Bank przysłał ankietę DORA: co musisz mieć

Ankieta DORA od banku i aneks z art. 30 na biurku, termin za dwa tygodnie? Rozkładamy, czego bank wymaga od dostawcy ICT, na jakie przepisy się powołuje, co odpowiedzieć i jakie dokumenty musisz mieć.

No to typowy wtorek. Prowadzisz software house, hosting albo outsourcing IT na 20 osób, jeden z klientów to bank, ubezpieczyciel albo TFI. Przychodzi mail: “w związku z rozporządzeniem DORA prosimy o wypełnienie załączonej ankiety oraz podpisanie aneksu do umowy”. Ankieta ma 120 pytań, aneks 14 stron, termin dwa tygodnie.

Krótka odpowiedź na pytanie z tytułu: musisz mieć około dwunastu dokumentów i rejestrów, które opisują to, co naprawdę robisz, oraz dowody, że to działa. Polityka bezpieczeństwa, procedura incydentów, plan ciągłości z testem odtworzenia, dostęp, zmiany, rejestr usług, rejestr podwykonawców, rejestr ryzyk, plan wyjścia, rejestr szkoleń i testów. Do tego mapa “pytanie z ankiety, dokument, dowód” i checklista do aneksu. Reszta tekstu tłumaczy, skąd to się bierze i jak tego użyć.

Dlaczego bank przysyła ankietę DORA dostawcy ICT

Bo musi. DORA, czyli rozporządzenie (UE) 2022/2554, stosuje się od 17 stycznia 2025 i w Polsce nadzoruje ją KNF. Adresatem jest podmiot finansowy, nie Ty… tylko że bank nie spełni swoich obowiązków bez Twoich danych i Twoich zobowiązań.

Art. 28 ust. 4 DORA każe bankowi przed zawarciem umowy ocenić, czy usługa wspiera funkcję krytyczną lub istotną, jakie niesie ryzyka i czy dostawca się nadaje. Art. 28 ust. 5 mówi wprost, że bank może zawierać umowy tylko z dostawcami, którzy stosują odpowiednie standardy bezpieczeństwa informacji. Ankieta due diligence to po prostu sposób, w jaki bank tę ocenę dokumentuje.

Dochodzi do tego rejestr informacji z art. 28 ust. 3. Bank prowadzi ewidencję wszystkich umów na usługi ICT i co najmniej raz w roku raportuje do nadzoru, ilu ma dostawców, jakich, na jakie usługi. Wzory tego rejestru określa rozporządzenie wykonawcze Komisji (UE) 2024/2956… i to stamtąd biorą się pytania o identyfikator firmy, kraj przetwarzania danych i łańcuch podwykonawców.

Przy usługach wspierających funkcje krytyczne lub istotne bank ma jeszcze własną politykę korzystania z takich usług, opisaną w rozporządzeniu delegowanym (UE) 2024/1773. Jeśli w ankiecie widzisz pytanie, które wygląda na wyjęte z podręcznika zarządzania ryzykiem, najczęściej pochodzi właśnie stamtąd.

Wymagania banku wobec dostawcy ICT: pięć rzeczy w jednej kopercie

W praktyce bank przysyła pięć rzeczy naraz, nawet jeśli wszystko siedzi w jednym mailu. Ankietę bezpieczeństwa, aneks z klauzulami z art. 30, prośbę o dane do rejestru informacji, prośbę o “polityki i procedury” oraz zapowiedź, że kiedyś przyjdzie audyt.

Ankieta ma od kilkudziesięciu do ponad dwustu pytań. Brzmią w każdym banku inaczej, ale co do treści powtarzają się w kółko. Mapa w naszym pakiecie zbiera 40 najczęstszych w dziesięciu obszarach: profil i ład, ryzyko i dane, dostęp, bezpieczeństwo techniczne, wytwarzanie i zmiany, incydenty, ciągłość, podwykonawcy, umowa i audyt, wyjście i ludzie. Plus jedno pytanie krajowe o tajemnicę bankową z art. 104 Prawa bankowego, które polskie banki dopisują prawie zawsze.

Najważniejsze jest to, że bank nie pyta o deklaracje. Pyta o dowody: politykę z datą zatwierdzenia przez Zarząd, raport pokrycia MFA, protokół przeglądu uprawnień, raport z testu odtworzenia, listę podwykonawców z lokalizacjami. To zmienia sposób pracy nad ankietą.

Ankieta DORA od banku: co odpowiedzieć

Odpowiadasz faktami i dowodami, nie zapewnieniami. To jedna zasada, która oszczędza najwięcej nerwów, bo każde “tak” w ankiecie staje się potem argumentem w umowie i przy audycie.

Dobrze działa prosty system statusów przy każdym pytaniu. JEST, gdy kontrola działa i masz dowód. W BUDOWIE, gdy masz plan z właścicielem i terminem; wtedy odpowiedź brzmi “w trakcie wdrożenia, termin [data]” plus dwa zdania o planie i środkach tymczasowych. LUKA, gdy nie ma ani kontroli, ani planu; z taką odpowiedzią nie wysyłasz ankiety bez decyzji Zarządu.

Weźmy kilka typowych pytań. “Czy stosujecie MFA?” Odpowiedź: tak, dla dostępu zdalnego, administracyjnego, konsoli chmury, repozytoriów i poczty, pokrycie 100%, dowód: raport z systemu tożsamości.

“Jak często przeglądacie uprawnienia?” Uprawnienia administracyjne i konta podwykonawców co kwartał, pozostałe co pół roku, dowód: protokół ostatniego przeglądu.

“Czy posiadacie ISO 27001 albo SOC 2?” Jeśli nie, nie udawaj. Napisz, że nie posiadacie certyfikatu, stosujecie wymagania minimalne z polityki i udostępniacie rejestry oraz raporty z testów. DORA nie wymaga od dostawcy certyfikatu, a bank i tak oceni, co realnie robisz.

“Jakie są RTO i RPO usługi?” Tu najłatwiej strzelić sobie w stopę. Wpisujesz wartość potwierdzoną testem odtworzenia, nie życzeniową. Jeśli test pokazał 18 godzin, nie piszesz 4, bo od pierwszego dnia umowy jesteś w naruszeniu.

Kilka zasad z praktyki na koniec tej części. Nie zmieniaj sensu pytania, żeby odpowiedzieć “tak”. Pytania o szczegóły podatności albo dane innych klientów zbywasz odpowiedzią ogólną i propozycją wglądu po podpisaniu NDA. Wysłaną ankietę archiwizujesz, bo za rok bank przyśle ją znowu i porówna odpowiedzi.

Incydenty: zegar banku i Twój zegar

Pytanie “w jakim czasie poinformujecie nas o incydencie?” jest w każdej ankiecie. Żeby odpowiedzieć sensownie, trzeba wiedzieć, pod jaką presją czasu jest bank.

Art. 19 DORA każe bankowi zgłaszać poważne incydenty ICT do nadzoru, a terminy określa rozporządzenie delegowane (UE) 2025/301. Powiadomienie wstępne w ciągu 4 godzin od zaklasyfikowania incydentu jako poważny i nie później niż 24 godziny od powzięcia o nim wiadomości. Raport pośredni w 72 godziny od powiadomienia wstępnego, raport końcowy w miesiąc. Jeśli incydent wybuchł u Ciebie, bank potrzebuje od Ciebie danych szybko.

Twoja odpowiedź musi być wykonalna. Rozsądny układ dla małej firmy bez całodobowego dyżuru wygląda tak: incydent krytyczny zgłaszasz bez zbędnej zwłoki, nie później niż 2 godziny od wykrycia wpływu na usługę klienta, liczone w oknie dyżuru; incydent istotny w 24 godziny; dyżur 24/7 jako płatna opcja. Aktualizacje co 4 godziny, raport przyczyn w 10 dni roboczych.

Czerwona linia to termin liczony “od wystąpienia” incydentu. Nie wiesz o incydencie, zanim go wykryjesz, więc takiego terminu nie da się dotrzymać z definicji. Art. 30 ust. 2 lit. f wymaga też pomocy przy incydencie bez dodatkowych kosztów albo po koszcie ustalonym z góry; ten wybór jest do negocjacji, więc go nie oddawaj w ciemno.

Aneks z art. 30: co przyjąć, a co negocjować

Aneks DORA to zwykle art. 30 przepisany na język Twojej umowy. Art. 30 ust. 1 wymaga formy pisemnej i jednego dokumentu z prawami i obowiązkami stron. Ust. 2 dotyczy każdej umowy na usługi ICT, ust. 3 dochodzi tylko wtedy, gdy Twoja usługa wspiera funkcję krytyczną lub istotną banku. Zapytaj o to na piśmie na samym początku, bo od tego zależy zakres całego aneksu.

Z ust. 2 przyjmujesz co do zasady wszystko: opis usług, lokalizacje świadczenia usług i przetwarzania danych z obowiązkiem uprzedzenia o zmianie, ochronę danych, ich zwrot przy zakończeniu umowy, opisy poziomu usług, pomoc przy incydentach, współpracę z organami, prawo wypowiedzenia i udział w szkoleniach banku. Negocjujesz sposób: ile dni wyprzedzenia przy zmianie lokalizacji, ile godzin szkoleń rocznie, jaki cennik pomocy przy incydentach, które nie są z Twojej winy.

Ust. 3 to cięższy kaliber. Pełne SLA z mierzalnymi celami, okresy powiadomień i raportowanie, wdrożone i przetestowane plany awaryjne, udział w testach TLPT, nieograniczone prawo dostępu, inspekcji i audytu oraz strategia wyjścia z obowiązkowym okresem przejściowym. Zasady nie ruszysz, bo bank nie może jej pominąć. Ruszasz tryb: audyt z zapowiedzią, najpierw dowody i raporty, audyty wspólne kilku klientów, ochrona danych innych klientów w środowisku współdzielonym.

Czego nie podpisujesz bez decyzji Zarządu? Odpowiedzialności nieograniczonej albo kary za sam fakt wystąpienia incydentu, RTO lepszego niż potwierdzone testem i całkowitego zakazu podwykonawstwa przy usłudze, która działa w chmurze publicznej… bo to po prostu niewykonalne.

Każda z tych pozycji ma ruch zastępczy, który chroni zgodność banku i Twoją firmę jednocześnie.

Szerzej o każdej klauzuli piszemy w tekście Aneks DORA z art. 30: 12 klauzul, które podpiszesz jako dostawca ICT.

Rejestr informacji i podwykonawcy

Prośba “proszę o dane do naszego rejestru informacji” wygląda na biurokrację, ale to obowiązek banku z art. 28 ust. 3 DORA. Bank wpisuje Twoje dane identyfikacyjne, opis usług, funkcje, które wspierają, kraje świadczenia usługi i przetwarzania danych oraz łańcuch podwykonawców z ich rangą w łańcuchu. Wszystko według wzorów z rozporządzenia wykonawczego 2024/2956.

Tu mali dostawcy wykładają się najczęściej. Nie dlatego, że coś ukrywają, tylko dlatego, że nikt w firmie nie ma jednej listy: które usługi, na jakiej infrastrukturze, w jakim regionie chmury, z jakimi podwykonawcami. Rejestr usług i rejestr podwykonawców załatwiają to raz, a potem odpowiadasz wyciągiem w formacie klienta.

Przy usługach wspierających funkcje krytyczne lub istotne dochodzi rozporządzenie delegowane (UE) 2025/532 o podwykonawstwie, w mocy od 22 lipca 2025. Bank musi ocenić, czy podwykonawstwo jest w ogóle dopuszczalne, czy umiesz zidentyfikować i nadzorować swoich istotnych podwykonawców, czy prawa audytu i dostępu przechodzą w dół łańcucha i jak wygląda powiadamianie o zmianach z prawem sprzeciwu. Stąd pytania typu “czy przenosicie nasze wymagania na podwykonawców?” i “czy poinformujecie nas o zmianie podwykonawcy?”.

Chmura publiczna, zewnętrzny SOC, firma od backupu, freelancer z dostępem do produkcji… wszystko to się liczy. Jeśli dziś nie umiesz tego wypisać w kwadrans, to jest pierwsza rzecz do zrobienia.

Co musisz mieć: dwanaście dokumentów, nie segregator

Nie potrzebujesz pełnego systemu zarządzania z certyfikacją. Potrzebujesz zestawu, który odpowiada na pytania banku i realnie działa w firmie na 5 do 50 osób.

Fundament to polityka bezpieczeństwa ICT zatwierdzona przez Zarząd, z rolami i wymaganiami minimalnymi. Pod nią pięć procedur: incydenty z powiadamianiem klienta, ciągłość działania i kopie zapasowe, zarządzanie dostępem, zarządzanie zmianą i plan wsparcia wyjścia klienta. Obok cztery rejestry: aktywa i usługi, ryzyka ICT, podwykonawcy oraz szkolenia, testy i przeglądy.

Dwa ostatnie dokumenty to narzędzia do pracy z bankiem. Mapa ankiety, w której każde typowe pytanie ma wzór odpowiedzi, wskazany dokument i dowód. I checklista klauzul art. 30, z którą przechodzisz aneks punkt po punkcie, zanim go podpiszesz. Tabelę “pytanie z ankiety: dokument” dla 20 najczęstszych pytań znajdziesz na stronie dokumentacja dla dostawców ICT.

Co wysłać bankowi, a czego nie

Nie wszystko, co masz, powinno wyjść z firmy. Do ankiety wysyłasz odpowiedzi w formacie klienta z dowodami, a dowody poufne udostępniasz po podpisaniu NDA. Na prośbę o “polityki i procedury” wysyłasz PDF zatwierdzonej polityki, procedury incydentów i planu ciągłości; resztę na żądanie.

Nie wysyłasz wewnętrznej checklisty do aneksu, bo to Twoja pozycja negocjacyjna. Nie wysyłasz pełnego rejestru ryzyk, tylko podsumowanie albo wgląd podczas audytu. Nie wysyłasz plików DOCX z pustymi polami i przykładami z wzoru… zdarza się częściej, niż myślisz :D

Plan na dwa tygodnie

Krótką ankietę wstępną, do około 50 pytań, da się zwykle odesłać w 5 dni roboczych. Pełną, z dokumentami i dowodami, w 10. Kolejność ma znaczenie.

Dzień pierwszy: ustal z bankiem termin i to, czy usługa wspiera funkcję krytyczną lub istotną. Dni dwa i trzy: rejestr usług i rejestr podwykonawców, bo te dane wracają w prawie każdym pytaniu.

Dni cztery do siedmiu: polityka i procedury, uzupełnione o Twoje realne terminy. Dzień ósmy: ryzyka, czyli wszystko, czego dziś nie spełniasz, z planem i terminem. Dni dziewięć i dziesięć: odpowiedzi według mapy, przegląd aneksu według checklisty i zatwierdzenie przez Zarząd.

Jeśli nie masz testu odtworzenia z ostatnich 12 miesięcy, zaplanuj go jako pierwszy. Pytanie o RTO i RPO jest w każdej ankiecie, a bez testu nie masz na nie uczciwej odpowiedzi.

Przewodnik dla dostawcy ICT do pobrania

Całość w skrócie, do wydrukowania i położenia obok ankiety: Przewodnik dla dostawcy ICT, 9 stron. Skąd biorą się wymagania, plan na dziesięć dni, 20 pytań z dokumentem i dowodem, checklista aneksu z art. 30, czerwone linie, dane do rejestru informacji i krótko o wymaganiach NIS2 od klientów spoza finansów. Pobierasz od razu, e-mail jest dobrowolny.

Jeśli wolisz zacząć od gotowych dokumentów, na stronie dokumentacja DORA i NIS2 dla dostawców ICT jest bezpłatna próbka pakietu: pełna mapa ankiety banku na 40 pytań i rejestr podwykonawców. A jeśli chcesz najpierw sprawdzić, gdzie masz luki, uruchom bezpłatną analizę luk DORA.

Źródła

• Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), art. 19, art. 28 do 30
• Rozporządzenie wykonawcze Komisji (UE) 2024/2956 z 29 listopada 2024 r. (standardowe wzory rejestru informacji)
• Rozporządzenie delegowane Komisji (UE) 2024/1773 z 13 marca 2024 r. (polityka korzystania z usług ICT wspierających funkcje krytyczne lub istotne)
• Rozporządzenie delegowane Komisji (UE) 2025/532 (podwykonawstwo usług ICT wspierających funkcje krytyczne lub istotne)
• Rozporządzenie delegowane Komisji (UE) 2025/301 (treść i terminy zgłoszeń poważnych incydentów ICT)
• Ustawa z 29 sierpnia 1997 r. Prawo bankowe, art. 104 (tajemnica bankowa)

Od strony banku DORA opisujemy w tekście DORA krok po kroku.

Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.

← Wszystkie notatki