DORA w praktyce: czego nadzorcy oczekują od Twoich Dostawców oprogramowania
DORA obowiązuje od 17 stycznia 2025 roku. Obecnie wiadomo, na co nadzorcy zwracają uwagę: pełny rejestr, uzasadniona klasyfikacja oraz umowy spełniające wymagania.
- 14 lipca 2026
- 5 min
Digital Operational Resilience Act (DORA) obowiązuje od 17 stycznia 2025 roku dla instytucji finansowych w UE. Półtora roku później nacisk przesunął się z przygotowań na nadzór. Szczególną uwagę poświęca się zarządzaniu dostawcami usług IT, w tym Dostawcom oprogramowania.
Co wymaga DORA?
Rejestr wszystkich umów IT. Tak zwany Register of Information zawiera każdą umowną ustalenie z dostawcą usług IT, w tym usługi, klasyfikację oraz łańcuch podwykonawców.
Przejrzystość ryzyka koncentracji. Musisz wiedzieć, gdzie jesteś zbyt zależny od jednego podmiotu w przypadku funkcji krytycznych lub istotnych.
Umowy z odpowiednimi postanowieniami. DORA określa, jakie klauzule muszą znaleźć się w umowach, np. dotyczące dostępu, audytów, opuszczenia usługi i bezpieczeństwa.
Gdzie w praktyce pojawiają się problemy
Niekompletny rejestr. Duzi dostawcy chmur i platform zazwyczaj są dobrze ujęci. Setki mniejszych Dostawców oprogramowania i ich podwykonawców często są pomijani.
Niewystarczająco uzasadniona klasyfikacja. Dlaczego dana usługa jest krytyczna lub nie? Nadzorcy chcą widzieć takie uzasadnienie.
Umowy, które nie zostały jeszcze dostosowane. Wiele umów zawieranych przed DORA nigdy nie zostało renegocjowanych pod kątem wymaganych postanowień.
Krytyczni dostawcy pod bezpośrednim nadzorem
18 listopada 2025 roku europejscy nadzorcy wskazali pierwszych 19 krytycznych dostawców usług IT, w tym AWS, Microsoft, Google Cloud, Oracle i SAP. Podlegają oni bezpośredniemu nadzorowi europejskiemu. Nie zwalnia to Twojej organizacji z własnych obowiązków: nadal odpowiadasz za swój rejestr i umowy.
Co możesz teraz zrobić?
Porównaj swój rejestr z rzeczywistym krajobrazem oprogramowania, włączając narzędzia zakupione poza działem IT.
Ustal dla każdej usługi, dlaczego jest lub nie jest krytyczna.
Wykorzystaj każdą odnowę umowy, aby dodać brakujące postanowienia.
Zmniejsz liczbę Dostawców oprogramowania tam, gdzie to możliwe: mniej stron oznacza łatwiejszy do zarządzania rejestr.
Jak pomaga SoftVaro
SoftVaro tworzy pełną mapę Twojego portfolio oprogramowania, także długiego ogona często pomijanego w rejestrze. Przy każdej odnowie uwzględniamy warunki potrzebne Twojej organizacji. Ten artykuł nie stanowi porady prawnej; dostosuj zastosowanie DORA we współpracy z działem zgodności lub prawnym.
Najczęściej zadawane pytania
Najczęściej zadawane pytania na ten temat.
Czy mali Dostawcy oprogramowania również muszą być w rejestrze?
Rejestr obejmuje wszystkie umowne ustalenia z dostawcami usług IT. To właśnie mali Dostawcy oprogramowania są często pomijani.
Co oznacza, jeśli mój dostawca został uznany za krytycznego?
Taki dostawca podlega wtedy bezpośredniemu nadzorowi europejskiemu. Twoje własne obowiązki, takie jak prowadzenie rejestru i umowne ustalenia, nadal obowiązują.
Gotowy, aby zaoszczędzić na oprogramowaniu?
SoftVaro negocjuje dla Ciebie najlepsze oferty u ponad 4000 Dostawców oprogramowania. Niezależnie, transparentnie, w ciągu 24 godzin.