Finanse 5 min lektury executive

Banki zrywają umowy z dostawcami IT. Nowy unijny rygor DORA paraliżuje kontrakty chmurowe!

Banki zrywają umowy z dostawcami IT. Nowy unijny rygor DORA paraliżuje kontrakty chmurowe!
Terminal kontenerowy i przeładunek wyrobów stalowych w porcie handlowym. Fot. Wikimedia Commons / CC BY-SA
EXECUTIVE BRIEF Kluczowe wnioski dla zarządu • Raport rynkowy
  • Główny wymiar analityczny: Europejski sektor finansowy wchodzi w fazę bezwzględnego egzekwowania rozporządzenia DORA (Digital Operational Resilience Act). Od stycznia 2026 roku Komisja Nadzoru Finansowego oraz...
  • Wymiar strategiczny i operacyjny: Rewolucja w łańcuchu dostaw banków: Koniec tolerancji dla małych software house’ów oraz Testy TLPT i rejestr umów: Kto zapłaci za certyfikację odporności?.
  • Rekomendacja dla kadry zarządzającej: Materiał sektorowy (Finanse). Szacowany czas zapoznania: 5 min lektury executive.

Europejski sektor bankowy i finansowy staje w obliczu najbardziej rygorystycznego testu operacyjnego w historii. Unijne rozporządzenie DORA (Digital Operational Resilience Act) przestaje być teoretycznym zagadnieniem działów compliance, a staje się bezpośrednim rygorem kontraktowym dla zarządów instytucji finansowych oraz ich partnerów technologicznych. Zgodnie z wytycznymi Komisji Nadzoru Finansowego (KNF) oraz europejskich organów nadzoru ESA (EBA, EIOPA, ESMA), banki komercyjne rozpoczęły masowy przegląd umów z zewnętrznymi dostawcami usług ICT (ICT Third-Party Risk Management), wymuszając rygorystyczne audyty bezpieczeństwa kodu, infrastrukturę zapasową oraz bezwarunkowe plany wyjścia (exit strategies).

METRYKA RYNKOWA & REGULACYJNA

📊 Wskaźniki i ekspozycja na ryzyko DORA

do 10% obrotu
Maksymalny wymiar sankcji administracyjnych nakładanych przez KNF na instytucje finansowe za naruszenie standardów odporności cyfrowej.
500 tys. EUR/dzień
Wysokość okresowej kary pieniężnej nakładanej bezpośrednio przez EBA na kluczowych dostawców ICT (CTPP) za brak wdrożenia zaleceń audytowych.

Rewolucja w łańcuchu dostaw banków: Koniec tolerancji dla małych software house’ów

Kluczowa zmiana wynikająca z DORA uderza w wieloletni model współpracy banków z polskim rynkiem IT. Dotychczas odpowiedzialność za incydenty bezpieczeństwa spoczywała w dużej mierze na instytucji licencjonowanej. Od stycznia 2026 roku dostawcy usług ICT wspierających funkcje krytyczne lub istotne (Critical or Important Functions) podlegają bezpośredniej ocenie regulatora. Dla średnich spółek technologicznych oznacza to konieczność wdrożenia procedur analogicznych do wielkich korporacji chmurowych.

Zarządy banków nie mogą ryzykować sankcji regulatora. W umowach pojawiają się klauzule natychmiastowego rozwiązania kontraktu w przypadku niezdania audytu odporności operacyjnej. Instytucje finansowe, które równolegle mierzą się z wymogami atestacji audytorskiej CSRD oraz weryfikacją łańcucha dostaw pod kątem dyrektywy CSDDD, traktują DORA jako filtr eliminujący z rynku dostawców niespełniających rygorów enterprise.

17 STYCZNIA 2025

Pełne wejście w życie rozporządzenia DORA

Zakończenie okresu przejściowego; obowiązek posiadania ram zarządzania ryzykiem ICT i procedur klasyfikacji incydentów teleinformatycznych.

30 CZERWCA 2025

Złożenie rejestru umów ICT do KNF

Przekazanie organom nadzoru pierwszych ujednoliconych rejestrów umów ze wszystkimi zewnętrznymi dostawcami usług cyfrowych.

1 STYCZNIA 2026

Obowiązkowe testy TLPT pod nadzorem regulatora

Start rygorystycznych testów penetracyjnych opartych na scenariuszach zagrożeń (Threat-Led Penetration Testing) prowadzonych raz na 3 lata.

Testy TLPT i rejestr umów: Kto zapłaci za certyfikację odporności?

Jednym z najtrudniejszych wymogów operacyjnych są zaawansowane testy TLPT. Obejmują one nie tylko wewnętrzne systemy bankowe, ale również produkcyjne środowiska dostawców oprogramowania i operatorów chmury. W przypadku wykrycia podatności w systemie podwykonawcy, KNF ma prawo zażądać zawieszenia lub trwałego zaprzestania korzystania z danej usługi. Równolegle integracja systemów fakturowania w standardzie KSeF 2026 w architekturze ERP wymaga weryfikacji ciągłości przesyłu wrażliwych danych finansowych.

Z punktu widzenia konsumentów i klientów instytucjonalnych, uszczelnienie systemu zwiększa stabilność depozytów i infrastruktury transakcyjnej, o czym szczegółowo informują analizy na łamach Kurier365 w sekcji finansów i praw konsumenta. W biznesie jednak koszty dostosowania obciążają rentowność branży IT.

ORGAN NADZORCZY • REGULATOR KRAJOWY

Komisja Nadzoru Finansowego (KNF)

Sprawuje bezpośredni nadzór nad wdrażaniem DORA w Polsce, weryfikuje rejestry umów ICT oraz zatwierdza metodykę testów penetracyjnych TLPT.

REGULATOR UNIJNY • NADZÓR NAD CTPP

Europejski Urząd Nadzoru Bankowego (EBA)

Koordynuje ramy nadzorcze dla kluczowych dostawców usług chmurowych o krytycznym znaczeniu dla unijnego systemu finansowego.

SEKTOR BANKOWY • ZRZESZENIE BIZNESU

Związek Banków Polskich (ZBP)

Opracowuje sektorowe standardy umowne i klauzule exit planu, wspierając banki w negocjacjach z globalnymi korporacjami Big Tech.

Standard Weryfikacji Redakcyjnej BiznesCiti.com

Zespół Analityczny BiznesCiti.com

Materiał opracowany i zweryfikowany w oparciu o oficjalne komunikaty KNF, raporty giełdowe ESPI, dane GUS/NBP oraz depesze agencyjne ISBnews. Masz komentarz ekspercki lub komunikat ze spółki?

Kontakt z redakcją →
PULS RYNKU BIZNESCITI Aktualizacja: 14.11.2026 22:40

Monitor Instytucjonalny i Giełdowy

Własne depesze faktograficzne BiznesCiti.com na bazie komunikatów KNF, raportów ESPI / PAP Biznes, ISBnews, GUS i NBP.

Puls Biznesu
14.11 20:07

Jakie tematy gospodarcze przyciągnęły uwagę młodego pokolenia ekonomistów? Zainteresowały ich przede wszystkim mechanizmy giełdy, geopolityczne koszty wojen, psychologia długu oraz…

PAP Biznes / ESPI
14.11 18:48

MADKOM SA (22/2026) Inne informacje

PB Inwestor
14.11 18:40

Łukasz Prokopiuk, analityk DM BOŚ, obniżył z "kupuj" do "sprzedaj" rekomendację dla akcji Grupy Azoty tłumacząc to znacznym pogorszeniem otoczenia makroekonomicznego.

Puls Biznesu
14.11 18:16

Odmowa podpisania ustawy oznacza faktyczne wyrzucenie jej do kosza, żadna rządowa większość nie ma przecież szans na zebranie do przełamania weta trzech piątych poselskich głosów.

PB Inwestor
14.11 17:00

Rada dyrektorów Nvidii wybrała Colette Kress na tymczasową prezeskę w momencie, w którym firma zmaga się ze skutkami rezygnacji Jensena Huanga w obliczu skandalu z udziałem…

PB Inwestor
14.11 14:00

Tomasz Rodak, analityk z Domu Maklerskiego BOŚ, obniżył o 41 proc. do 506 zł cenę docelową akcji spółki Creepy Jar, ale podtrzymał rekomendację "kupuj". Ma cztery argumenty.