NIS2 sektor bankowy: co zastępuje DORA i co nadal jesteś winien jako MSP

Członek zarządu banku spółdzielczego przekazuje Ci kwestionariusz NIS2, który właśnie trafił do rady nadzorczej. Twój MSP prowadzi ich system zgłoszeń i stacje robocze. Pytanie brzmi: „Mamy na to odpowiedzieć, czy wystarczy DORA?"

Uczciwa odpowiedź: jedno i drugie. W sektorze bankowym NIS2 DORA zastępuje większość obowiązków wynikających z NIS2, ale bank nie znika z NIS2. A Ty, jako dostawca, trafiasz do zupełnie innego zbioru zasad.

NIS2 sektor bankowy: DORA jest lex specialis, nie zwolnieniem

NIS2 (dyrektywa (UE) 2022/2555) umieszcza instytucje kredytowe w załączniku I, sektor 3 (bankowość), a systemy obrotu i kontrahentów centralnych w sektorze 4 (infrastruktura rynku finansowego). Ci klienci wchodzą więc w zakres sektorowo.

Artykuł 4 NIS2 robi następnie selekcję. Jeżeli sektorowy akt prawny Unii wymaga środków zarządzania ryzykiem cyberbezpieczeństwa lub zgłaszania poważnych incydentów, a wymogi te są co najmniej równoważne, odpowiednie przepisy NIS2 nie mają zastosowania, w tym przepisy o nadzorze i egzekwowaniu z rozdziału VII.

Motyw 28 NIS2 stanowi, że rozporządzenie (UE) 2022/2554 (DORA) należy uznać za sektorowy akt prawny Unii. Motyw 16 DORA określa je jako lex specialis wobec NIS2. Artykuł 1 ust. 2 DORA potwierdza to na potrzeby art. 4 NIS2.

Czytaj to uważnie. DORA wypiera niektóre przepisy NIS2. Nie czyni banku podmiotem spoza NIS2.

Co zastępuje DORA i kto nadzoruje

Obowiązek NIS2	Co dotyczy podmiotu finansowego DORA
Artykuł 21, środki zarządzania ryzykiem	Ramy DORA dla zarządzania ryzykiem ICT
Artykuł 21 ust. 2 lit. d (łańcuch dostaw)	Przepisy DORA o ryzyku podmiotów trzecich ICT (rozdział V, art. 28-44)
Artykuł 23, zgłaszanie incydentów	Zgłaszanie poważnych incydentów związanych z ICT według DORA
Rozdział VII, nadzór i kary	Nadzór finansowy i sankcje DORA

DORA obowiązuje bezpośrednio od 17 stycznia 2025 r. W Polsce nadzór nad DORA sprawuje Komisja Nadzoru Finansowego (KNF), a nie organy właściwe dla KSC. Polska ustawa dostosowująca prawo do DORA nadaje KNF uprawnienia nadzorcze i sankcyjne; według projektu, który analizowaliśmy, KNF może m.in. nakładać kary pieniężne, odsuwać osoby zarządzające i nakazać zawieszenie usługi dostawcy ICT. Zweryfikuj ostateczny tekst ustawy w Dzienniku Ustaw.

Nie każdy klient finansowy podlega NIS2

Tu błądzi większość kwestionariuszy. NIS2 wymienia wyłącznie instytucje kredytowe i infrastrukturę rynku finansowego. Art. 2 ust. 1 DORA jest znacznie szerszy: obejmuje także instytucje płatnicze, firmy inwestycyjne, centralne depozyty papierów wartościowych, repozytoria transakcji oraz zakłady ubezpieczeń i reasekuracji.

Ubezpieczyciel czy instytucja płatnicza podlega więc wyłącznie DORA. Wysyłanie mu analizy luk NIS2 marnuje czas obu stron. Bank, system obrotu lub kontrahent centralny potrzebuje obu obrazów, a DORA niesie treść.

Dwa zegary zgłoszeń, jeden MSP pośrodku

NIS2 wymaga wczesnego ostrzeżenia w 24 godziny, zgłoszenia incydentu w 72 godziny i sprawozdania końcowego po miesiącu. DORA stosuje inny zegar do poważnych incydentów związanych z ICT. Zgodnie z rozporządzeniem delegowanym (UE) 2025/301 zgłoszenie początkowe jest należne w ciągu czterech godzin od zaklasyfikowania incydentu jako poważnego, a w każdym razie w ciągu 24 godzin od wykrycia. Sprawozdanie okresowe następuje w ciągu 72 godzin od zgłoszenia początkowego, a końcowe w ciągu miesiąca od ostatniego sprawozdania okresowego.

Twój klient bankowy zgłasza według DORA. Klienci spoza sektora finansowego zgłaszają według KSC, po jej nowelizacji wdrażającej NIS2. Jeśli prowadzisz wspólny SOC lub wspólną kolejkę zgłoszeń, to samo zdarzenie uruchamia tego samego dnia dwa różne zegary. Twój runbook potrzebuje oznaczenia reżimu dla każdego klienta. Stronę NIS2 opisuje NIS2 Incident Reporting: The 24-Hour, 72-Hour and 1-Month Deadlines.

Gdzie wciągany jest Twój MSP

To rzeczywistość handlowa. Bank podlegający DORA musi zarządzać ryzykiem podmiotów trzecich ICT zgodnie z rozdziałem V: rejestr informacji o wszystkich ustaleniach umownych dotyczących usług ICT oraz minimalne postanowienia umowne z art. 30 w Twojej umowie: opis usług, lokalizacje, pomoc przy incydentach, prawa audytu i dostępu oraz strategia wyjścia.

18 listopada 2025 r. europejskie urzędy nadzoru (ESA) opublikowały pierwszą listę krytycznych zewnętrznych dostawców usług ICT wyznaczonych na podstawie DORA. Większość MSP na niej nie ma. Banki-klienci i tak przeniosą te same oczekiwania na Ciebie.

Masz też własne obowiązki z NIS2. Zarządzanie usługami ICT typu B2B mieści się w załączniku I, więc MSP jest zwykle podmiotem kluczowym lub ważnym samodzielnie. Dwa reżimy, jedna firma. Praktyczne pokrywanie się omawiają NIS2 vs. DORA i NIS2 Supply Chain Security.

W Polsce granice wyznacza KSC

DORA jest rozporządzeniem, NIS2 dyrektywą. W Polsce NIS2 wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), uchwalona w marcu 2026 r.; termin rejestracji w rejestrze podmiotów mijał 3 października 2026 r. Szczegóły: czy i które obowiązki z KSC, jak rejestracja czy zgłoszenia do CSIRT, nadal dotyczą banku objętego DORA, zależą od konkretnego podmiotu. Sprawdź je w tekście ustawy dla każdego klienta, zanim obiecasz zwolnienie.

Poza Polską granice wyglądają inaczej: w Niemczech § 28 ust. 6 BSIG wyłącza szereg przepisów NIS2 dla podmiotów DORA, a Francja i Hiszpania nie wdrożyły NIS2 i w 2026 r. zostały skierowane do Trybunału Sprawiedliwości UE.

Jeśli grupa bankowa klienta działa w kilku krajach, pomoże nasz przewodnik o tym, który regulator nadzoruje Twojego klienta.

Co zrobić w tym tygodniu

1. Wypisz wszystkich klientów finansowych i sklasyfikuj ich: instytucja kredytowa lub infrastruktura rynku (NIS2 i DORA) albo inny podmiot finansowy (tylko DORA).
2. Sprawdź każdą umowę pod kątem art. 30 DORA. Brak praw audytu i warunków wyjścia to typowa luka.
3. Dodaj do runbooka incydentów oznaczenie reżimu: czterogodzinny zegar DORA lub 24-godzinny zegar NIS2.
4. Potwierdź własną rejestrację w KSC jako dostawcy zarządzania usługami ICT.
5. Przygotuj dane, których bank potrzebuje do swojego rejestru informacji: usługi, podwykonawcy, lokalizacje danych.

Zacznij od własnego podwórka. Uruchom bezpłatny NIS2 Quick Scan, aby uzyskać ocenę gotowości własnej sytuacji zgodności, i odpowiedz na kwestionariusz banku dowodami zamiast obietnic.

DORA zastępuje zasady dla banku. Nie zastępuje pytań, które klienci zadadzą Tobie.