Masz procedury DORA? KNF zapyta: kiedy ostatnio naprawdę je przeczytałeś?

Coroczny przegląd dokumentacji ICT/DORA w banku spółdzielczym po ocenie nadzorczej KNF ryzyka ICT za 2025 r.

Ocena nadzorcza KNF ryzyka ICT za 2025 r. pokazała bankom spółdzielczym bardzo prostą, ale bolesną prawdę: samo posiadanie procedur, strategii, analiz BIA, analiz ryzyka ICT, rejestrów usług ICT i dokumentów DORA nie wystarcza.

Dokument może być formalnie przyjęty. Może leżeć w segregatorze, w repozytorium albo na dysku sieciowym. Może nawet zawierać odniesienia do DORA, RTS, BIA, ICT, KLIF, BCP, DRP i dostawców zewnętrznych. Ale jeżeli bank nie potrafi wykazać, że dokument został przejrzany, oceniony, zaktualizowany i przedstawiony Zarządowi, to z punktu widzenia nadzorczego pojawia się problem.

I właśnie ten problem wybrzmiał bardzo mocno w ramach oceny nadzorczej KNF ryzyka ICT za 2025 r.

O co chodzi w zaleceniu dotyczącym corocznego przeglądu dokumentacji ICT/DORA?

Jednym z istotnych oczekiwań nadzorczych jest zapewnienie mechanizmu regularnego przeglądu ram zarządzania ryzykiem ICT.

W praktyce oznacza to, że bank powinien mieć w dokumentacji jasno zapisane, że przegląd dokumentów ICT/DORA odbywa się:

• co najmniej raz w roku,
• po poważnym incydencie ICT,
• po istotnej zmianie systemu, procesu lub dostawcy,
• po audycie,
• po testach odporności ICT,
• po otrzymaniu zaleceń lub oczekiwań nadzorczych.

Wynik takiego przeglądu powinien być każdorazowo udokumentowany i przedstawiony Zarządowi.

To nie jest ozdobny zapis do procedury. To jest mechanizm dowodowy, który ma pokazać, że bank realnie zarządza ryzykiem ICT, a nie tylko posiada dokumentację na potrzeby kontroli.

Dlaczego banki mają z tym problem?

W wielu bankach spółdzielczych dokumentacja formalnie istnieje. Są polityki bezpieczeństwa informacji, strategie ICT, procedury ciągłości działania, analizy BIA, analizy ryzyka środowiska ICT, instrukcje outsourcingu ICT, rejestry dostawców i plany testów.

Problem polega na czymś innym.

Bardzo często brakuje:

• daty faktycznego przeglądu,
• adnotacji, kto przeglądu dokonał,
• informacji, co dokładnie sprawdzono,
• oceny, czy dokument nadal odpowiada stanowi faktycznemu,
• wskazania, jakie ryzyka wynikają z treści dokumentu,
• informacji, czy dokument wymaga aktualizacji,
• wykazu zmian,
• decyzji Zarządu,
• powiązania przeglądu z analizą ryzyka ICT,
• dowodu, że przegląd nie był tylko podpisaniem metryki.

I tu właśnie pojawia się najważniejsza różnica: przegląd dokumentu to nie jest dopisanie daty w tabelce.

Przegląd dokumentacji to nie pieczątka. To ocena merytoryczna.

Część banków traktowała dotychczas przegląd dokumentu jako formalność. W metryce wpisywano datę, osobę, ewentualnie krótką adnotację „bez zmian” i temat był zamknięty.

Po ocenie nadzorczej KNF ryzyka ICT za 2025 r. takie podejście jest ryzykowne.

Przegląd dokumentacji ICT/DORA powinien odpowiedzieć na konkretne pytania:

Czy dokument nadal opisuje rzeczywistość banku?
Jeżeli w procedurze opisano system, którego bank już nie używa, dostawcę, z którym bank zakończył współpracę, albo proces, który działa inaczej niż w dokumencie, to dokument jest nieaktualny.

Czy dokument jest zgodny z DORA i RTS?
Nie wystarczy, że dokument zawiera hasło „DORA”. Trzeba sprawdzić, czy faktycznie obejmuje wymagane obszary: ryzyko ICT, incydenty, ciągłość działania, testowanie odporności, dostawców ICT, rejestry, raportowanie i mechanizmy kontroli.

Czy dokument wskazuje odpowiedzialności?
Procedura bez właściciela procesu, terminów, trybu eskalacji i sposobu raportowania jest słaba dowodowo.

Czy dokument zawiera mierniki lub mechanizmy kontroli?
Jeżeli bank nie mierzy wykonania procedury, to trudno wykazać, że procedura działa.

Czy treść dokumentu sama nie generuje ryzyka?
To bardzo ważny punkt. Niektóre procedury są formalnie przyjęte, ale ich treść jest ogólna, nieaktualna, sprzeczna z praktyką albo niedostosowana do wielkości i modelu działania banku. Wtedy problemem nie jest brak dokumentu, tylko jego jakość.

Mówiąc wprost: w części banków dokumenty nadal „wołają o pomstę do nieba”. Są zbyt ogólne, niespójne, niepowiązane z realnymi systemami, dostawcami, procesami i odpowiedzialnościami. Taki dokument nie broni banku. Taki dokument może wręcz pokazać, że bank nie panuje nad własnym środowiskiem ICT.

Co zmieniła ocena nadzorcza KNF ryzyka ICT za 2025 r.?

Ocena nadzorcza KNF za 2025 r. pokazała, że nadzór patrzy nie tylko na to, czy bank ma dokumenty, ale również na to, czy bank potrafi wykazać ich aktualność, przegląd i skuteczność.

W wielu przypadkach problemem mogło być to, że banki przy dokumentach przyjętych w 2025 r. uznały, że przegląd jeszcze „nie dotyczy”, bo dokument jest nowy. Z perspektywy praktycznej takie rozumowanie jest zrozumiałe. Skoro dokument został wdrożony w 2025 r., to bank mógł zakładać, że pełny przegląd nastąpi po zakończeniu pierwszego roku obowiązywania.

Jednak podejście nadzorcze jest bardziej formalne. Jeżeli dokument tworzy ramy zarządzania ryzykiem ICT, to powinien być objęty mechanizmem przeglądu. Może to być przegląd roczny, przegląd wdrożeniowy albo formalne potwierdzenie aktualności, ale musi istnieć dowód, że bank świadomie ocenił dokument.

Nie wystarczy założyć, że „rok jeszcze nie minął”.

Rola komunikatu SOZ BPS

Dodatkowo istotne jest to, że SOZ BPS poprosił banki o przekazywanie uwag, pytań i zastrzeżeń do raportu poprzez ankietę w systemie KOS, a nie o indywidualne wyjaśnianie sprawy bezpośrednio z UKNF.

To oznacza, że banki powinny podejść do tematu w sposób uporządkowany:

1. sprawdzić, które zalecenia ich dotyczą,
2. zweryfikować dane przekazane w sprawozdawczości,
3. ustalić, czy problem wynika z faktycznego braku dokumentu, czy z braku jego wykazania,
4. zebrać pytania do SOZ BPS,
5. przygotować plan działań naprawczych,
6. nie wysyłać samodzielnych, nieskoordynowanych odpowiedzi do UKNF.

To dobre podejście, ponieważ pozwala wypracować wspólną interpretację dla banków spółdzielczych i ograniczyć ryzyko chaotycznych, niespójnych odpowiedzi.

Co bank powinien zrobić już teraz?

Bank powinien przygotować prosty, ale konkretny mechanizm przeglądu dokumentacji ICT/DORA.

1. Wpisać zasadę przeglądu do dokumentacji

W politykach i procedurach należy jasno wskazać, że dokumentacja ICT/DORA jest przeglądana:

• co najmniej raz w roku,
• po incydencie,
• po istotnej zmianie,
• po audycie,
• po testach,
• po zaleceniach nadzorczych.

To powinno dotyczyć co najmniej:

• strategii ICT,
• strategii operacyjnej odporności cyfrowej,
• polityki bezpieczeństwa informacji,
• procedury zarządzania ryzykiem ICT,
• procedury zarządzania incydentami ICT,
• BIA,
• BCP/DRP,
• analizy ryzyka środowiska ICT,
• dokumentacji outsourcingu ICT,
• rejestru usług ICT,
• rejestru dostawców ICT,
• programu testowania odporności cyfrowej,
• procedur backupu i odtwarzania.

2. Prowadzić metrykę zmian i przeglądów

Każdy ważny dokument powinien mieć metrykę obejmującą:

• datę opracowania,
• datę zatwierdzenia,
• datę ostatniego przeglądu,
• osobę odpowiedzialną,
• zakres przeglądu,
• wynik przeglądu,
• decyzję: bez zmian / aktualizacja / dokument do przebudowy,
• odniesienie do uchwały, notatki lub raportu dla Zarządu.

Jeżeli bank prowadzi oddzielny rejestr przeglądów dokumentacji, to również jest dobre rozwiązanie. Ważne, aby można było szybko wykazać: kiedy, kto, co i z jakim wynikiem przejrzał.

3. Przygotować sprawozdanie z przeglądu ram zarządzania ryzykiem ICT

To powinien być główny dokument dowodowy.

Sprawozdanie powinno obejmować:

• wykaz dokumentów objętych przeglądem,
• ocenę ich aktualności,
• ocenę zgodności z DORA i RTS,
• ocenę powiązania dokumentów z praktyką banku,
• stwierdzone braki,
• ryzyka wynikające z braków,
• działania naprawcze,
• terminy,
• właścicieli działań,
• informację o przedstawieniu wyników Zarządowi.

Taki dokument pokazuje, że bank nie tylko „ma procedury”, ale realnie kontroluje ich jakość.

4. Przegląd powinien oceniać treść, nie tylko fakt istnienia dokumentu

To jest kluczowe.

Przegląd dokumentacji powinien odpowiedzieć, czy procedura jest:

• aktualna,
• zrozumiała,
• zgodna z praktyką banku,
• zgodna z DORA/RTS,
• powiązana z rejestrami i analizami,
• kompletna,
• możliwa do wykonania,
• mierzalna,
• przypisana do konkretnych osób lub komórek,
• raportowana do Zarządu.

Jeżeli procedura opisuje działania, których bank realnie nie wykonuje, to jest ryzyko. Jeżeli procedura nie opisuje działań, które bank realnie wykonuje, to też jest ryzyko. Dokumentacja musi odpowiadać rzeczywistości.

5. Przedstawiać wyniki Zarządowi

Zarząd nie powinien otrzymywać wyłącznie informacji: „dokumenty zostały przejrzane”.

Zarząd powinien otrzymać krótką, rzeczową informację:

• które dokumenty przejrzano,
• jakie są najważniejsze braki,
• jakie ryzyka z nich wynikają,
• co trzeba poprawić,
• jaki jest termin,
• kto odpowiada,
• czy są potrzebne decyzje Zarządu,
• czy są potrzebne środki finansowe,
• czy temat wpływa na zgodność z DORA/KNF.

To pokazuje, że organ zarządzający faktycznie nadzoruje ramy zarządzania ryzykiem ICT, a nie tylko zatwierdza dokumenty.

Przykład praktyczny

Bank posiada procedurę zarządzania incydentami ICT. Procedura została przyjęta w 2025 r. i zawiera odniesienie do DORA. W metryce nie ma jednak przeglądu. W rejestrze incydentów nie ma pełnej klasyfikacji zdarzeń. Brakuje mierników MTTD/MTTR. Nie ma dowodu, że ścieżka zgłaszania poważnego incydentu została przetestowana. Dokument formalnie istnieje, ale trudno wykazać jego skuteczność.

Co powinien zrobić bank?

Powinien przeprowadzić przegląd procedury i odnotować:

• procedura obowiązuje od konkretnej daty,
• dokonano przeglądu jej zgodności z DORA,
• uzupełnienia wymaga rejestr incydentów,
• należy dodać mierniki czasu wykrycia i reakcji,
• należy wykonać test scenariuszowy,
• wyniki należy przedstawić Zarządowi,
• termin realizacji działań: np. do 30.09.2026 r.

To jest realny przegląd. Nie podpis w tabeli.

Pytania i odpowiedzi

Czy każdy dokument ICT/DORA musi mieć przegląd?

Tak, każdy istotny dokument tworzący ramy zarządzania ryzykiem ICT powinien być objęty przeglądem. Dotyczy to zwłaszcza strategii, polityk, procedur bezpieczeństwa, BIA, BCP/DRP, analizy ryzyka ICT, outsourcingu ICT, incydentów, testowania odporności i dostawców ICT.

Czy wystarczy wpisać datę w metryce dokumentu?

Nie. Data w metryce jest potrzebna, ale niewystarczająca. Bank powinien móc wykazać, co zostało sprawdzone, jaki był wynik przeglądu, czy są braki, jakie ryzyka z nich wynikają i jakie działania naprawcze przyjęto.

Czy przegląd trzeba robić, jeżeli dokument został przyjęty w 2025 r.?

Takie dokumenty również powinny być objęte przeglądem albo co najmniej formalną oceną wdrożeniową. Nowy dokument nie oznacza automatycznie, że jest skuteczny, kompletny i zgodny z praktyką banku.

Gdzie odnotować przegląd?

Najlepiej w dwóch miejscach: w metryce dokumentu oraz w zbiorczym rejestrze przeglądów dokumentacji ICT/DORA. Dodatkowo dla kluczowych dokumentów warto przygotować krótkie sprawozdanie z przeglądu.

Czy przegląd musi zatwierdzać Zarząd?

Zarząd powinien co najmniej otrzymać informację o wynikach przeglądu kluczowych ram zarządzania ryzykiem ICT. Jeżeli przegląd prowadzi do istotnych zmian, przyjęcia planu naprawczego, zwiększenia budżetu, zmiany strategii albo akceptacji ryzyka, Zarząd powinien podjąć odpowiednią decyzję.

Co powinno trafić do SOZ BPS?

Do SOZ BPS warto przekazać uporządkowane pytania i zastrzeżenia, zwłaszcza tam, gdzie ocena KNF mogła wynikać z interpretacji pól sprawozdawczych. Jednocześnie bank powinien pokazać, że przygotowuje plan działań naprawczych i nie ogranicza się do polemiki.

Minimalny pakiet, który bank powinien mieć

Bank powinien przygotować co najmniej:

1. rejestr dokumentacji ICT/DORA,
2. metryki przeglądów dokumentów,
3. rejestr przeglądów dokumentacji,
4. sprawozdanie z przeglądu ram zarządzania ryzykiem ICT,
5. plan działań naprawczych,
6. raport dla Zarządu,
7. harmonogram kolejnych przeglądów,
8. dowody aktualizacji dokumentów,
9. powiązanie przeglądów z analizą ryzyka ICT,
10. pytania i uwagi do SOZ BPS, jeżeli ocena wymaga doprecyzowania.

Najważniejszy wniosek

Ocena nadzorcza KNF ryzyka ICT za 2025 r. pokazała, że banki spółdzielcze muszą przejść z podejścia dokumentacyjnego na podejście dowodowe.

Nie wystarczy powiedzieć: „mamy procedurę”.

Trzeba pokazać:

• kiedy była przeglądana,
• kto ją przeglądał,
• co sprawdzono,
• jakie są ryzyka,
• co poprawiono,
• co przekazano Zarządowi,
• jakie działania zaplanowano.

W praktyce właśnie na tym polega dojrzałe zarządzanie ICT/DORA. Dokumentacja ma nie tylko istnieć. Dokumentacja ma pracować dla banku, bronić banku i pokazywać, że Zarząd realnie nadzoruje ryzyko ICT.

10 wybranych najważniejszych tematów po ocenie KNF ryzyka ICT 2025

1. Strategia ICT to za mało. KNF pyta o operacyjną odporność cyfrową Banku:

   https://premiumbank.zadbajobezpieczenstwo.pl/strategia-ict-to-za-malo-knf-pyta-o-operacyjna-odpornosc-cyfrowa-banku/

2. Backup jest? To za mało. KNF zapyta, czy Bank potrafi się odtworzyć:
   https://premiumbank.zadbajobezpieczenstwo.pl/backup-jest-to-za-malo-knf-zapyta-czy-bank-potrafi-sie-odtworzyc-strategia-ciaglosci-dzialania-ict-po-ocenie-knf-ryzyka-ict-za-2025-r/

3. Skan to za mało. KNF zapyta, czy Bank naprawdę testuje odporność ICT:
   https://premiumbank.zadbajobezpieczenstwo.pl/skan-podatnosci-to-nie-test-odpornosci-knf-zapyta-czy-bank-naprawde-testuje-ict/

4. Jeden dostawca, wiele systemów, jedno duże ryzyko. KNF pyta o koncentrację ICT:
   https://premiumbank.zadbajobezpieczenstwo.pl/jeden-dostawca-wiele-systemow-jedno-duze-ryzyko-knf-pyta-o-koncentracje-ict/

5. Audyt ZDU — czy wiesz, kogo naprawdę powinien kontrolować Bank?:
   https://premiumbank.zadbajobezpieczenstwo.pl/audyt-zdu-w-banku-spoldzielczym-jak-kontrolowac-dostawcow-zewnetrznych-zgodnie-z-dora/

6. Zarząd musi wiedzieć. KNF zapyta, kto naprawdę nadzoruje ryzyko ICT w Banku:
   https://premiumbank.zadbajobezpieczenstwo.pl/raport-ict-do-zarzadu-knf-pyta-kto-nadzoruje-ryzyko-ict-w-banku/

7. Znalazłeś podatność? KNF zapyta, kiedy ją usunąłeś:
   https://premiumbank.zadbajobezpieczenstwo.pl/znalazles-podatnosc-knf-zapyta-kiedy-ja-usunales-zarzadzanie-podatnosciami-ict-po-ocenie-knf-ryzyka-ict-za-2025-r/

8. Masz procedury DORA? KNF zapyta: kiedy ostatnio naprawdę je przeczytałeś?:
   https://premiumbank.zadbajobezpieczenstwo.pl/coroczny-przeglad-dokumentacji-ict-dora-w-banku-spoldzielczym-po-ocenie-nadzorczej-knf-ryzyka-ict-za-2025-r/

9. DORA nie zna wymówki: pracownik nie miał czasu na szkolenie:
   https://premiumbank.zadbajobezpieczenstwo.pl/szkolenia-ict-dora-po-ocenie-knf-ryzyka-ict-za-2025-r-czy-bank-przeszkolil-wszystkich-czy-tylko-ma-plan-szkolenia/

10. Dokument jest? KNF zapyta o dowód, że działa:
    https://premiumbank.zadbajobezpieczenstwo.pl/dokument-jest-knf-zapyta-o-dowod-ze-dziala/

O genezie powstania 10 wybranych tematów można dowiedzieć się więcej :
https://premiumbank.zadbajobezpieczenstwo.pl/10-wybranych-najwazniejszych-zalecen-knf-po-ocenie-ryzyka-ict-2025-praktyczne-podsumowanie-dla-bankow-spoldzielczych/

Servus Comp Kraków — wsparcie dla banków spółdzielczych

W ramach bieżącej współpracy z bankami spółdzielczymi Servus Comp Kraków od dłuższego czasu zwraca uwagę, że przeglądy dokumentacji ICT/DORA, BIA, analizy ryzyka ICT, procedur bezpieczeństwa, ciągłości działania i outsourcingu ICT muszą być dokumentowane, merytoryczne i przedstawiane Zarządowi.

Na co dzień wspieramy banki w:

• nadzorze proceduralnym ICT/DORA,
• przeglądach dokumentacji bezpieczeństwa informacji,
• aktualizacji BIA, BCP i DRP,
• analizach ryzyka środowiska ICT,
• przygotowaniu dokumentacji pod DORA i RTS,
• przeglądach rejestrów usług ICT i dostawców,
• przygotowaniu odpowiedzi na zalecenia audytowe i nadzorcze,
• opracowaniu sprawozdań z przeglądów dla Zarządu,
• przygotowaniu banku do oceny zgodności i audytów.

Jeżeli Państwa bank chce uporządkować dokumentację ICT/DORA po ocenie nadzorczej KNF ryzyka ICT za 2025 r. albo przygotować rzetelny przegląd ram zarządzania ryzykiem ICT, zapraszamy do kontaktu z Servus Comp Kraków.

Zadzwoń lub napisz do Servus Comp, aby omówić temat.

• Strona główna: https://premiumbank.zadbajobezpieczenstwo.pl

Servus Comp Data Security, Świętokrzyska 12/403, 30-015 Kraków

tel. +48 608 407 668, +48 12 631 91 22 • biuro@servus-comp.pl

PODEJMIEMY DLA PAŃSTWA KAŻDE WYZWANIE!

JESTEŚ ZAINTERESOWANY? ZADZWOŃ, NAPISZ DO NAS

#DORA #KNF #RyzykoICT #BankSpółdzielczy #SOZBPS #Cyberbezpieczeństwo #ICT #BCP #BIA #BezpieczeństwoInformacji #ServusComp