tego samego stanu faktycznego może jednocześnie kwalifikować się jako naruszenie DORA i naruszenie uKSC.
Gradacja naruszeń i wymiar kary
uKSC wyróżnia różne typy naruszeń, a kara jest uzależniona od ich ciężaru – nie od samego faktu naruszenia. Organ nadzoru uwzględnia m.in.: czas trwania naruszenia, jego zakres i wagę, liczbę poszkodowanych użytkowników, stopień zawinienia podmiotu, podjęte działania naprawcze i ich skuteczność, historię wcześniejszych naruszeń oraz – co istotne – czy naruszenie doprowadziło do rzeczywistego zagrożenia bezpieczeństwa.
Poniższa tabela przedstawia orientacyjną gradację naruszeń i związaną z nią perspektywę sankcyjną:
| Typ naruszenia | Przykłady | Perspektywa sankcyjna |
| Naruszenia proceduralne i ewidencyjne | Niezłożenie wniosku o wpis do wykazu w terminie; niedotrzymanie 14-dniowego terminu aktualizacji danych; brak udokumentowania szkoleń kierownictwa | Co do zasady niższy wymiar kary; możliwe uprzednie wezwanie do usunięcia naruszenia; okoliczności łagodzące mają szczególne znaczenie |
| Naruszenia materialne | Niewykonanie obowiązku szacowania ryzyka; brak weryfikacji niekaralności personelu; nierespektowanie wymogów dotyczących systemu teleinformatycznego uKSC | Wymiar kary uwzględnia zakres naruszenia, czas jego trwania i stopień zawinienia; możliwe nałożenie nakazu usunięcia naruszenia przed karą pieniężną |
| Naruszenia powodujące zagrożenie bezpieczeństwa | Niewykonanie polecenia zabezpieczającego; kontynuowanie użytkowania produktu ICT objętego decyzją o dostawcy wysokiego ryzyka; naruszenia, które bezpośrednio przyczyniły się do wystąpienia incydentu krytycznego | Ryzyko kary na poziomie zbliżonym do ustawowych maksimów; możliwe orzeczenie zakazu pełnienia funkcji zarządczych; możliwa kara osobista kierownika |
Maksymalne limity ustawowe – wyłącznie jako punkt odniesienia, nie jako standard wymiaru kary:
- Podmiot kluczowy: do 10 000 000 EUR lub 2% łącznego rocznego światowego obrotu (stosuje się kwotę wyższą; minimum 20 000 zł).
- Podmiot ważny: do 7 000 000 EUR lub 1,4% łącznego rocznego światowego obrotu (stosuje się kwotę wyższą; minimum 15 000 zł).
- Naruszenia powodujące bezpośrednie i poważne cyberzagrożenie lub ryzyko poważnej szkody dla odbiorców usług: do 100 000 000 zł.
Kara osobista kierownika – środek ultima ratio, nie automatyczna konsekwencja
Jednym z najczęściej błędnie interpretowanych instrumentów uKSC jest możliwość nałożenia indywidualnej kary pieniężnej na kierownika podmiotu kluczowego lub ważnego. Artykuł celowo nie zestawia jej obok kary podmiotowej jako jej równorzędnego i równie prawdopodobnego następstwa – bo takie zestawienie byłoby mylące.
Kara osobista kierownika ma charakter środka stosowanego w razie naruszeń o określonym ciężarze. Organ nakłada ją tylko wtedy, gdy za jej zastosowaniem przemawia czas trwania naruszenia, jego zakres lub charakter. Nie jest to zatem automatyczna konsekwencja każdego uchybienia proceduralnego – na przykład opóźnienia w aktualizacji danych w wykazie podmiotów lub nieudokumentowania szkolenia w danym roku kalendarzowym.
Kara osobista staje się realnym ryzykiem przede wszystkim w następujących sytuacjach:
- Naruszenie trwa przez dłuższy czas mimo wiedzy kierownika o jego istnieniu lub mimo uprzedniego wezwania organu.
- Zakres naruszenia jest systemowy – nie dotyczy jednostkowego uchybienia, lecz zaniechania na poziomie strukturalnym (np. całkowity brak realizacji obowiązków governance).
- Charakter naruszenia wskazuje na celowe działanie lub rażące niedbalstwo po stronie kierownika, a nie na błąd organizacyjny.
Warto również podkreślić, że uKSC – podobnie jak NIS2 – opiera odpowiedzialność kierownika na konstrukcji jego osobistej odpowiedzialności za wykonanie obowiązków ustawowych, nawet jeśli konkretne zadania zostały formalnie powierzone innej osobie lub jednostce wewnętrznej. Delegowanie zadań nie przenosi odpowiedzialności prawnej – przenosi jedynie operacyjne wykonanie. Z perspektywy compliance oznacza to, że kierownik powinien weryfikować nie tylko to, czy w organizacji istnieją procedury compliance, lecz czy są one faktycznie realizowane i udokumentowane.
Uprawnienia nadzorcze organów – sankcja finansowa jako ostatni krok
Kara pieniężna jest w katalogu narzędzi organów nadzoru środkiem stosowanym po wyczerpaniu lub równolegle z innymi instrumentami. Organy właściwe dysponują szerokim zestawem mniej dolegliwych środków, od których mogą – i zazwyczaj będą – zaczynać: wiążące zalecenia usunięcia naruszeń, nakazy dostosowania działalności do wymogów ustawy, nakazy przeprowadzenia zewnętrznego audytu bezpieczeństwa, nakazy poinformowania odbiorców usług o stwierdzonych naruszeniach, a w skrajnych przypadkach – wyznaczenie urzędnika monitorującego realizację nakazów lub orzeczenie czasowego zakazu pełnienia funkcji zarządczych przez kierownika.
Dla podmiotów finansowych podlegających równocześnie nadzorowi KNF na gruncie DORA istotne jest, że organ ten będzie dysponował pełniejszym obrazem organizacji niż organ właściwy wyłącznie ds. uKSC – i może wykorzystać informacje zdobyte w jednym postępowaniu jako punkt wyjścia w drugim. To kolejny argument za tym, by compliance wobec obu reżimów traktować jako integralną całość, nie jako dwa niezależne silosy.
Harmonogram wdrożenia: od kiedy i co
Terminy kluczowe
Podmiot kluczowy lub ważny realizuje obowiązki z rozdziału 3 uKSC w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny, a podmiot kluczowy zapewnia przeprowadzenie pierwszego audytu bezpieczeństwa w terminie 24 miesięcy od tego dnia.
Audyt bezpieczeństwa
Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa co najmniej raz na 3 lata. Kopię raportu z audytu przekazuje organowi właściwemu ds. cyberbezpieczeństwa w terminie 3 dni roboczych od jego otrzymania. Organ może nakazać przeprowadzenie zewnętrznego audytu decyzją natychmiast wykonalną – zarówno wobec podmiotu kluczowego, jak i wobec podmiotu ważnego w razie poważnego incydentu lub innego naruszenia ustawy.
Audyt bezpieczeństwa wymagany przez uKSC i testy odporności cyfrowej prowadzone na gruncie DORA (w tym TLPT) mają różne cele, zakresy i adresatów wyników. Podmiot podlegający obu reżimom nie może traktować dokumentacji jednego z nich jako automatycznego spełnienia wymagań drugiego. Warto natomiast rozważyć zaplanowanie obu procesów w sposób skoordynowany – tak aby minimalizować nakład pracy po stronie audytowanego i audytora – zachowując jednak odrębność ich wyników i ścieżek raportowania.
Oś czasu wdrożenia
T+0 T+6 mies. T+12 mies. T+24 mies. Co 3 lata | | | | | Spełnienie Złożenie Pełna Pierwszy Kolejne przesłanek wniosku realizacja audyt audyty kwalifikacji o wpis obowiązków bezpieczeń – bezpieczeń – do wykazu rozdziału 3 stwa stwa uKSC + co roku: szkolenia kierownictwa
Kluczowe wnioski dla podmiotu objętego DORA
DORA nie zwalnia w całości z obowiązków uKSC. Wyłączenie jest selektywne i dotyczy głównie pełnego SZBI w rozumieniu uKSC oraz trybu zgłaszania poważnych incydentów zgodnego z NIS2. Poza tym zakresem organizacja finansowa – jako podmiot kluczowy lub ważny – musi wdrożyć i utrzymywać dziesięć obszarów obowiązków opisanych w checkliście powyżej.
Największe ryzyka prawne to:
- Brak złożenia wniosku o wpis do wykazu w terminie.
- Brak udokumentowanych corocznych szkoleń kierownictwa.
- Brak zaświadczeń o niekaralności dla personelu realizującego zadania cyberbezpieczeństwa.
- Nieprzygotowanie na decyzję o dostawcy wysokiego ryzyka i brak procedury wycofania produktów.
- Brak wbudowania w plany BCP/DRP scenariuszy reagowania na polecenia zabezpieczające.
Zalecane następne kroki:
- Analiza luk (gap analysis) uKSC vs. aktualny stan compliance DORA.
- Weryfikacja, czy organizacja spełnia przesłanki uznania za podmiot kluczowy lub ważny i od kiedy biegnie termin 6-miesięczny na złożenie wniosku.
- Aktualizacja polityk wewnętrznych o obowiązki governance z uKSC.
- Wdrożenie procedury reagowania na polecenia zabezpieczające i zinwentaryzowanie dostawców ICT pod kątem ryzyka decyzji ministra.
- Zaplanowanie pierwszego audytu bezpieczeństwa w ramach terminu 24-miesięcznego.
Artykuł przygotowany na podstawie ustawy o krajowym systemie cyberbezpieczeństwa z 2026 r. implementującej dyrektywę NIS2 (dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555).
