DORA a NIS2 to dwie równoległe, ale różne w swoim zakresie regulacje unijne, które definiują standardy odporności cyfrowej w Europie. Rozporządzenie DORA (Digital Operational Resilience Act) obowiązuje bezpośrednio od 17 stycznia 2025 r. i dotyczy wertykalnie sektora finansowego. Dyrektywa NIS2, transponowana do polskiego prawa jako nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), obejmuje horyzontalnie kilkanaście sektorów krytycznych. Zbieżność DORA i NIS2 oznacza, że podmioty finansowe oraz ich dostawcy ICT muszą budować jeden, zunifikowany system zarządzania ryzykiem, aby uniknąć podwajania kosztów compliance.
Zanim przejdziemy do szczegółów, zadajmy sobie pytanie: Czy Twój zarząd traktuje DORA i NIS2 jako dwa oddzielne projekty IT, czy jako jeden strategiczny program ochrony ciągłości biznesowej? Traktowanie tych regulacji w izolacji to najprostsza droga do podwojenia kosztów audytów i powielenia błędów w dokumentacji.
Wstęp: Nowy krajobraz regulacyjny Unii Europejskiej
Rok 2026 to czas, gdy okresy przejściowe dobiegły końca, a organy nadzorcze w Polsce i Europie rozpoczęły nakładanie pierwszych, dotkliwych kar finansowych. Dynamiczny rozwój cyberzagrożeń wymusił przejście od dobrowolnych wytycznych do bezwzględnych wymogów prawnych.
Wiele firm – szczególnie z sektora finansowego oraz dostawcy usług IT i SaaS – musi jednocześnie spełniać wymogi dyrektywy NIS2 oraz rozporządzenia DORA. Błędem jest tworzenie dwóch osobnych struktur compliance. Naszym celem jest uporządkowanie pojęć, przedstawienie kluczowych różnic prawnych oraz wskazanie, jak przeprowadzić zintegrowane wdrożenie DORA i NIS2 bez generowania zbędnych kosztów operacyjnych.
Czym są NIS2 i DORA? Krótkie przypomnienie
Aby zrozumieć relację między tymi aktami prawnymi, musimy najpierw precyzyjnie zdefiniować ich zakres i formę prawną.
Dyrektywa NIS2 (Network and Information Security Directive)
NIS2 to akt prawny o zasięgu horyzontalnym. Dyrektywa obejmuje kilkanaście kluczowych i ważnych sektorów gospodarki, w tym energetykę, transport, ochronę zdrowia, administrację publiczną oraz infrastrukturę cyfrową. Jako dyrektywa, NIS2 wymagała transpozycji do prawa krajowego (w Polsce nastąpiło to poprzez nowelizację ustawy o KSC, która weszła w życie w październiku 2024 r.).
Rozporządzenie DORA (Digital Operational Resilience Act)
DORA to akt prawny o zasięgu wertykalnym (sektorowym). Rozporządzenie koncentruje się wyłącznie na sektorze finansowym (banki, ubezpieczyciele, giełdy, dostawcy kryptoaktywów) oraz jego kluczowych dostawcach technologii ICT. DORA jest rozporządzeniem, co oznacza, że jest stosowana bezpośrednio we wszystkich krajach UE od 17 stycznia 2025 r., bez konieczności wydawania polskiej ustawy implementującej.
DORA vs NIS2 – kluczowe różnice i zasada Lex Specialis
Z punktu widzenia prawa, w przypadku kolizji norm prawnych dotyczących tego samego stanu faktycznego, stosujemy zasadę lex specialis derogat legi generali (prawo szczególne uchyla prawo ogólne).
Relacja Lex Specialis
DORA stanowi prawo szczególne (lex specialis) w stosunku do NIS2. Oznacza to, że jeśli instytucja finansowa podlega pod DORA, to w zakresie zarządzania ryzykiem cybernetycznym i zgłaszania incydentów stosuje przepisy DORA, a nie ogólne wymogi NIS2. DORA nakłada znacznie bardziej rygorystyczne i szczegółowe obowiązki w obszarze odporności cyfrowej.
Tabela porównawcza (DORA vs NIS2)
Poniższe zestawienie obrazuje, jak w praktyce wyglądają różnice między tymi regulacjami.
| Cecha | NIS2 (Polska Ustawa o KSC) | DORA (Rozporządzenie UE) |
|---|---|---|
| Zakres podmiotowy | Podmioty kluczowe i ważne w 11+ sektorach (energetyka, zdrowie, transport, cyfryzacja). | Podmioty finansowe (banki, ubezpieczenia, giełdy) oraz kluczowi dostawcy ICT. |
| Testy odporności | Wymóg przeprowadzania regularnych audytów i testów (często wystarczą audyty wewnętrzne lub podstawowe testy penetracyjne). | Bezwzględny wymóg zaawansowanych testów TLPT (Threat-Led Penetration Testing) co 3 lata dla kluczowych podmiotów. |
| Zarządzanie ryzykiem ICT | Ogólne wymogi dotyczące audytu dostawców i analizy ryzyka w łańcuchu dostaw. | Szczegółowe wymogi dotyczące umów z dostawcami ICT (SLA, klauzule wyjścia, prawo do audytu, limity poddostawców). |
| Zgłaszanie incydentów | 24h (wczesne ostrzeżenie), 72h (zgłoszenie), 1 miesiąc (raport końcowy) do CSIRT. | 4h (wstępne powiadomienie), 24h (wstępne zgłoszenie), 1 miesiąc (raport końcowy) do właściwego organu nadzoru finansowego. |
Gdzie DORA i NIS2 się zazębiają? Wspólny mianownik
Mimo różnic w szczegółach, obie regulacje opierają się na tych samych fundamentach. Zarówno DORA, jak i NIS2, wymagają udokumentowanego podejścia opartego na ryzyku.
Podstawą do spełnienia wymogów obu aktów jest System Zarządzania Bezpieczeństwem Informacji ISO 27001. To właśnie SZBI stanowi dowód dla organów nadzorczych, że organizacja nie działa chaotycznie, lecz identyfikuje aktywa, ocenia ryzyko i wdraża kontrolki.
Wspólny mianownik to:
- Zarządzanie ryzykiem: Konieczność ciągłej identyfikacji aktywów, oceny ryzyka i monitorowania skuteczności zabezpieczeń.
- Ciągłość działania (BCP / DR): Obowiązek posiadania planów awaryjnych, regularnego tworzenia kopii zapasowych i testowania przywracania systemów po awarii.
- Odpowiedzialność Zarządu: W obu regulacjach kadra zarządzająca ponosi bezpośrednią, osobistą i finansową odpowiedzialność za brak wdrożenia środków bezpieczeństwa. Zarząd nie może już delegować odpowiedzialności karnej na dział IT.
Zadajmy sobie jednak pytanie: Czy Twój certyfikat ISO 27001 to tylko ramka na ścianie, czy realny system, który obroni Cię przed karą od KNF lub Ministra Cyfryzacji w przypadku wycieku danych?
Jak przygotować organizację na zbieżność obu regulacji? (Plan działania)
Aby uniknąć duplikacji prac, wdrożenie DORA i NIS2 należy przeprowadzić w czterech logicznych krokach.
Krok 1: Kwalifikacja podmiotu (Scoping)
Pierwszym działaniem jest prawna kwalifikacja organizacji. Należy ustalić, czy firma jest podmiotem kluczowym/ważnym w rozumieniu KSC (NIS2), czy podlega bezpośrednio pod DORA. Kluczowe jest również sprawdzenie, czy organizacja nie jest klasyfikowana jako krytyczny dostawca ICT dla instytucji finansowej, co automatycznie uruchamia dla niej rygorystyczne wymogi kontraktowe z DORA.
Krok 2: Analiza luk (Gap Analysis) oparta na ISO 27001
Zamiast budować procedury od zera, należy wykorzystać istniejący SZBI. Przeprowadzamy mapowanie obecnych procedur na wymogi obu regulacji. Profesjonalny audyt zgodności z NIS2 oraz audyt DORA wskaże dokładnie, które kontrolki ISO 27001 wymagają aktualizacji, a które należy wdrożyć od nowa.
Krok 3: Przegląd i renegocjacja umów IT / chmurowych
DORA wprowadza bezprecedensowe wymogi wobec łańcucha dostaw. Wszystkie umowy z dostawcami ICT (w tym dostawcami chmury obliczeniowej) muszą zostać zrewidowane. Kontrakt musi zawierać szczegółowe SLA, jasne procedury raportowania incydentów przez dostawcę, prawo instytucji finansowej do audytu dostawcy oraz precyzyjne klauzule wyjścia (exit strategy) gwarantujące ciągłość danych po rozwiązaniu umowy.
Krok 4: Zintegrowany system zgłaszania incydentów
Organizacja musi stworzyć jedną, zunifikowaną procedurę reagowania na incydenty. Procedura ta musi spełniać najostrzejsze kryteria czasowe z obu regulacji (np. wstępne powiadomienie w 4 godziny zgodnie z DORA, jeśli incydent dotyka podmiotu finansowego). Zgłoszenia muszą być kierowane do właściwych organów (CSIRT dla NIS2, właściwy organ nadzoru finansowego dla DORA).
Podsumowanie i dalsze kroki
NIS2 i DORA to nie dwa odrębne projekty, ale dwa elementy tego samego puzzle’a regulacyjnego. Kluczem do sukcesu i optymalizacji kosztów jest zbudowanie elastycznego, zintegrowanego SZBI, który odpowiada na wymogi obu aktów jednocześnie.
Czy Twoja organizacja jest gotowa na weryfikację ze strony organów nadzorczych w 2026 roku? Nie czekaj na pierwszą kontrolę. Skontaktuj się z nami, aby przeprowadzić audyt gotowości. Oferujemy wdrożenie SZBI w organizacji oraz specjalistyczne doradztwo prawne w obszarze nowych technologii, które zabezpieczy Twój biznes przed sankcjami.
Najczęstsze pytania (FAQ)
Czy podmiot finansowy musi wdrażać NIS2, jeśli podlega pod DORA?
Nie. Zgodnie z zasadą lex specialis, podmioty finansowe w zakresie cyberbezpieczeństwa i odporności operacyjnej stosują bezpośrednio rozporządzenie DORA. Obowiązki z NIS2 (KSC) mają zastosowanie pomocniczo tylko w tych wąskich zakresach, których DORA nie reguluje.
Jakie są dokładne terminy zgłaszania incydentów w DORA i NIS2?
W NIS2 (polskie KSC) terminy to: 24 godziny na wczesne ostrzeżenie, 72 godziny na zgłoszenie incydentu i 1 miesiąc na raport końcowy. W DORA terminy są krótsze: wstępne powiadomienie musi nastąpić nie później niż w ciągu 4 godzin od klasyfikacji incydentu, wstępne zgłoszenie w ciągu 24 godzin, a raport końcowy po zamknięciu incydentu.
Czy zewnętrzny dostawca chmury obliczeniowej musi bezpośrednio spełniać wymogi DORA?
DORA nie nakłada bezpośrednich obowiązków compliance na dostawców ICT, ale nakłada je na instytucje finansowe korzystające z ich usług. Instytucja finansowa musi w umowie prawnie wymusić na dostawcy chmury przestrzeganie standardów odporności cyfrowych, poddanie się audytom i gwarancję ciągłości działania.
