DORA — wdrożenie w sektorze finansowym
Kompleksowe wdrożenie rozporządzenia DORA (Digital Operational Resilience Act) w instytucji finansowej: pięć filarów zarządzania ryzykiem ICT, testy TLPT, rejestr dostawców ICT i procedury raportowania incydentów zgodne z RTS/ITS EBA/ESMA/EIOPA.
Wdrożenie DORA to więcej niż jeden dokument compliance
DORA nie jest kolejną polityką bezpieczeństwa do podpięcia pod istniejący system zarządzania ryzykiem — to nowy, zintegrowany framework obejmujący pięć powiązanych ze sobą filarów. Instytucje finansowe, które próbują wdrażać je punktowo (osobno raportowanie incydentów, osobno testy, osobno rejestr dostawców), tracą efekt synergii i generują dodatkową pracę przy każdej aktualizacji. Szkolenie prowadzi przez wdrożenie całościowe, tak by jeden rejestr ryzyka zasilał zarówno klasyfikację incydentów, jak i planowanie testów TLPT.
Od inwentaryzacji do gotowego frameworku
Punktem wyjścia jest inwentaryzacja aktywów ICT i funkcji krytycznych — bez niej nie da się poprawnie wyznaczyć zakresu pozostałych filarów. Uczestnicy przechodzą przez pełną ścieżkę: klasyfikację funkcji krytycznych, budowę rejestru dostawców ICT zgodnego z art. 28, zaprojektowanie procedury raportowania incydentów w terminach RTS/ITS oraz zaplanowanie programu testów odporności operacyjnej dopasowanego do profilu ryzyka instytucji.
Testy TLPT bez niedomówień
Threat-led penetration testing budzi najwięcej pytań praktycznych — kto go musi przeprowadzać, jak często i według jakiej metodyki. Na warsztacie wyjaśniamy różnicę między podstawowymi testami odporności ICT a zaawansowanym TLPT w ramie TIBER-EU, oraz pokazujemy, jak wyniki testów przekładają się na konkretne działania naprawcze w rejestrze ryzyka.
Korzyści
- Zaprojektowanie i wdrożenie kompletnego ICT Risk Management Framework zgodnego z pięcioma filarami DORA
- Zbudowanie rejestru informacji o dostawcach ICT (register of information) wymaganego przez art. 28 DORA
- Przygotowanie procedur klasyfikacji i raportowania incydentów ICT w terminach zgodnych z RTS/ITS
- Zaplanowanie programu testów odporności operacyjnej, w tym testów TLPT (threat-led penetration testing) dla podmiotów istotnych systemowo
Dla kogo jest to szkolenie?
Wymagania wstępne
- Podstawowa znajomość struktury organizacyjnej i procesów IT instytucji finansowej
- Znajomość ogólnych zasad zarządzania ryzykiem operacyjnym (przydatna, nie wymagana)
Program szkolenia
Zakres DORA i pięć filarów zarządzania ryzykiem ICT
- Podmioty finansowe objęte rozporządzeniem: banki, ubezpieczyciele, firmy inwestycyjne, dostawcy krypto
- Relacja DORA do dotychczasowych wytycznych EBA/ESMA/EIOPA dotyczących ryzyka ICT
- Pięć filarów: zarządzanie ryzykiem ICT, obsługa incydentów, testowanie odporności, ryzyko stron trzecich, wymiana informacji
- Harmonogram wdrożenia i konsekwencje niezgodności
ICT Risk Management Framework
- Rola organu zarządzającego w zatwierdzaniu strategii ryzyka ICT
- Identyfikacja i klasyfikacja aktywów ICT oraz funkcji krytycznych
- Polityki ciągłości działania i planów odzyskiwania po awarii (BCP/DRP) w reżimie DORA
- Dokumentacja i audytowalność frameworku ryzyka
Zarządzanie incydentami i raportowanie RTS/ITS
- Klasyfikacja incydentu ICT jako istotny (major incident)
- Terminy i format zgłoszeń zgodnie z technicznymi standardami regulacyjnymi (RTS) i wykonawczymi (ITS)
- Przepływ decyzyjny: wykrycie, klasyfikacja, notyfikacja organu nadzoru, raport końcowy
- Koordynacja z NIS2/KSC przy incydentach na styku obu reżimów
Testowanie odporności operacyjnej (TLPT)
- Podstawowe testy odporności ICT vs zaawansowane testy TLPT dla podmiotów istotnych systemowo
- Metodyka threat-led penetration testing zgodna z ramą TIBER-EU
- Zakres, częstotliwość i dobór dostawców testów
- Wykorzystanie wyników testów do aktualizacji rejestru ryzyka
Zarządzanie ryzykiem stron trzecich i rejestr dostawców ICT
- Budowa register of information zgodnego z art. 28 DORA
- Ocena ryzyka koncentracji u kluczowych dostawców ICT (w tym chmury publicznej)
- Klauzule umowne wymagane przy outsourcingu funkcji krytycznych
- Nadzór nad dostawcami uznanymi za krytycznych (oversight framework)
Formy realizacji
Online
- Wygoda uczestnictwa z dowolnego miejsca
- Interaktywne sesje na żywo z trenerem
- Materiały dostępne przez 30 dni
- Brak kosztów dojazdu
Stacjonarnie
- Bezpośredni kontakt z trenerem i grupą
- Intensywne warsztaty praktyczne
- Networking z innymi uczestnikami
- Pełne skupienie na nauce
Najczęściej zadawane pytania
Jakie są pięć filarów DORA i od czego zacząć wdrożenie?
Pięć filarów to: zarządzanie ryzykiem ICT, obsługa i raportowanie incydentów, testowanie odporności operacyjnej (w tym TLPT), zarządzanie ryzykiem stron trzecich oraz wymiana informacji o zagrożeniach. Wdrożenie zaczyna się od inwentaryzacji aktywów ICT i funkcji krytycznych, bo od niej zależy zakres pozostałych filarów. Na szkoleniu budujemy plan wdrożenia w tej kolejności, z priorytetami dopasowanymi do wielkości i profilu ryzyka instytucji.
Czym różni się to szkolenie od DORA dla zarządu, DORA ICT Risk Management i DORA Incident Reporting w naszym katalogu?
Te trzy szkolenia pokrywają wąskie moduły (odpowiednio: odpowiedzialność zarządu, sam framework zarządzania ryzykiem, samo raportowanie incydentów). To szkolenie prowadzi przez wdrożenie end-to-end wszystkich pięciu filarów jednocześnie, z naciskiem na integrację między nimi — np. jak wyniki TLPT zasilają rejestr ryzyka, a rejestr dostawców wpływa na klasyfikację incydentów.
Czy nasza instytucja musi przeprowadzać testy TLPT?
Obowiązek zaawansowanych testów TLPT dotyczy podmiotów finansowych uznanych za istotne systemowo, wskazanych przez właściwy organ nadzoru na podstawie kryteriów DORA (m.in. wielkości, złożoności, znaczenia dla stabilności systemu finansowego). Pozostałe podmioty realizują podstawowe testy odporności ICT w cyklu rocznym. Na szkoleniu pokazujemy, jak ustalić, do której grupy należy Twoja organizacja, i jak zaplanować odpowiedni program testów.
Jak zbudować register of information dla dostawców ICT zgodnie z art. 28 DORA?
Rejestr musi obejmować wszystkich dostawców usług ICT wspierających funkcje krytyczne lub istotne, z informacjami o zakresie usługi, lokalizacji przetwarzania danych, poziomie krytyczności oraz istnieniu planów wyjścia (exit strategy). Na warsztacie przechodzimy przez szablon rejestru i metodę klasyfikacji dostawców według ryzyka koncentracji, w tym dostawców chmury publicznej.
Jakie są konsekwencje niezgodności z DORA?
Organy nadzoru finansowego (KNF w Polsce, EBA/ESMA/EIOPA na poziomie UE) mogą nakładać kary administracyjne, żądać planów naprawczych oraz — w skrajnych przypadkach — ograniczać zakres działalności podmiotu. Poza sankcjami formalnymi, brak zgodności zwiększa realne ryzyko operacyjne wynikające z niezarządzanych incydentów ICT i zależności od dostawców.
Poproś o ofertę
Możliwości dofinansowania
Sprawdź możliwości dofinansowania dla Twojej firmy
Baza Usług Rozwojowych
Instrument dla mikro, małych i średnich firm — sprawdź, czy dotyczy Twojej organizacji
Sprawdź dostępnośćKrajowy Fundusz Szkoleniowy
Instrument dla pracodawców — pomagamy sprawdzić, czy da się go zastosować
Dowiedz się więcejZaufali nam
Szkolimy zespoły największych polskich firm
Zainteresowany tym szkoleniem?
Skontaktuj się z nami - przygotujemy ofertę dopasowaną do potrzeb Twojego zespołu.