ProduktyModułyDokumentacjaKalkulatoryCennikBlogO nas EN Zaloguj Zobacz demo
Dla dostawców ICT

Bank przysłał ankietę DORA. Odeślij komplet w dwa tygodnie.

Dostawca usług ICT dla banku, ubezpieczyciela albo TFI odpowiada na ankietę due diligence i podpisuje aneks z art. 30 DORA. Dostawca szpitala, wodociągów czy spółki energetycznej dostaje to samo w wersji NIS2. Pakiety Dostawca DORA Start i Dostawca NIS2 Start to po 12 dokumentów napisanych pod te pytania: między szablonem za 200 zł a kancelarią za 10 tys.

Pobierz bezpłatną próbkę → Co jest w pakietach
Dla kogo

Dla właściciela albo CTO firmy IT na 5 do 50 osób

Dla firm, które dostały od klienta ankietę bezpieczeństwa, aneks albo listę wymagań i nie mają działu compliance. DORA (rozporządzenie (UE) 2022/2554) stosuje się od 17 stycznia 2025. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża NIS2, obowiązuje od 3 kwietnia 2026. Obowiązki ciążą na kliencie, a klient przenosi je na dostawców przez umowę i ankietę.

Software house

Budujesz lub utrzymujesz aplikację dla banku, ubezpieczyciela, TFI, instytucji płatniczej albo szpitala, wodociągów, spółki energetycznej.

Wsparcie i outsourcing IT

Administrujesz infrastrukturą, stacjami roboczymi albo siecią klienta i masz dostęp do jego systemów.

Hosting, integrator, SaaS

Utrzymujesz serwery, backup albo aplikację, na której pracuje klient objęty DORA lub ustawą o KSC.

Problem

Co przychodzi od klienta i dlaczego termin jest krótki

Przed zawarciem umowy bank musi ocenić dostawcę i ryzyka usługi (art. 28 ust. 4 DORA), a podmiot kluczowy lub ważny musi objąć środkami bezpieczeństwa swój łańcuch dostaw. W praktyce to pięć rzeczy, zwykle z terminem dwóch tygodni i bez podpowiedzi, co jest wystarczające.

  • AnkietaDue diligence przed podpisaniem umowy i co roku potem: od kilkudziesięciu do ponad 200 pytań o bezpieczeństwo, incydenty, ciągłość, dostęp, podwykonawców i lokalizacje danych.
  • Aneks art. 30Minimalne klauzule z art. 30 ust. 2 DORA dla każdej umowy ICT, a przy funkcjach krytycznych lub istotnych także art. 30 ust. 3: pełne SLA, testowane plany ciągłości, audyt, TLPT, strategia wyjścia.
  • Rejestr informacjiDane do rejestru umów ICT, który bank prowadzi z art. 28 ust. 3 według wzorów z rozporządzenia wykonawczego 2024/2956: firma, usługi, lokalizacje, łańcuch podwykonawców.
  • Łańcuch NIS2Podmiot kluczowy lub ważny musi objąć środkami bezpieczeństwa swój łańcuch dostaw (art. 21 ust. 2 lit. d NIS2), więc wysyła dostawcom ankietę, klauzule bezpieczeństwa i zapowiedź audytu.
  • DowodyNie wystarczy "tak, mamy". Klient prosi o zatwierdzoną politykę, procedurę incydentów, raport z testu odtworzenia, listę podwykonawców i protokół przeglądu dostępów.
Pakiety

Dostawca DORA Start i Dostawca NIS2 Start

Po 12 dokumentów w DOCX do edycji i PDF do wglądu, z przewodnikiem po pakiecie. Pola do uzupełnienia są w nawiasach kwadratowych, przykłady pokazują fikcyjną firmę na 20 osób. Stanowisko dokumentów jest po stronie dostawcy: terminy, których mała firma realnie dotrzyma, i czerwone linie w negocjacjach.

Banki, ubezpieczyciele, TFI

Dostawca DORA Start

Pod ankietę due diligence, aneks z art. 30 i dane do rejestru informacji banku.

  1. L1-DDS-01Polityka bezpieczeństwa ICT dostawcy
    Zasady, role i wymagania minimalne. Pierwszy dokument, o który prosi bank.
  2. L3-DDS-02Procedura incydentów i powiadamiania klienta
    Klasyfikacja, termin powiadomienia klienta, raport przyczyn i rejestr incydentów.
  3. L3-DDS-03Plan ciągłości działania i kopii zapasowych
    Klasy odtworzeniowe, RTO i RPO, kopie, scenariusze i testy.
  4. L3-DDS-04Procedura zarządzania dostępem
    Nadawanie, przegląd i odbieranie dostępów, MFA, konta uprzywilejowane.
  5. L3-DDS-05Procedura zarządzania zmianą
    Rejestr zmian, zatwierdzenie, wycofanie i notyfikacja zmian istotnych.
  6. A-DDS-06Rejestr aktywów i usług ICT
    Usługi dla klientów, systemy i lokalizacje danych w jednym miejscu.
  7. A-DDS-07Rejestr ryzyk ICT
    Metoda jednostronicowa 3x3, scenariusze bazowe i decyzje Zarządu.
  8. A-DDS-08Rejestr podwykonawców
    Łańcuch podwykonawców z rangą i lokalizacjami; dane do rejestru informacji banku.
  9. L3-DDS-09Plan wsparcia wyjścia klienta
    Okres przejściowy, eksport danych, usunięcie i potwierdzenie.
  10. A-DDS-10Mapa ankiety banku
    40 pytań i pytanie krajowe K1: wzór odpowiedzi, dokument, dowód, status.
  11. A-DDS-11Checklista klauzul art. 30 do aneksu
    Co przyjąć, co negocjować i czerwone linie, przed podpisaniem aneksu.
  12. A-DDS-12Rejestr szkoleń, testów i przeglądów
    Dowód, że kontrole działają: szkolenia, testy odtworzenia, przeglądy dostępów.
Kup w sklepie →
Podmioty kluczowe i ważne

Dostawca NIS2 Start

Pod wymagania łańcucha dostaw klienta objętego ustawą o KSC: ankieta, klauzule, audyt.

  1. L1-NISD-001Polityka bezpieczeństwa informacji dostawcy
    Zakres, role, wymagania minimalne i mapa obszarów art. 8 UKSC.
  2. L2-NISD-002Analiza ryzyka i rejestr ryzyk
    Metoda 3x3 i rejestr ryzyk z przykładami.
  3. L3-NISD-003Procedura incydentów i powiadamiania klienta
    Termin umowny dla klienta i dane do jego zgłoszenia w S46.
  4. L2-NISD-004Standard ciągłości działania i odtwarzania
    Klasy odtworzeniowe, plan odtworzenia i test.
  5. L2-NISD-005Standard zarządzania dostępem
    MFA, dostęp uprzywilejowany i dostęp do środowisk klientów.
  6. L2-NISD-006Standard bezpieczeństwa łańcucha dostaw
    Ocena i nadzór własnych podwykonawców.
  7. L2-NISD-007Standard kopii zapasowych i odtwarzania
    Ochrona kopii przed ransomware i test odtworzenia.
  8. L3-NISD-008Procedura aktualizacji i podatności
    Terminy poprawek i bezpieczne wytwarzanie.
  9. L2-NISD-009Standard szkoleń i świadomości
    Szkolenia, phishing, szkolenie kierownictwa, informacja z KRK.
  10. A-NISD-010Rejestr aktywów i usług
    Usługi, aktywa i kontakty incydentowe klientów.
  11. A-NISD-011Mapa wymagań klienta NIS2
    30 pytań klienta z odpowiedzią, dokumentem i dowodem.
  12. T-NISD-012Checklista umowna NIS2 dla dostawcy
    Klauzule łańcucha dostaw: akceptuj, negocjuj, granica.
Kup w sklepie →

Sprzedaż wyłącznie firmom, na fakturę. Licencja na jeden podmiot. Pakiet NIS2 Start jest dla dostawców, którzy sami nie są podmiotem kluczowym ani ważnym.

Mapa

Pytanie z ankiety: dokument, który na nie odpowiada

Pytania brzmią w każdej ankiecie inaczej, ale co do treści powtarzają się. Poniżej 20 z ponad 70 pytań z map w pakietach: 14 z ankiety banku (A-DDS-10) i 6 z wymagań klienta NIS2 (A-NISD-011). W pakiecie każde ma jeszcze wzór odpowiedzi i pole statusu.

Ankieta banku (DORA)

NrPytanie z ankietyDokumentDowód
A2Kto odpowiada za bezpieczeństwo informacji? Czy macie zatwierdzone polityki?L1-DDS-01 Polityka bezpieczeństwa ICTPolityka z datą zatwierdzenia przez Zarząd
A4Czy posiadacie certyfikat ISO 27001 lub raport SOC 2 / ISAE 3402?L1-DDS-01 Polityka bezpieczeństwa ICTCertyfikat z zakresem albo pakiet dowodów
B3Gdzie przetwarzane i przechowywane są nasze dane, w tym kopie?A-DDS-06 Rejestr aktywów i usług ICTWyciąg z rejestru dla usługi klienta
C1Czy stosujecie uwierzytelnianie wieloskładnikowe (MFA)?L3-DDS-04 Procedura zarządzania dostępemRaport pokrycia MFA
C2Jak zarządzacie kontami uprzywilejowanymi i jak często przeglądacie uprawnienia?L3-DDS-04 Procedura zarządzania dostępemEwidencja kont, protokół ostatniego przeglądu
D2Jak zarządzacie podatnościami? Jakie są terminy poprawek?L1-DDS-01 Polityka bezpieczeństwa ICTRaport ze skanów, historia poprawek
D3Kiedy był ostatni test penetracyjny i jakie były wyniki?A-DDS-12 Rejestr szkoleń, testów i przeglądówStreszczenie raportu, status ustaleń
E3Jak zarządzacie zmianami w środowisku produkcyjnym?L3-DDS-05 Procedura zarządzania zmianąPróbka z rejestru zmian
F1W jakim czasie poinformujecie nas o incydencie?L3-DDS-02 Procedura incydentówRejestr incydentów z czasami powiadomień
G1Jakie są RTO i RPO usługi?L3-DDS-03 Plan ciągłości i kopiiRaport z testu odtworzenia
G3Czy macie plan ciągłości działania i kiedy był testowany?L3-DDS-03 Plan ciągłości i kopiiPlan, raporty z testów
H1Proszę o listę podwykonawców biorących udział w świadczeniu usługi i ich lokalizacje.A-DDS-08 Rejestr podwykonawcówWyciąg z rejestru podwykonawców
H4Proszę o dane do naszego rejestru informacji (DORA).A-DDS-08 Rejestr podwykonawcówWyciąg w formacie klienta
J1Jak wesprzecie nas przy zakończeniu umowy? Czy zapewnicie okres przejściowy?L3-DDS-09 Plan wsparcia wyjścia klientaPlan wsparcia wyjścia

Wymagania klienta NIS2

NrPytanie klientaDokumentDowód
1Czy są Państwo podmiotem kluczowym lub ważnym w rozumieniu UKSC?L1-NISD-001 Polityka bezpieczeństwa informacjiNotatka z oceny statusu z datą i uzasadnieniem
9Czy dostarczą Państwo informacje potrzebne do naszego zgłoszenia w S46 (24h, 72h, 1 mies.)?L3-NISD-003 Procedura incydentówWzór komunikatu, protokół ćwiczenia
19W jakim czasie usuwają Państwo podatności krytyczne?L3-NISD-008 Procedura aktualizacji i podatnościZestawienie podatności, rejestr wyjątków
22Czy pracownicy mają zobowiązania do poufności i jak są weryfikowani?L2-NISD-009 Standard szkoleń i świadomościWzór zobowiązania, lista osób z datą informacji z KRK
24Jak oceniają i nadzorują Państwo swoich podwykonawców?L2-NISD-006 Standard łańcucha dostawDaty i wyniki ocen, wzór klauzul
30Czy umożliwią Państwo audyt lub przekażą dowody zgodności?T-NISD-012 Checklista umowna NIS2Pakiet dowodów, klauzula audytu
Bezpłatna próbka

Pobierz pełne mapy pytań i dwa rejestry

Cztery dokumenty z pakietów ze znakiem wodnym PRÓBKA: mapa ankiety banku na 40 pytań i rejestr podwykonawców (DORA) oraz mapa wymagań klienta na 30 pytań i rejestr aktywów i usług (NIS2). Pliki otworzą się od razu. Jeśli chcesz, zostaw e-mail, a wyślemy Ci pięć krótkich wiadomości o tym, jak przejść ankietę; to dobrowolne.

Jak pracować

Dziesięć dni roboczych od ankiety do odpowiedzi

Tyle zajmuje dostosowanie pakietu jednej osobie, z Zarządem przy zatwierdzeniu. Kolejność ma znaczenie, bo rejestry z kroku drugiego zasilają odpowiedzi na większość pytań.

01

Polityka i role

Czytasz przewodnik i politykę, obsadzasz role. W małej firmie jedna osoba pełni kilka ról.

02

Usługi i podwykonawcy

Wypełniasz rejestr usług i rejestr podwykonawców. Te dane wracają w prawie każdym pytaniu klienta.

03

Procedury

Dostosowujesz incydenty, ciągłość, dostęp, zmianę i wyjście. Uzupełniasz pola w nawiasach, usuwasz to, co Cię nie dotyczy.

04

Ryzyka i luki

Wszystko, czego dziś nie spełniasz, wpisujesz jako ryzyko z planem i terminem. Lepsze "w trakcie, termin X" niż deklaracja bez pokrycia.

05

Odpowiedź do klienta

Odpowiadasz na ankietę według mapy, ze statusem i dowodem przy każdym pytaniu. Aneks sprawdzasz według checklisty, zanim go podpiszesz.

Darmowe narzędzia

Sprawdź luki, zanim zrobi to klient

Bezpłatna analiza luk w skali 1 do 5, około 15 minut, raport z priorytetami od razu. Dobry punkt wyjścia, zanim usiądziesz do ankiety.

Analiza luk DORA → Analiza luk NIS2 i KSC →
Do poczytania

Poradniki dla dostawców

FAQ

Najczęstsze pytania dostawców ICT

Bezpośrednio nie, bo adresatem DORA jest podmiot finansowy. Pośrednio tak: bank musi zarządzać ryzykiem ze strony dostawców ICT (art. 28) i mieć w umowie klauzule z art. 30, więc przenosi te wymagania na Ciebie przez ankietę i aneks do umowy.
Każda umowa ICT musi mieć elementy z art. 30 ust. 2: opis usług, lokalizacje świadczenia i przetwarzania danych, ochronę danych, dostęp do danych i ich zwrot, opisy poziomu usług, pomoc przy incydentach bez dodatkowych kosztów albo po koszcie ustalonym z góry, współpracę z organami, prawo wypowiedzenia i udział w szkoleniach. Przy usługach wspierających funkcje krytyczne lub istotne dochodzi art. 30 ust. 3: pełne SLA, okresy powiadomień, testowane plany awaryjne, udział w TLPT, prawo dostępu, inspekcji i audytu oraz strategia wyjścia z okresem przejściowym.
Bank wpisuje do rejestru informacji dane identyfikacyjne dostawcy, opis usług ICT, funkcje, które wspierają, lokalizacje świadczenia usług i przetwarzania danych oraz podwykonawców biorących udział w usłudze. Wzory rejestru określa rozporządzenie wykonawcze Komisji (UE) 2024/2956.
Nie. Ani DORA, ani NIS2 nie wymagają od dostawcy certyfikatu. Klient oczekuje udokumentowanych i stosowanych zasad bezpieczeństwa, obsługi incydentów, ciągłości działania i nadzoru nad podwykonawcami, z dowodami. Certyfikat ułatwia rozmowę, ale ankietę pokrywają konkretne dokumenty i rejestry.
Szablon za 200 zł jest ogólny i nie odpowiada na pytania banku. Kancelaria przygotuje dokumenty na miarę, ale za kilka do kilkunastu tysięcy złotych i w kilka tygodni. Pakiet jest pomiędzy: 12 dokumentów napisanych pod to, o co pyta klient, z mapą pytanie, dokument, dowód, checklistą klauzul i odniesieniami do przepisów.
Około 10 dni roboczych pracy jednej osoby, z udziałem Zarządu przy zatwierdzeniu. Krótką ankietę wstępną (do około 50 pytań) da się zwykle odesłać w 5 dni roboczych od jej otrzymania, pełną z dokumentami i dowodami w 10.
Dostawca NIS2 Start, jeśli Twoja firma sama nie jest podmiotem kluczowym ani ważnym. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, a od średniej wielkości także dostawcy usług zarządzanych, chmury i centrów danych mają własne obowiązki ustawowe, których pakiet Start nie obejmuje.
Wymagania banków wynikają z DORA, a wymagania podmiotów kluczowych i ważnych z ustawy o krajowym systemie cyberbezpieczeństwa. Zakres się pokrywa, ale ankiety, terminy i klauzule są inne. Pakiety są zaprojektowane tak, żeby stosować je razem.
Dwa pełne dokumenty z każdego pakietu ze znakiem wodnym PRÓBKA: z DORA Start mapa ankiety banku (40 pytań) i rejestr podwykonawców, z NIS2 Start mapa wymagań klienta (30 pytań) i rejestr aktywów i usług. Pobierasz je bez podawania e-maila.
Nie. Pakiet zawiera wzory dokumentów i materiał informacyjny. Nie stanowi porady prawnej, audytu ani oceny zgodności i nie gwarantuje pozytywnej oceny dostawcy przez klienta. Za dostosowanie i treść odpowiedzi udzielanych klientom odpowiada firma, która przyjmuje dokumenty.
Źródła

Podstawa prawna

  • 2022/2554Rozporządzenie (UE) w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), art. 28 do 30
  • 2024/2956Rozporządzenie wykonawcze Komisji (UE), standardowe wzory rejestru informacji
  • 2024/1773Rozporządzenie delegowane Komisji (UE), polityka korzystania z usług ICT wspierających funkcje krytyczne lub istotne
  • 2025/532Rozporządzenie delegowane Komisji (UE), podwykonawstwo usług ICT wspierających funkcje krytyczne lub istotne
  • 2022/2555Dyrektywa NIS2, art. 21 ust. 2 lit. d (bezpieczeństwo łańcucha dostaw)
  • Dz. U. 2026 poz. 252Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, w mocy od 3 kwietnia 2026 r.

Zacznij od próbki. Resztę dobierz w sklepie.

Mapa pytań pokaże w godzinę, ile z ankiety już masz, a ile trzeba dopisać. Pakiety kupisz w sklepie RealSec, na fakturę, z plikami do pobrania po płatności.

Pobierz próbkę → Kup w sklepie →