DORA czy NIS2
DORA czy NIS2: co Państwa dotyczy i czego faktycznie wymaga
DORA wymaga stałego, przekazywanego i datowanego zbioru dowodów. NIS2 wymaga odpowiednich środków i dowodu na żądanie. To, który akt Państwa wiąże, zależy od tego, czy są Państwo podmiotem finansowym i czy świadczą Państwo usługi na jego rzecz.
Stan transpozycji zweryfikowano .
Także w językach: English · Français · Deutsch · Nederlands
Rozporządzenie czy dyrektywa: dlaczego ta różnica ma znaczenie
DORA, rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego (rozporządzenie (UE) 2022/2554), jest rozporządzeniem. Od 17 stycznia 2025 r. stosuje się je bezpośrednio, w tym samym brzmieniu, we wszystkich 27 państwach członkowskich. Nie trzeba czekać na ustawę krajową ani śledzić krajowych wariantów.
NIS2 (dyrektywa (UE) 2022/2555) jest dyrektywą. Wiąże Państwa za pośrednictwem ustawy wdrożeniowej danego państwa członkowskiego, a te ustawy pojawiały się w odstępie lat. Na dzień 30 września 2026 przyjęły ją państwa członkowskie w liczbie 24. Francja, Irlandia i Hiszpania tego nie zrobiły, a 8 lipca 2026 r. Komisja skierowała ich sprawy do Trybunału Sprawiedliwości.
Podmioty finansowe są wyłączone. Ich dostawcy usług ICT podlegają obu aktom.
DORA jest aktem sektorowym dla sektora finansowego. Zgodnie z art. 4 NIS2, jeżeli akt sektorowy nakłada równoważne wymogi, środki zarządzania ryzykiem z NIS2 (art. 21) i obowiązki zgłaszania incydentów (art. 23) nie mają zastosowania. Bank, zakład ubezpieczeń czy firma inwestycyjna podlega więc nadzorowi w zakresie ryzyka ICT i incydentów na podstawie DORA, sprawowanemu przez swój organ nadzoru finansowego, a nie podwójnie.
Oba akty spotykają się w łańcuchu dostaw
Dostawcy usług ICT, od których zależą te instytucje, podlegają obu aktom. DORA dociera do nich przez umowy z klientami: każdy podmiot finansowy musi mieć w umowach dotyczących ICT postanowienia z art. 30 i wpisać każdego dostawcę do rejestru informacji. Średni lub duży dostawca chmury, centrum danych, usług zarządzanych lub zarządzanych usług bezpieczeństwa jest zwykle także samodzielnie podmiotem kluczowym lub ważnym w rozumieniu NIS2.
Czego wymaga każdy z aktów
| DORA | NIS2 | |
|---|---|---|
| Rodzaj obowiązków | Nakazowy. Ramy zarządzania ryzykiem związanym z ICT (art. 5 do 16), klasyfikacja i zgłaszanie incydentów (art. 17 do 23), testowanie odporności, w tym TLPT (art. 24 do 27), oraz ryzyko ze strony zewnętrznych dostawców usług ICT (art. 28 do 30), uszczegółowione w standardach technicznych. | Oparty na zasadach. Środki cyberbezpieczeństwa „odpowiednie i proporcjonalne” w dziesięciu obszarach (art. 21), zgłaszanie incydentów (art. 23) i odpowiedzialność organu zarządzającego (art. 20). |
| Różnica, która ma znaczenieStały rezultat dowodowy | Tak, datowany i przekazywany. Rejestr informacji o wszystkich ustaleniach umownych z zewnętrznymi dostawcami usług ICT, na wzorze ESA (art. 28 ust. 3). Postanowienia art. 30 w każdej umowie dotyczącej ICT. Udokumentowane ramy zarządzania ryzykiem związanym z ICT, przeglądane co najmniej raz w roku (art. 6). Zgłoszenia poważnych incydentów na wzorach regulacyjnych. | Brak na poziomie UE. Muszą Państwo być w stanie wykazać swoje środki na żądanie organu, w drodze audytów, kontroli i wniosków o informacje (art. 32 i 33). Nie ma rejestru ani wzoru sprawozdania. |
| Częstotliwość sprawozdań | Rejestr przekazywany właściwemu organowi co roku. Poważne incydenty: zgłoszenie wstępne w ciągu 4 godzin od zakwalifikowania incydentu jako poważnego i nie później niż 24 godziny od powzięcia o nim wiadomości, sprawozdanie pośrednie w ciągu 72 godzin od tego momentu, końcowe w ciągu miesiąca. Przegląd ram co roku. TLPT co trzy lata, jeżeli jest wymagany. | Rejestracja w organie krajowym, aktualizowana w razie zmian. Poważne incydenty: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Nic więcej według harmonogramu. |
| Model nadzoru | Organy nadzoru finansowego: właściwy organ krajowy, EBC w przypadku istotnych banków, wraz z EUNB, EIOPA i ESMA. Kluczowi zewnętrzni dostawcy usług ICT podlegają bezpośredniemu nadzorowi wiodącego organu nadzorczego. | Krajowe organy ds. cyberbezpieczeństwa. Podmioty kluczowe podlegają nadzorowi proaktywnemu; podmioty ważne dopiero wtedy, gdy organ ma powód, by się im przyjrzeć. |
| Sankcje | Określane przez każde państwo członkowskie w odniesieniu do podmiotów finansowych (art. 50). W przypadku kluczowych zewnętrznych dostawców usług ICT okresowe kary pieniężne do 1% średniego dziennego światowego obrotu (art. 35). | Do 10 mln € lub 2% światowego obrotu w przypadku podmiotów kluczowych oraz 7 mln € lub 1,4% w przypadku podmiotów ważnych (art. 34). Członkowie organu zarządzającego mogą ponosić odpowiedzialność osobistą (art. 20). |
Dlaczego rejestr ma znaczenie: w próbnym przebiegu ESA w 2024 r. mniej niż 7% przekazanych rejestrów przeszło wszystkie kontrole jakości danych.
Co Państwa dotyczy
Najwyżej pięć pytań. O wyniku decydują stałe reguły wynikające z tekstu DORA i NIS2, a nie model, a te same odpowiedzi zawsze dają ten sam wynik.
Stan wdrożenia NIS2 w państwach członkowskich
Stan krajowych ustaw wdrożeniowych na dzień 30 września 2026. Nazwy organów i ścieżki rejestracji się zmieniają; przed złożeniem czegokolwiek należy sprawdzić stronę właściwego organu.
| Państwo członkowskie | Stan | Organ |
|---|---|---|
| Austria | Przyjęta, stosowana później | Bundesamt für Cybersicherheit |
| Belgia | Obowiązuje | CCB |
| Bułgaria | Obowiązuje | National cybersecurity authority |
| Chorwacja | Obowiązuje | National framework |
| Cypr | Obowiązuje | Digital Security Authority |
| Czechy | Obowiązuje | NÚKIB |
| Dania | Obowiązuje | SAMSIK |
| Estonia | Obowiązuje | RIA |
| Finlandia | Obowiązuje | Traficom, NCSC-FI |
| Francja | Brak transpozycji | ANSSI, MonEspaceNIS2 |
| Grecja | Obowiązuje | National Cyber Security Authority |
| Hiszpania | Brak transpozycji | Not yet designated in law |
| Irlandia | Brak transpozycji | NCSC-IE |
| Litwa | Obowiązuje | NKSC |
| Luksemburg | Obowiązuje | ILR |
| Łotwa | Obowiązuje | National cybersecurity authority |
| Malta | Przyjęta, stosowana później | Malta Digital Innovation Authority |
| Niderlandy | Obowiązuje | NCSC |
| Niemcy | Obowiązuje | BSI |
| Polska | Obowiązuje | Ministry of Digital Affairs |
| Portugalia | Obowiązuje | CNCS |
| Rumunia | Obowiązuje | DNSC |
| Słowacja | Obowiązuje | NBÚ |
| Słowenia | Obowiązuje | URSIV |
| Szwecja | Obowiązuje | NCSC (FRA) |
| Węgry | Obowiązuje | SZTFH |
| Włochy | Obowiązuje | ACN |
Źródła
- European Commission, referral of Ireland, Spain, France and the Netherlands to the CJEU for failure to transpose NIS2, 8 July 2026
- National gazettes and authority sites for each member state (full review 2 August 2026, statuses re-checked 30 September 2026)
- Independent trackers cross-checked 30 September 2026: 23 member states with a law in force on 17 September 2026, Austria applying from 1 October 2026
Najczęstsze pytania
Czy NIS2 dotyczy banków?
Nie w zakresie zarządzania ryzykiem ICT ani zgłaszania incydentów. DORA jest aktem sektorowym dla podmiotów finansowych, więc zgodnie z art. 4 NIS2 środki banku z art. 21 i zgłoszenia z art. 23 zastępują wymogi DORA, a nadzór sprawuje organ nadzoru finansowego.
Czy dostawca usług ICT dla banku podlega DORA?
Pośrednio tak. Bank musi mieć w umowie z dostawcą postanowienia z art. 30, wpisać dostawcę do rejestru informacji i udokumentować sprawowany nad nim nadzór. Bezpośredniemu nadzorowi podlegają tylko dostawcy wyznaczeni przez ESA jako kluczowi.
Które państwa członkowskie nie transponowały NIS2?
Na dzień 30 września 2026: Francja, Irlandia i Hiszpania. Sprawy wszystkich trzech skierowano do Trybunału Sprawiedliwości UE 8 lipca 2026 r.
Czym różni się DORA od NIS2?
DORA to rozporządzenie dla sektora finansowego, które wymaga stałego, przekazywanego zbioru dowodów: rejestru informacji, postanowień umownych z art. 30, zgłoszeń incydentów na wzorach i corocznie przeglądanych ram zarządzania ryzykiem ICT. NIS2 to dyrektywa dla osiemnastu sektorów, która wymaga odpowiednich środków i zgłaszania incydentów, a dowody przedstawia się na żądanie organu.
Umów rozmowę w sprawie przeglądu gotowości do DORA
Niezależnie od tego, czy są Państwo instytucją, czy dostawcą, czytamy umowy i dane do rejestru pod kątem DORA i przekazujemy raport z luk, w którym każde ustalenie odwołuje się do źródła.
Umów rozmowę