DORA a ISO/IEC 27001 – Jak spełnić wymagania UE?

Jak ISO/IEC 27001 pomaga spełnić wymagania DORA?

Od 17 stycznia 2025 r. rozporządzenie DORA (Digital Operational Resilience Act) jako regulacja unijna bezpośrednio obowiązuje na terenie całej Unii Europejskiej. Choć głównym celem rozporządzenia jest zapewnienie odporności operacyjnej kluczowych i istotnych funkcji instytucji finansowych w UE, może ono również dotyczyć organizacji spoza UE – w szczególności tych z Wielkiej Brytanii, które świadczą usługi ICT dla europejskich instytucji finansowych.

 

Podczas przeprowadzania analiz luk zgodności z DORA można zauważyć, że organizacje posiadające system zarządzania bezpieczeństwem informacji (ISMS) zgodny z normą ISO/IEC 27001 zazwyczaj wykazują wyższy poziom zgodności z nowymi wymogami.

 

W tym artykule opiszemy:

  • W jaki sposób ISO/IEC 27001 pomaga spełnić wymagania DORA?
  • Jak dostosować istniejący ISMS do wymagań DORA?
  • Jak uwzględnić zakres zgodności z DORA w ISMS?
  • Role i obowiązki wynikające z DORA

 

W jaki sposób ISO/IEC 27001 pomaga spełnić wymagania DORA?

Norma ISO/IEC 27001 dostarcza „fundamenty” umożliwiające organizacjom skuteczne zarządzanie ryzykiem związanym z bezpieczeństwem informacji. Struktura normy wspomaga również zgodność z DORA (oraz podobnymi regulacjami), ponieważ rozporządzenie koncentruje się na zarządzaniu ryzykiem. Jednakże samo posiadanie certyfikatu ISO/IEC 27001 nie gwarantuje automatycznej zgodności z DORA. Kluczowe znaczenie ma sposób wdrożenia tej normy.

 

Podczas definiowania kontekstu i zakresu systemu zarządzania bezpieczeństwem informacji (ISMS), warto uwzględnić:

  • Rozporządzenie DORA jako jedno z wymagań prawnych i kontraktowych
  • Odpowiednie organy nadzorcze jako zainteresowane strony.

 

Jak dostosować istniejący ISMS do wymagań DORA?

Jeśli organizacja wdrożyła ISO/IEC 27001 bez wcześniejszego uwzględnienia wymogów DORA, i tak ma ona solidny punkt wyjścia dzięki formalnej strukturze normy. ISO/IEC 27001 stanowi ramy do zarządzania ryzykiem. Co więcej, w artykule 6(1) rozporządzenie DORA wyraźnie odwołuje się do systemu zarządzania ryzykiem:

 

„Podmioty finansowe powinny posiadać solidne, kompleksowe i dobrze udokumentowane ramy zarządzania ryzykiem ICT, będące częścią ich ogólnego systemu zarządzania ryzykiem, które umożliwią szybkie, skuteczne i całościowe przeciwdziałanie ryzyku ICT oraz zapewnienie wysokiego poziomu cyfrowej odporności operacyjnej.”

 

DORA nakłada również obowiązki, takie jak:

  • Określenie zakresu działania poprzez definiowanie kluczowych i istotnych funkcji.
  • Przejęcie odpowiedzialności przez najwyższe kierownictwo.
  • Wyznaczenie ról i odpowiedzialności.

 

Wszystkie te wymagania są integralną częścią systemu zarządzania bezpieczeństwem informacji zgodnego z ISO/IEC 27001 oraz systemów zarządzania ciągłością działania zgodnych z ISO 22301.

 

Jak uwzględnić zakres zgodności z DORA w ISMS?

Rozporządzenie DORA kładzie nacisk na krytyczne i istotne funkcje instytucji finansowych w UE. Dlatego ważne jest, aby w ramach ISMS objąć zakresem te obszary działalności lub usługi, które je wspierają.

 

W kontekście bezpieczeństwa łańcucha dostaw instytucje finansowe (i inne organizacje) szczególnie cenią zewnętrzne potwierdzenia zgodności, takie jak certyfikacja ISO/IEC 27001 – pod warunkiem, że obejmuje ona usługi, które są przedmiotem ich zainteresowania.

 

Role i obowiązki związane z DORA

Jeśli chodzi o wymagane role i obowiązki wynikające z DORA, w dużej mierze pokrywają się one z odpowiedzialnością wymaganą w systemie ISMS zgodnym z ISO/IEC 27001 (lub systemie BCMS – zarządzania ciągłością działania, zgodnym z ISO 22301), z jednym wyjątkiem: odpowiedzialność za zgodność z DORA.

 

Odpowiedzialność za zgodność z DORA powinna spoczywać na osobie pełniącej funkcję kierowniczą w organizacji, najlepiej na poziomie kierownictwa wyższego szczebla. Osoba ta powinna dbać o spełnianie wymagań regulacyjnych związanych z DORA. Pozostałe kompetencje wymagane do osiągnięcia i utrzymania zgodności z DORA obejmują:

  • Umiejętność zarządzania ryzykiem;
  • Reagowanie na incydenty – wiedza, jakie działania podjąć, jeśli narzędzie do automatycznego wykrywania ostrzeże o potencjalnie podejrzanej aktywności;
  • Nadzór nad testami penetracyjnymi wymaganymi przez DORA.

 

Wszystkie te elementy mogą być skutecznie zintegrowane w ramach systemu ISMS zgodnego z ISO/IEC 27001.

 

Rozporządzenie DORA nakłada konkretne wymagania na instytucje finansowe i ich dostawców, aby zapewnić wysoki poziom odporności cyfrowej i bezpieczeństwa operacyjnego. Dzięki integracji standardu ISO/IEC 27001 z procesami zarządzania ryzykiem, organizacje mogą nie tylko spełniać wymagania regulacyjne, ale również budować solidne podstawy dla długoterminowego rozwoju i zaufania ze strony interesariuszy.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.