DORA i szkolenia z zakresu świadomości bezpieczeństwa: czego artykuł 13 wymaga od każdego pracownika (2026)

W skrócie: Ustawa o cyfrowej odporności operacyjnej (DORA, rozporządzenie (UE) 2022/2554) obowiązuje od 17 stycznia 2025 r. w odniesieniu do banków, ubezpieczycieli, firm inwestycyjnych, instytucji płatniczych, funduszy emerytalnych i innych podmiotów finansowych w UE. Artykuł 13 ust. 6 nakłada obowiązek włączenia programów podnoszenia świadomości w zakresie bezpieczeństwa ICT oraz szkoleń z odporności operacyjnej w środowisku cyfrowym do programu szkoleń dla wszystkich pracowników i kadry kierowniczej, na poziomie dostosowanym do pełnionej funkcji. Artykuł 5 nakłada ostateczną odpowiedzialność za ryzyko związane z ICT na organ zarządzający, który musi przeznaczyć środki na te szkolenia i dbać o aktualizację własnej wiedzy poprzez regularne, specjalistyczne szkolenia. W Holandii nadzór nad przestrzeganiem przepisów sprawują DNB i AFM, które mogą nakładać kary. Chcą widzieć konkretne dowody: kto został przeszkolony, w jakim zakresie, jak często i czy to wpłynęło na zmianę zachowań.

W skrócie: wymagania szkoleniowe DORA

W DORA nie ma osobnego rozdziału poświęconego szkoleniom. Obowiązki są rozłożone na kilka artykułów i jedną normę techniczną. Oto, co one oznaczają i co warto przedstawić, gdy przełożony o to zapyta.

Kto podlega przepisom ustawy DORA

W art. 2 ust. 1 wymieniono dwadzieścia rodzajów podmiotów finansowych. Są to między innymi: instytucje kredytowe, instytucje płatnicze i instytucje pieniądza elektronicznego, firmy inwestycyjne, dostawcy usług związanych z kryptoaktywami, platformy obrotu, zarządzający funduszami, ubezpieczyciele, pośrednicy ubezpieczeniowi, instytucje emerytalne, agencje ratingowe oraz platformy finansowania społecznościowego.

Są jednak wyjątki. Pośrednicy ubezpieczeniowi, którzy są mikroprzedsiębiorstwami, małymi lub średnimi przedsiębiorstwami, nie wchodzą w zakres tych przepisów, podobnie jak instytucje emerytalne liczące łącznie nie więcej niż 15 członków. Małe i niepowiązane ze sobą firmy inwestycyjne, zwolnione instytucje płatnicze i instytucje pieniądza elektronicznego oraz małe instytucje emerytalne działają w ramach uproszczonych zasad dotyczących ryzyka ICT określonych w art. 16. Nawet ten łagodniejszy system nadal wymaga od nich opracowania programów uświadamiających i szkoleń z zakresu odporności dla pracowników i kierownictwa, „zgodnie z potrzebami i profilem ryzyka ICT”.

Zewnętrzni dostawcy usług ICT to ostatnia pozycja na liście. Większość z nich podlega przepisom DORA na mocy umów zawartych z klientami. Najwięksi z nich są nadzorowani bezpośrednio: 18 listopada 2025 r. europejskie organy nadzorcze opublikowały pierwszy wykaz kluczowych zewnętrznych dostawców usług ICT – 19 firm, od dostawców chmury hiperskalowej po producentów oprogramowania finansowego.

Pięć filarów w skrócie

Artykuł 1 określa, czym zajmuje się DORA, co zazwyczaj dzieli się na pięć filarów:

• Zarządzanie ryzykiem w zakresie technologii informacyjno-komunikacyjnych. Udokumentowane ramy, zasady zarządzania i mechanizmy kontroli (art. 5–16). W tym obszarze odbywają się szkolenia.
• Zgłaszanie incydentów. Klasyfikowanie poważnych incydentów związanych z technologiami informacyjno-komunikacyjnymi i zgłaszanie ich przełożonemu.
• Cyfrowe testy odporności operacyjnej. Program testów oparty na ryzyku, a w przypadku wyznaczonych podmiotów – testy penetracyjne ukierunkowane na zagrożenia przeprowadzane co najmniej raz na trzy lata (art. 26).
• Ryzyko związane z podmiotami zewnętrznymi w obszarze ICT. Wymogi umowne, roczny rejestr informacji oraz nadzór nad kluczowymi dostawcami.
• Wymiana informacji. Dobrowolna wymiana danych wywiadowczych dotyczących zagrożeń między podmiotami finansowymi.

Co mówi art. 13 ust. 6 na temat szkoleń

Główne zdanie jest krótkie. „Podmioty finansowe mają obowiązek opracować programy podnoszenia świadomości w zakresie bezpieczeństwa ICT oraz szkolenia z zakresu cyfrowej odporności operacyjnej jako obowiązkowe moduły w ramach programów szkoleniowych dla pracowników. Programy te i szkolenia mają dotyczyć wszystkich pracowników oraz kadry kierowniczej wyższego szczebla, a ich poziom złożoności ma być dostosowany do zakresu pełnionych przez nich funkcji”.

Trzy słowa mają tu kluczowe znaczenie. „Obowiązkowe” oznacza, że opcjonalne szkolenie e-learningowe w intranecie się nie kwalifikuje. „Wszyscy” oznacza zarówno recepcjonistkę, jak i dyrektora finansowego, a nie tylko wybrane stanowiska o wysokim ryzyku. „Odpowiednie” oznacza, że jeden ogólny moduł dla wszystkich też nie wystarczy: programista z dostępem do środowiska produkcyjnego potrzebuje bardziej szczegółowej wiedzy niż kolega z działu technicznego. W tym samym akapicie dodano, że w stosownych przypadkach w szkoleniu powinni uczestniczyć zewnętrzni dostawcy usług ICT, a art. 30 ust. 2 lit. i) wymaga, by umowy określały warunki tego udziału.

Artykuł 13 nosi tytuł „Uczenie się i rozwój”: informacje o incydentach i wyniki testów muszą być uwzględniane w systemie. Program, który nigdy nie zmienia się po prawdziwym incydencie phishingowym, nie wpisuje się w tę logikę.

Artykuł 5: Zarząd ponosi odpowiedzialność

Zgodnie z art. 5 ust. 2 organ zarządzający określa, zatwierdza, nadzoruje i ponosi odpowiedzialność za całość ram zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT). Lit. a) nakłada na niego „ostateczną odpowiedzialność za zarządzanie ryzykiem ICT w podmiocie finansowym”. Lit. g) nakazuje mu przydzielanie środków budżetowych i okresowe ich przeglądy, w tym wyraźnie uwzględniając programy uświadamiające i szkolenia, o których mowa w art. 13 ust. 6.

Artykuł 5 ust. 4 dotyczy z kolei samych członków zarządu: „muszą oni aktywnie dbać o aktualizację wiedzy i umiejętności niezbędnych do zrozumienia i oceny ryzyka związanego z technologiami informacyjno-komunikacyjnymi oraz jego wpływu na działalność podmiotu finansowego, w tym poprzez regularne uczestnictwo w specjalistycznych szkoleniach dostosowanych do poziomu zarządzanego ryzyka”. DNB umieściło ten fragment w swoich slajdach dla ubezpieczycieli w listopadzie 2024 roku. Ta sama logika przewija się w dyrektywie NIS2: w naszym artykule o NIS2 i odpowiedzialności zarządu wyjaśniamy, jak działa tam osobista odpowiedzialność, a sekcja poświęcona szkoleniom kadry kierowniczej pokazuje, jak może wyglądać program szkoleniowy dla zarządu.

Czego oczekują nadzorcy: przykład DNB i AFM

W Holandii nadzór nad DORA sprawują DNB i AFM. W grudniu 2024 roku DNB ogłosiło, że DORA zastępuje dotychczasowe wytyczne „Good Practice Informatiebeveiliging 2023” dla podmiotów objętych jej zakresem oraz że działa w oparciu o podejście oparte na ryzyku i proporcjonalności: kwestionariusze, rozmowy i kontrole na miejscu, poparte środkami od upomnienia po grzywnę. Rząd holenderski potwierdza, że oba organy nadzorcze mogą nałożyć grzywnę na firmę finansową, która nie przestrzega tych zasad. W Polsce nadzór nad stosowaniem DORA sprawuje Komisja Nadzoru Finansowego (KNF).

Dla nich świadomość nie jest sprawą drugorzędną. Podczas prezentacji dla ubezpieczycieli 12 listopada 2024 r. DNB przedstawiło wyniki swoich kontroli z 2024 r. Jednym z nich jest to, że trzeba poświęcić więcej uwagi programom edukacyjnym i podnoszeniu świadomości. AFM opublikowała wcześniej w tym samym roku zestawienie oparte na samoocenie z 2023 r., którą przeprowadziło 212 firm inwestycyjnych. Jeśli chodzi o „świadomość i szkolenia”, 37 procent z nich nie osiągnęło jeszcze oczekiwanego poziomu. Te dane są sprzed wejścia w życie rozporządzenia DORA, ale pokazują, w jakich obszarach organ nadzorczy spodziewał się działań: spodziewaj się, że pytanie o szkolenia będzie połączone z prośbą o podanie konkretnych liczb.

Jak DORA wiąże się z NIS2

Wiele podmiotów finansowych to też podmioty kluczowe lub ważne w rozumieniu dyrektywy NIS2. Artykuł 1 ust. 2 rozporządzenia DORA rozwiązuje tę kwestię: w przypadku tych podmiotów rozporządzenie DORA stanowi sektorowy akt prawny Unii w rozumieniu art. 4 dyrektywy NIS2. W praktyce DORA ma pierwszeństwo, gdy oba akty regulują tę samą dziedzinę, dlatego często nazywa się ją lex specialis. Rząd holenderski mówi to wprost: w przypadku nakładania się przepisów w odniesieniu do instytucji finansowych pierwszeństwo mają przepisy DORA.

W Holandii dyrektywa NIS2 została wdrożona w ustawie o cyberbezpieczeństwie (Cyberbeveiligingswet), która obowiązuje od 15 sierpnia 2026 roku. Dla banków i ubezpieczycieli oznacza to, że głównymi ramami regulacyjnymi w zakresie ryzyka informatycznego i szkoleń jest rozporządzenie DORA, podczas gdy dyrektywa NIS2 nadal ma znaczenie dla podmiotów wchodzących w skład grupy oraz dostawców spoza sektora finansowego. Nasz przewodnik po dyrektywie NIS2 na rok 2026 wyjaśnia, kogo ona obejmuje, a porównanie NIS1 i NIS2 pokazuje, jak rozszerzył się jej zakres. W Polsce NIS2 wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), obowiązująca od 3 kwietnia 2026 r.

Praktyczny plan wdrożenia

1. Przypisz role do poziomów ryzyka. Wymień stanowiska, na których pracownicy mają uprawnienia do dokonywania płatności, dostęp do produkcji, danych klientów lub kontaktów z dostawcami. Te stanowiska są analizowane bardziej szczegółowo; dla wszystkich obowiązują podstawowe wytyczne.
2. Zadbaj o to, żeby decyzja zarządu została zapisana na piśmie. Budżet, zakres działań oraz program szkoleniowy samego zarządu muszą zostać zatwierdzone w protokole, zgodnie z wymogami art. 5 ust. 2 lit. g) i art. 5 ust. 4.
3. Spraw, żeby pomiary bazowe były obowiązkowe i prowadzone w sposób ciągły. Krótki, powtarzający się cykl w ciągu roku sprawdza się lepiej niż jeden moduł roczny i zapewnia dane co miesiąc.
4. Dodaj symulacje ataków phishingowych i kanał zgłaszania. Sprawdź, kto klika, a kto zgłasza, i upewnij się, że wszyscy wiedzą, gdzie mają zgłaszać takie przypadki.
5. Włącz dostawców. Dodaj klauzulę szkoleniową z art. 30 ust. 2 lit. i) do nowych i odnawianych umów dotyczących technologii informacyjno-komunikacyjnych.
6. Zamknij ten cykl. Po każdym poważnym zdarzeniu lub teście dostosuj treść, odnotuj zmianę i uwzględnij ją w rocznym raporcie dla organu zarządzającego.

Jak symulacje ataków phishingowych i ciągłe szkolenia dostarczają dowodów

W rozporządzeniu DORA nie ma bezpośredniej wzmianki o symulacjach phishingu. Artykuł 25 wymienia testy, które może obejmować program testowania odporności – od skanowania podatności po testy scenariuszowe – i pozostawia wybór podmiotowi. Symulacje to wciąż najbardziej bezpośredni sposób na pokazanie, że szkolenia zmieniają zachowania, i wpisują się w art. 13 ust. 4, który wymaga od podmiotów monitorowania skuteczności ich strategii odporności. Certyfikat ukończenia potwierdza, że ktoś przeszedł dany moduł. Spadający wskaźnik kliknięć i rosnący wskaźnik zgłoszeń pokazują, że to zadziałało.

Właśnie w tym zakresie ciągłe szkolenia naprawdę się opłacają. Dzięki Guardey każdy pracownik co tydzień bierze udział w trwającym około trzech minut wyzwaniu w formie gry, zespoły rywalizują w rankingu, a do tego są symulacje ataków phishingowych. Efektem jest wynik na osobę na tydzień, który możesz przekazać audytorowi w raportach zgodnych z NIS2, ISO 27001 i ponad 40 innymi standardami. Już działasz zgodnie z ISO 27001? Nasz przewodnik po szkoleniach z zakresu świadomości bezpieczeństwa zgodnych z ISO 27001 idealnie wpisuje się w wytyczne DORA.

Często zadawane pytania

Czy szkolenia z zakresu świadomości bezpieczeństwa są obowiązkowe w ramach DORA?

Tak. Artykuł 13 ust. 6 nakłada obowiązek uwzględnienia programów podnoszących świadomość w zakresie bezpieczeństwa ICT oraz szkoleń z zakresu cyfrowej odporności operacyjnej jako obowiązkowych modułów w ramach szkoleń dla wszystkich pracowników i kadry kierowniczej. Podmioty objęte uproszczonym systemem, o którym mowa w art. 16, również muszą je zapewnić, zgodnie ze swoimi potrzebami i profilem ryzyka.

Czy zarząd musi przejść szkolenie w ramach programu DORA?

Tak. Artykuł 5 ust. 4 nakłada na członków organu zarządzającego obowiązek aktualizowania swojej wiedzy i umiejętności, w tym poprzez regularne uczestnictwo w specjalistycznych szkoleniach, proporcjonalnie do poziomu ryzyka związanego z technologiami informacyjno-komunikacyjnymi, którym zarządzają.

Od kiedy obowiązuje ustawa DORA?

Od 17 stycznia 2025 r. DORA to rozporządzenie, więc obowiązuje bezpośrednio w każdym państwie członkowskim bez konieczności transpozycji do prawa krajowego.

Czy DORA zastępuje NIS2 w przypadku podmiotów finansowych?

W przypadkach, gdy oba akty regulują te same kwestie, pierwszeństwo ma DORA. Artykuł 1 ust. 2 określa DORA jako akt sektorowy dotyczący podmiotów finansowych, które są jednocześnie podmiotami kluczowymi lub ważnymi w rozumieniu NIS2.

Kto nadzoruje DORA w Polsce?

Komisja Nadzoru Finansowego (KNF). W Holandii są to DNB i AFM, każdy w odniesieniu do własnych podmiotów. Europejskie Urzędy Nadzoru nadzorują kluczowych zewnętrznych dostawców usług ICT.