Zakres to pierwszy filtr

DORA stosuje się od 17 stycznia 2025 r. Zakres podmiotowy oraz wyjątki trzeba ustalić według art. 2 i właściwych regulacji. Nie każda firma świadcząca usługę dla banku podlega temu samemu zestawowi bezpośrednich obowiązków co bank. Może jednak otrzymywać szczegółowe wymagania kontraktowe.

Dla dostawcy IT kluczowe jest ustalenie roli: jaką usługę świadczy, komu, czy wspiera krytyczne lub istotne funkcje i jakie zobowiązania przyjął. Sama etykieta „dostawca finansowy” nie pozwala rzetelnie ustalić ani odpowiedzialności, ani potrzeb ubezpieczeniowych.

Obowiązki i finansowanie skutków

Zarządzanie ryzykiem ICT, obsługa incydentów, testy odporności i kontrola dostawców są procesami organizacji. Polisa nie wykona testu odtworzenia, nie uzupełni rejestru umów i nie zastąpi przygotowania zgłoszenia regulacyjnego. Budżet na zgodność powinien pozostać oddzielony od decyzji o transferze ryzyka.

Ubezpieczenie rozpatruje się po ustaleniu scenariuszy i skutków. Może być potrzebna analiza kosztów własnych, odpowiedzialności za usługę i umownych ograniczeń regresu. Każda z tych kwestii wymaga właściwego dokumentu, a nie jednego ogólnego potwierdzenia, że firma ma ochronę cyber.

Umowy z dostawcami ICT

Sprawdź obowiązki udostępniania informacji, wsparcia podczas incydentu, kontroli i zakończenia współpracy. Zweryfikuj także podwykonawców i możliwości migracji danych. Czas odzyskania aplikacji nie zależy wyłącznie od dostawcy głównego, jeśli korzysta on z kolejnych usług.

Wymaganie kontrahenta dotyczące polisy przełóż na konkretne parametry i granice odpowiedzialności. Nie potwierdzaj w umowie handlowej, że polisa pokrywa wszystko, czego nie sprawdzono w dokumentach. Kary umowne, odpowiedzialność rozszerzona kontraktem i zwykła szkoda mogą wymagać odrębnej analizy.

Jak przygotować wspólny przegląd

Zaproś IT, compliance, prawnika i finanse do opisu jednego krytycznego scenariusza. Zapisz zależności, przewidywany czas niedostępności, kanały zgłoszeń i koszty reakcji. Następnie skonfrontuj plan z umowami dostawców oraz zakresem proponowanej polisy.

Przy odnowieniu uwzględnij zmiany kontraktów i nowych klientów finansowych. Rozszerzenie działalności może zmienić ekspozycję, nawet jeśli liczba pracowników pozostała taka sama. Agent powinien otrzymać rzetelny opis ryzyka, a analiza prawna określić obowiązki niezależne od ubezpieczenia.

Przy uzgadnianiu zakresu nie pomijaj obowiązków po zakończeniu usługi. Dostęp do danych, możliwość migracji i współpraca przy incydencie mogą pozostać ważne również wtedy, gdy podstawowa umowa wygasła.