Kiedy NIS2, DORA i CRA zaczynają zmieniać obowiązki firmy IT

Rozwój europejskich przepisów dotyczących cyberbezpieczeństwa wymusza na przedsiębiorstwach technologicznych rewizję dotychczasowych modeli operacyjnych. Akty prawne takie jak NIS2, DORA i CRA wyznaczają odmienne role dostawców w cyfrowym łańcuchu dostaw, chociaż ich obiegowe nazwy mogą brzmieć podobnie. Dyrektywa NIS2 skupia się na zapewnieniu ciągłości usług sieciowych i informacyjnych o znaczeniu ogólnogospodarczym. Rozporządzenie DORA w całości reguluje odporność operacyjną podmiotów finansowych i współpracujących z nimi spółek informatycznych. Z kolei akt CRA kładzie nacisk na bezpieczeństwo samych produktów zawierających elementy cyfrowe. Właściwe rozpoznanie tych ram pozwala na prawidłowe wdrożenie procesów wewnątrz organizacji i uniknięcie kar administracyjnych.

Które podmioty obejmują poszczególne akty prawne

Dyrektywa NIS2 kategoryzuje przedsiębiorstwa na podmioty kluczowe i ważne, funkcjonujące w sektorach infrastruktury cyfrowej, zarządzania usługami ICT w modelu B2B oraz przetwarzania w chmurze. Dotyczy to również operatorów centrów danych, sieci dostarczania treści oraz dostawców zarządzanych usług bezpieczeństwa. W polskim porządku prawnym nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku. Przedsiębiorstwa spełniające kryteria co najmniej średniej firmy podlegają nowym obowiązkom automatycznie, jeżeli świadczą usługi we wskazanych w ustawie sektorach.

Rozporządzenie DORA stosuje się od 17 stycznia 2025 roku względem podmiotów rynku finansowego oraz zewnętrznych dostawców usług ICT. Kategoria ta obejmuje twórców oprogramowania, dostawców infrastruktury chmurowej oraz analityków danych obsługujących banki, zakłady ubezpieczeń czy instytucje płatnicze. Akt CRA (Cyber Resilience Act) dotyczy natomiast twórców fizycznych i wirtualnych produktów z elementami cyfrowymi, które trafiają na rynek unijny. Wymogi CRA zaczną obowiązywać 11 grudnia 2027 roku, narzucając na producentów oprogramowania komercyjnego i urządzeń z funkcją łączności rygorystyczne normy projektowe. Przewidują one między innymi obowiązek dostarczania bezpłatnych aktualizacji bezpieczeństwa.

Wdrożenie procedur zgłaszania incydentów oraz kompleksowego systemu zarządzania ryzykiem cybernetycznym stanowi początkowy etap dostosowania organizacji. Wymagania obejmują również rygorystyczny nadzór nad dostawcami trzecimi oraz uporządkowanie wewnętrznych rejestrów sprzętu i oprogramowania. Podmioty sklasyfikowane jako kluczowe muszą dodatkowo utrzymywać stałe mechanizmy audytu i regularnego raportowania do organów nadzoru.

Wymagania kontraktowe i procesy wdrożeniowe IT

Obowiązki wynikające z nowych regulacji bezpośrednio kształtują konstrukcję umów zawieranych przez software house’y, integratorów systemów oraz dostawców rozwiązań chmurowych. Kontrakty z klientami biznesowymi wymagają dołączenia szczegółowych załączników określających minimalne standardy ochrony informacji. Dokumentacja kontraktowa musi określać maksymalny czas reakcji na incydenty bezpieczeństwa oraz przewidywać klauzule gwarantujące klientowi możliwość przeprowadzenia niezależnego audytu infrastruktury dostawcy. Prawidłowy proces wdrożeniowy uwzględnia mapowanie całego łańcucha powiązań technologicznych, weryfikację ryzyk związanych z zewnętrznymi bibliotekami kodu i bieżącą aktualizację polityk ciągłości działania.

Kancelaria Adwokacka Katarzyna Rodacka prowadzi analizy ryzyk kontraktowych i przygotowuje dokumentację wdrożeniową dla podmiotów technologicznych. Zapewnienie pełnej zgodności z wymogami regulacyjnymi z zakresu prawa IT w Krakowie obejmuje weryfikację umów zawieranych z firmami podlegającymi dyrektywie NIS2 lub rozporządzeniu DORA. Odpowiednio wczesna analiza dokumentów chroni dostawcę przed przyjęciem zobowiązań wykraczających poza jego realne możliwości techniczne, takich jak nierealistyczne czasy przywrócenia systemu po awarii.

Rozdźwięk między faktycznym modelem operacyjnym a formalnym zakresem obowiązków prawnych ujawnia się najczęściej podczas wstępnej klasyfikacji usług. Twórcy oprogramowania dystrybuowanego w modelu SaaS często pomijają w standardowych regulaminach rygorystyczne wytyczne narzucane przez sektor finansowy. Braki w zakresie raportowania testów penetracyjnych wychodzą na jaw dopiero w trakcie audytów certyfikacyjnych, co wymusza natychmiastową renegocjację kontraktów. Ustalenie faktu, czy konkretna aplikacja spełnia definicję produktu z elementami cyfrowymi według CRA, wymaga precyzyjnej oceny specyfikacji technicznej na etapie projektowania architektury.

Schemat weryfikacji obowiązków firmy informatycznej

Kwalifikacja podmiotu do odpowiedniego reżimu prawnego wymaga przeprowadzenia wieloaspektowej oceny oferowanych usług. Rozpoczęcie analizy zakłada sprawdzenie, czy organizacja tworzy i wprowadza na rynek samodzielny produkt z elementami cyfrowymi. Potwierdzenie tego faktu uruchamia procedury zgodności z CRA, obejmujące domyślne projektowanie bezpieczeństwa i mechanizmy zgłaszania wykrytych podatności. Jeżeli firma świadczy usługi sklasyfikowane jako kluczowe lub ważne w załącznikach do dyrektywy NIS2, podlega surowym wymogom monitorowania sieci i zabezpieczania łańcucha dostaw.

Zewnętrzni dostawcy rozwiązań informatycznych dla bankowości podlegają dodatkowo bezpośrednim rygorom DORA w zakresie standaryzacji testów odporności cyfrowej. Umowy z instytucjami finansowymi wymuszają przeniesienie części rygorystycznych obowiązków na podwykonawców IT. Złożenie tych wszystkich kryteriów w jedną całość pozwala ustalić, które zestawy przepisów nakładają się na dany model biznesowy i jakie modyfikacje procesów technicznych pozwolą zachować ciągłość świadczenia usług.