DORA wyjaśniona: wpływ na zakup oprogramowania w sektorze finansowym
DORA obowiązuje od 17 stycznia 2025 i zasadniczo zmienia sposób, w jaki organizacje finansowe dokonują zakupu i zawierają umowy na oprogramowanie. Oto, co musisz wiedzieć o pięciu filarach, wymogach umownych oraz wpływie na zarządzanie Dostawcami oprogramowania.
- 9 września 2025
- 5 min
- DORA – Digital Operational Resilience Act
DORA, Digital Operational Resilience Act, obowiązuje od 17 stycznia 2025 na terenie całej UE. Dla organizacji finansowych odporność cyfrowa przestaje być wyłącznie wewnętrzną kwestią IT, stając się obowiązkiem prawnym podlegającym nadzorowi.
Czym jest DORA?
DORA to rozporządzenie UE, które działa bezpośrednio, bez konieczności wdrażania do prawa krajowego. Dotyczy szerokiego spektrum podmiotów finansowych, od banków i ubezpieczycieli po instytucje inwestycyjne, instytucje płatnicze oraz dostawców usług kryptograficznych.
Pięć filarów
Zarządzanie ryzykiem ICT: ramy do identyfikacji, klasyfikacji i kontroli ryzyk ICT.
Raportowanie incydentów: poważne incydenty ICT muszą być zgłaszane w ścisłych terminach.
Testowanie odporności cyfrowej: okresowe testy krytycznych systemów.
Zarządzanie ryzykiem podmiotów trzecich ICT: wymogi umowne, rejestr oraz analiza ryzyka koncentracji.
Wymiana informacji: dzielenie się informacjami o zagrożeniach w sektorze.
Co DORA oznacza dla zakupu oprogramowania?
Czwarty filar dotyczy bezpośrednio zakupu oprogramowania:
Minimalne wymogi umowne: umowy ICT muszą zawierać postanowienia dotyczące m.in. usług, zgłaszania incydentów, praw audytu, wyjścia, lokalizacji danych i ciągłości działania.
Rejestr informacji: aktualny i kompletny rejestr wszystkich umownych ustaleń z dostawcami usług ICT.
Ryzyko koncentracji: należy ocenić nadmierną zależność od jednego podmiotu.
Podwykonawcy: również podmioty, na których opierają się Twoi Dostawcy oprogramowania, muszą być uwzględnione.
Przeczytaj w DORA w praktyce, na co zwracają uwagę organy nadzoru.
Jak pomaga SoftVaro
SoftVaro mapuje Twój krajobraz oprogramowania, w tym tzw. long tail, który często jest pomijany w rejestrze. Przy każdej odnowie umowy uwzględniamy wymogi DORA dotyczące postanowień umownych. Ten artykuł nie stanowi porady prawnej; skonsultuj stosowanie z działem compliance lub prawnym.
Najczęściej zadawane pytania
Najczęściej zadawane pytania na ten temat.
Dla kogo obowiązuje DORA?
DORA dotyczy szerokiego zakresu podmiotów finansowych w UE, takich jak banki, ubezpieczyciele, instytucje inwestycyjne, instytucje płatnicze i dostawcy usług kryptograficznych. Dostawcy usług ICT mają do czynienia z wymogami DORA poprzez umowy z tymi klientami.
Czy DORA obowiązuje także mojego Dostawcę oprogramowania?
Pośrednio tak. Twoja organizacja musi umownie uregulować wymogi DORA z Dostawcami oprogramowania, których używa. Dostawcy oznaczeni jako krytyczni podlegają również bezpośredniemu nadzorowi europejskiemu.
Jakie sankcje grożą za nieprzestrzeganie DORA?
Sankcje dla podmiotów finansowych ustalają krajowe organy nadzoru. Dla krytycznych dostawców usług ICT europejski organ nadzoru ma własne środki egzekucyjne.
Gotowy, aby zaoszczędzić na oprogramowaniu?
SoftVaro negocjuje dla Ciebie najlepsze oferty u ponad 4000 Dostawców oprogramowania. Niezależnie, transparentnie, w ciągu 24 godzin.