Firma finansowa - DORA czy KSC, które przepisy stosować

NIS2 i KSC - Nadzór, kary i inne przepisy

Firma finansowa - DORA czy KSC, które przepisy stosować

W skrócie

Pytanie o NIS2 i DORA dotyczy banków, kas, ubezpieczycieli, podmiotów infrastruktury rynku i firm IT, które obsługują sektor finansowy. Wyjaśniamy, kiedy pierwszeństwo ma rozporządzenie DORA, które przepisy ustawy o KSC obowiązują mimo niego, co z działalnością niefinansową i jak ułożyć to w jednym porządku w firmie.

Jak to wygląda w praktyce

Bank spółdzielczy prowadzi też spółkę zależną, która świadczy usługi chmurowe innym firmom. Dział zgodności wdraża wymagania DORA i uznaje temat za zamknięty, a dział IT czyta komunikaty o Wykazie podmiotów kluczowych i podmiotów ważnych i systemie S46. Zarząd pyta, czy bank w ogóle podlega ustawie o KSC, czy spółka zależna też stosuje DORA i dokąd zgłaszać incydent, który dotknie obu działalności.

Co mówią przepisy

Dyrektywa NIS2 przyjmuje, że sektorowy akt Unii z co najmniej równoważnymi wymogami w zakresie środków zarządzania ryzykiem lub zgłaszania incydentów ma pierwszeństwo przed jej przepisami (art. 4 ust. 1). Za taki akt dla podmiotów finansowych uznaje rozporządzenie (UE) 2022/2554, czyli DORA (motyw 28). Polska ustawa realizuje to w art. 8i, co Ministerstwo Cyfryzacji (MC) potwierdza w odpowiedzi 14.2.

Bank, kasa i infrastruktura rynku. Załącznik nr 1 do ustawy wymienia w tym sektorze m.in. instytucje kredytowe, banki krajowe, oddziały banków zagranicznych (od 11 stycznia 2027 r. oddziały z państwa trzeciego), spółdzielcze kasy oszczędnościowo-kredytowe (SKOK) oraz podmioty prowadzące rynek regulowany, alternatywny system obrotu i zorganizowaną platformę obrotu. Bank z tej listy jest co do zasady podmiotem ważnym, gdy spełnia wymogi dla średniego przedsiębiorcy, a kluczowym, gdy je przewyższa (art. 5 ust. 1-2). Do takich podmiotów kluczowych i ważnych nie stosuje się przepisów ustawy dotyczących SZBI i zgłaszania poważnych incydentów, ale art. 8i ust. 1 wymienia wyjątki. Zostają m.in. przepisy o wykazie, systematycznym szacowaniu ryzyka, podstawowych zasadach cyberhigieny, osobach do kontaktu, korzystaniu z systemu S46, współdziałaniu z zespołem reagowania na incydenty (CSIRT) przy incydencie poważnym, usuwaniu podatności, ocenie bezpieczeństwa oraz o dostawcy wysokiego ryzyka i poleceniu zabezpieczającym. Odpowiednio stosuje się przepisy o kierowniku podmiotu, w tym o corocznym szkoleniu i informacji z Krajowego Rejestru Karnego (KRK, art. 8c-8f, art. 8i ust. 2). Organem właściwym jest Komisja Nadzoru Finansowego (art. 41 pkt 4), która jest też właściwym organem w rozumieniu DORA (art. 2 pkt 14a).

Inne podmioty finansowe. Ustawa definiuje podmiot finansowy przez odesłanie do art. 2 ust. 1 lit. a-t DORA (art. 2 pkt 11a). Podmiot finansowy, który nie jest kluczowy ani ważny, ma z ustawy obowiązki z art. 67c, 67d, 67g i 67h, pod nadzorem organu dla sektora bankowego, chyba że stosuje się do niego art. 16 ust. 1 DORA (art. 67k). Ubezpieczycieli załączniki do ustawy nie wymieniają. Oddziałów instytucji kredytowych ustawa w sektorze bankowym nie wskazuje, ale MC zaleca sprawdzić ich kwalifikację w innych sektorach (odpowiedź 1.35). Do 9 października 2026 r. w Monitorze Polskim nie ogłoszono decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka, a przepisy o tej procedurze i poleceniu zabezpieczającym są przedmiotem sprawy K 19/26 przed Trybunałem Konstytucyjnym (w toku).

Działalność niefinansowa i dostawcy technologii informacyjno-komunikacyjnych (ICT). Według MC podmiot finansowy może być jednocześnie np. dostawcą usług zarządzanych albo chmury obliczeniowej i wtedy podlega ustawie o KSC w zakresie działalności innej niż finansowa (odpowiedź 14.13). Spółka zależna z przykładu, tak jak każdy dostawca ICT obsługujący banki, ma własny status według załączników. Jej wielkość liczy się razem z pełnymi danymi banku jako przedsiębiorstwa powiązanego, co opisujemy w poście o tym, jak policzyć wielkość spółki w grupie kapitałowej. Art. 8i jej nie obejmuje, bo nie należy do sektora bankowości, więc jeśli jako dostawca chmury jest podmiotem kluczowym lub ważnym, stosuje ustawę w pełnym zakresie, w tym środki z rozporządzenia wykonawczego 2024/2690 (art. 8b ust. 1).

Co zrobić krok po kroku

1. Mapa działalności. Dział zgodności rozpisuje wszystkie rodzaje działalności firmy i spółek z grupy: licencjonowaną działalność finansową, usługi IT świadczone innym (chmura, centrum danych, usługi zarządzane) i inne pozycje z załączników nr 1 i 2. Dokument: tabela działalności z podstawą prawną. Zasadę opisujemy w poście o sytuacji, gdy tylko część działalności jest w załączniku do ustawy o KSC.
2. Reżim i organ dla każdej pozycji. Przy każdej działalności dział zgodności zapisuje: DORA z nadzorem Komisji Nadzoru Finansowego, ustawa o KSC w pełnym zakresie z organem z art. 41 albo tylko wybrane przepisy ustawy (art. 8i, art. 67k).
3. Wykaz KSC i S46. Bank, SKOK albo podmiot infrastruktury rynku sprawdza wpis w Wykazie podmiotów kluczowych i podmiotów ważnych, wyznaczenie osób do kontaktu i dostęp do S46, bo te przepisy stosuje mimo DORA (art. 8i ust. 1). Zmiany danych zgłasza w 14 dni (art. 7c ust. 3).
4. Obowiązki zarządu. Zarząd ustala, jak realizuje odpowiednio stosowane art. 8c-8f: kto w zarządzie odpowiada za cyberbezpieczeństwo, szkolenie raz w roku kalendarzowym z udokumentowanym udziałem i informacje z KRK przed dopuszczeniem osób do zadań.
5. Jeden rejestr incydentów. Zespół bezpieczeństwa prowadzi jeden rejestr z dwoma polami klasyfikacji. Incydent w działalności bankowej ocenia jako poważny incydent związany z ICT w rozumieniu DORA (art. 2 pkt 11h ustawy odsyła do tej definicji) i zgłasza według DORA. Incydent w działalności niefinansowej, np. w usługach chmurowych spółki zależnej, ocenia jako incydent poważny według ustawy (art. 2 pkt 7) i zgłasza przez S46 w 24 i 72 godziny od wykrycia (art. 11). Incydent, który dotyka obu działalności, przechodzi obie oceny.
6. Dostawcy i sprzęt. Dział zakupów pyta kluczowych dostawców IT o ich status w Wykazie KSC, bo dane z wykazu nie są dostępne jako informacja publiczna (art. 7 ust. 3), a dział IT prowadzi inwentaryzację sprzętu i oprogramowania z producentem i dostawcą. Pozwoli to szybko wykonać ewentualną decyzję o dostawcy wysokiego ryzyka w KSC (art. 67c).

Jak sprawdzić, że sprawa jest załatwiona

Sprawa jest uporządkowana, gdy dla każdej działalności firmy jeden dokument pokazuje reżim, organ, status w Wykazie KSC, osoby odpowiedzialne i ścieżkę zgłoszenia incydentu. Na kontrolę zachowaj tabelę działalności z uzasadnieniem kwalifikacji, potwierdzenie wpisu w Wykazie KSC albo notatkę, dlaczego wpis nie jest wymagany, oraz wyznaczenie osób do kontaktu. Dołącz dokumentację szkoleń zarządu, rejestr incydentów z oboma polami klasyfikacji i wykaz dostawców ICT z ich oświadczeniami o statusie w Wykazie KSC. Notatkę o kwalifikacji aktualizuj przy każdej nowej licencji, nowej usłudze dla innych firm i przejęciu spółki.

Podstawa prawna i źródła

• art. 2 pkt 11a, 11h i 14a, art. 8i, art. 41 pkt 4, art. 67k oraz załącznik nr 1 (sektor bankowości i infrastruktury rynków finansowych) ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8 października 2026 r.) (źródło)
• art. 7c ust. 3, art. 8b ust. 1, art. 11 i art. 67c-67h ustawy o KSC
• art. 4 ust. 1 i motyw 28 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2)
• rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA)
• art. 3 ust. 3 i art. 6 ust. 2 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (definicja mikro-, małych i średnich przedsiębiorstw)
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.35, 14.2 i 14.13 (źródło)

Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z NIS2 i KSC