DORA: wyznaczono pierwszych krytycznych dostawców ICT
Europejskie Urzędy Nadzoru wyznaczyły 19 krytycznych zewnętrznych dostawców usług ICT na mocy DORA, objętych bezpośrednim nadzorem UE.
Akt o operacyjnej odporności cyfrowej (DORA, rozporządzenie (UE) 2022/2554) obowiązuje od 17 stycznia 2025 r. banki, ubezpieczycieli, firmy inwestycyjne, instytucje płatnicze i inne podmioty finansowe. Nadzór nad największymi dostawcami technologii już działa.
19 dostawców pod bezpośrednim nadzorem UE
18 listopada 2025 r. trzy Europejskie Urzędy Nadzoru (EUNB, EIOPA i ESMA) opublikowały pierwszą listę krytycznych zewnętrznych dostawców usług ICT (CTPP). Wśród 19 wyznaczonych dostawców są duże firmy chmurowe, centra danych, operatorzy telekomunikacyjni, firmy doradcze i dostawcy danych finansowych, m.in. Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture i IBM.
Podstawą były rejestry informacji, które podmioty finansowe prowadzą o swoich umowach ICT, a następnie ocena krytyczności przeprowadzona z organami krajowymi. Wyznaczeni dostawcy mają teraz wiodący organ nadzoru, który może żądać informacji, prowadzić inspekcje i wydawać zalecenia. Lista jest aktualizowana co roku.
Rejestry informacji: co roku
Podmioty finansowe prowadzą rejestr wszystkich umów z zewnętrznymi dostawcami usług ICT. Od 2026 r. organy krajowe przekazują te rejestry Europejskim Urzędom Nadzoru do 31 marca każdego roku, według stanu na 31 grudnia roku poprzedniego. Organy krajowe wyznaczają nadzorowanym podmiotom własne, wcześniejsze terminy.
Co to oznacza
- Dla podmiotów finansowych: nadzór nad CTPP nie przejmuje Waszej odpowiedzialności. Nadal sami zarządzacie ryzykiem ICT związanym z podmiotami trzecimi: umowy z postanowieniami art. 30, strategie wyjścia i kompletny, poprawny rejestr.
- Dla dostawców ICT spoza listy, w tym mniejszych dostawców SaaS: spodziewajcie się klauzul DORA w umowach, pytań o podwykonawców i lokalizacje oraz próśb o wsparcie przy wyjściu i incydentach. Jasne odpowiedzi skracają zakupy.
Perspektywa dostawcy: DORA dla zewnętrznych dostawców ICT i SaaS.
Źródła
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 19 października 2026.
Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål