Odpowiedź krótka
Ćwiczenie decyzyjne DORA powinno sprawdzić, czy kierownictwo otrzymuje użyteczne informacje, podejmuje decyzje na czas i rzetelnie je dokumentuje, gdy zespoły operacyjne zajmują się incydentem. Wykorzystaj realistyczne zakłócenie, oddziel klasyfikację incydentu od pilności działań biznesowych i przećwicz rzeczywistą ścieżkę zgłaszania z odrębnymi terminami. Ten przewodnik zawiera fikcyjny scenariusz na 90 minut, pytania prowadzącego, dziennik decyzji i rejestr dalszych działań. To propozycja praktyczna, a nie format wymagany przez DORA ani dowód zgodności. Przed ćwiczeniem dostosuj scenariusz, uprawnienia i obowiązki zgłoszeniowe do swojego podmiotu finansowego.
1. Testuj decyzje, nie umiejętność cytowania przepisów
Trudna decyzja zarządu podczas poważnego incydentu technologicznego rzadko brzmi „Czy powinniśmy traktować to poważnie?”. Częściej dotyczy przerwania usługi, działania przy ograniczonych kontrolach, finansowania awaryjnej alternatywy lub wypowiedzi do klientów przy niepełnych danych. Ćwiczenie scenariuszowe odkrywa te napięcia jeszcze przed prawdziwym incydentem.
Artykuły 17–19 DORA dotyczą zarządzania incydentami, ich klasyfikacji i zgłaszania. Artykuł 17 przewiduje eskalację do właściwej kadry kierowniczej oraz informowanie organu zarządzającego o poważnych incydentach, ich skutkach, reakcji i dodatkowych zabezpieczeniach. Nie czyni to zarządu operacyjnym kierownikiem reagowania. Ćwiczenie ma sprawdzić, czy odpowiedzialności i ścieżki eskalacji działają spójnie.
Wyznacz trzy konkretne rezultaty: jasną decyzję z osobą odpowiedzialną, zadanie zgłoszeniowe przypisane do konkretnej osoby i zapis faktów znanych w chwili podejmowania decyzji. Sama obecność nie wystarcza do zaliczenia. Wartościowym wynikiem może być odkrycie, że podczas awarii systemu tożsamości nikt nie ma dostępu do portalu zgłoszeniowego.
Ćwiczenie wykorzystuje fikcyjny scenariusz. Nie zastępuje technicznych testów odtwarzania, pełnego programu testowania odporności ani testów penetracyjnych opartych na analizie zagrożeń. Czas 90 minut jest propozycją, nie minimum regulacyjnym.
2. Oddziel klasyfikację, pilność i eskalację na poziom zarządu
Incydent może wymagać uwagi kierownictwa, zanim zakończy się jego klasyfikacja regulacyjna. Z kolei poważny incydent podlegający zgłoszeniu może wymagać szybkiego powiadomienia, mimo że przywracanie usługi już przebiega pomyślnie. Nie uzależniaj tych decyzji od dostępności przewodniczącego do zatwierdzenia komunikatu prasowego.
Szczegółowe zasady klasyfikacji znajdują się w rozporządzeniu delegowanym (UE) 2024/1772. Artykuł 8 łączy wpływ na usługi krytyczne z określonymi warunkami istotności. Nie oznacza to, że każda awaria techniczna jest automatycznie poważnym incydentem. Przepisy obejmują też incydenty powtarzające się. Stosuj zatwierdzony arkusz z właściwymi kryteriami i progami, zamiast improwizować ocenę kolorami podczas spotkania.
Na potrzeby ćwiczenia powierz osobie z zespołu zgodności lub ryzyka rekomendację klasyfikacji i uzasadniające ją fakty. Kierujący reagowaniem ustala priorytety operacyjne. Upoważniona osoba przygotowuje i wysyła zgłoszenie. Faktyczny podział uprawnień w organizacji może być inny: zapisz go przed wprowadzeniem pierwszego nowego zdarzenia do scenariusza.
- Co wiadomo o dotkniętych usługach, klientach, transakcjach i danych?
- Które informacje są szacunkami, na czym się opierają i kiedy zostaną zaktualizowane?
- Które kryteria klasyfikacji są spełnione, niespełnione lub nadal niepewne?
- Kto może podjąć decyzję i działać, jeśli zwykle odpowiedzialna osoba jest niedostępna?
Zapisz osobno moment uzyskania wiedzy o incydencie i moment jego klasyfikacji. Późniejsze poinformowanie kierownictwa nie uruchamia pierwszego terminu od nowa. Wykrycie incydentu i uznanie go za poważny to odrębne zdarzenia wymagające dokładnej chronologii.
3. Przećwicz obliczanie terminów zgłoszeń na przykładzie
Poniższe podsumowanie dotyczy zgłaszania poważnych incydentów związanych z ICT zgodnie z artykułem 5 rozporządzenia delegowanego (UE) 2025/301. W rzeczywistym incydencie korzystaj z tekstu przepisów i procedury zgłoszeń właściwego organu.
| Etap | Termin podstawowy |
|---|---|
| Wstępne powiadomienie | Jak najwcześniej, w ciągu czterech godzin od uznania incydentu za poważny i nie później niż 24 godziny od uzyskania o nim wiedzy. |
| Wyjątek przy późniejszej klasyfikacji | Jeśli incydent zostanie uznany za poważny dopiero po upływie 24 godzin od uzyskania o nim wiedzy, zgłoszenie należy wysłać w ciągu czterech godzin od tej klasyfikacji. |
| Raport pośredni | W ciągu 72 godzin od wysłania wstępnego powiadomienia, nawet jeśli sytuacja lub sposób obsługi się nie zmieniły. Aktualizacja raportu pośredniego jest wymagana bez zbędnej zwłoki, a w każdym przypadku po przywróceniu zwykłej działalności. |
| Raport końcowy | Nie później niż miesiąc po raporcie pośrednim lub po ostatnio zaktualizowanym raporcie pośrednim, jeśli dotyczy. |
W fikcyjnym przykładzie organizacja dowiaduje się o incydencie we wtorek o 09:00, a uznaje go za poważny o 10:00. Podstawowy termin wstępnego powiadomienia upływa we wtorek o 14:00, przy zachowaniu obowiązku zgłoszenia jak najwcześniej. Jeśli powiadomienie zostanie wysłane we wtorek o 11:30, termin 72 godzin na raport pośredni upłynie w piątek o 11:30. Kolejna aktualizacja raportu pośredniego zmienia początek miesięcznego terminu na raport końcowy. Miesiąc nie oznacza 30 dni.
Terminy nie zatrzymują się automatycznie na weekend. Gdy ma zastosowanie art. 5 ust. 4, zgłoszenie można złożyć do południa następnego dnia roboczego, jeśli termin wypada w weekend lub święto w państwie członkowskim zgłaszającego podmiotu. Ustęp 5 wyłącza z tego ułatwienia wstępne powiadomienia i raporty pośrednie instytucji kredytowych, kontrahentów centralnych, operatorów systemów obrotu oraz innych podmiotów finansowych uznanych za kluczowe lub ważne według NIS2. Na podstawie ust. 6 organy mogą wyłączyć także inne podmioty istotne lub systemowe po ich uprzednim poinformowaniu; decyzja dotyczy incydentów zgłoszonych po tym zawiadomieniu. Przed skorzystaniem z ułatwienia sprawdź, czy obejmuje ono twój podmiot.
Jeżeli nie można dotrzymać terminu, poinformuj właściwy organ bez zbędnej zwłoki i nie później niż w wyznaczonym terminie, wyjaśniając powody. To nie jest automatyczne przedłużenie.
4. Przygotuj salę i zasady gry
Zaproś przewodniczącego lub upoważnionego menedżera, osobę odpowiedzialną za usługę, kierującego reagowaniem, przedstawicieli ryzyka lub zgodności, prawników, komunikację i osobę prowadzącą dziennik. Jeśli usługa zależy od zewnętrznej platformy, uwzględnij opiekuna relacji z dostawcą. W małej organizacji jedna osoba może pełnić kilka ról, ale zakres odpowiedzialności musi być jasny.
Wyślij krótki pakiet przygotowawczy: właściwą usługę biznesową, mapę eskalacji, cele odtworzeniowe, ścieżkę zgłaszania, aktualną listę kontaktów oraz pusty dziennik decyzji. Poproś uczestników o stosowanie prawdziwych procedur organizacji. Moderator kontroluje fikcyjne fakty i czas ćwiczenia. Protokolant rejestruje podjęte decyzje, a nie pełny zapis rozmów.
Oddziel czas ćwiczenia od czasu scenariusza. Pięciominutowa dyskusja może reprezentować godzinę w fikcyjnym incydencie, ale prowadzący musi ogłosić przejście. Oznaczaj każdą wiadomość i szkic jako „ĆWICZENIE”. Nie wysyłaj powiadomień ćwiczebnych do regulatora, klienta lub dostawcy, jeśli udział nie został uzgodniony. Użyj bezpiecznej drogi do fikcyjnego zgłoszenia.
Fikcyjny podmiot obsługuje płatności klientów przez zewnętrzną platformę. We wtorek o 09:00 zespół operacyjny dowiaduje się o nieudanych płatnościach. Przyczyna jest niejasna. Na potrzeby ćwiczenia przyjmujemy, że wspierana funkcja została oceniona jako krytyczna lub istotna. Uczestnicy nadal muszą zastosować kryteria uznania incydentu za poważny: sama klasyfikacja funkcji nie przesądza o wyniku.
5. Przeprowadź ćwiczenie według planu na 90 minut
Ten porządek obrad przedkłada podejmowanie decyzji nad prezentację slajdów. Prowadzący powinien przerwać nadmierne techniczne spekulacje i poprosić o decyzję, określenie potrzeb informacyjnych lub wyznaczenie osoby do podjęcia działań. Nie rozwiązuj każdej niepewności za uczestników: określenie potrzebnych dowodów to także element ćwiczenia.
| Minuty ćwiczenia | Aktywność | Wynik |
|---|---|---|
| 0–10 | Potwierdź zakres, role, uprawnienia i fakty scenariusza. | Wskazane osoby: podejmująca decyzję, prowadząca incydent i protokolant. |
| 10–25 | Pierwsze zdarzenie: zakłócenie i niepełne informacje. | Początkowe priorytety, zapytania informacyjne i decyzja o eskalacji. |
| 25–45 | Drugie zdarzenie: uznanie incydentu za poważny i ścieżka zgłaszania. | Zapisane początki i końce terminów, wyznaczony zgłaszający i plan wysyłki. |
| 45–65 | Trzecie zdarzenie: deklaracja przywrócenia usługi, presja klientów i niepewność dotycząca dostawcy. | Warunki wznowienia usługi, decyzja o komunikacji i termin kolejnej oceny. |
| 65–80 | Porównaj decyzje z planami i wskaż luki. | Priorytetowe ustalenia poparte obserwacjami. |
| 80–90 | Ustal osoby odpowiedzialne, terminy i dowody potrzebne do zamknięcia działań. | Rejestr działań i ponowna weryfikacja konkretnego problemu. |
Jeśli decyzja została odroczona, protokolant powinien zapisać, kto, z jakimi dowodami i do kiedy powróci. Stwierdzenie „zaangażujemy dział prawny” nie jest działaniem zakończonym, jeśli nikt nie wskaże kontaktu do prawnika, pytania do rozstrzygnięcia ani dostępnego czasu. Te same standardy obowiązują dla „kontakt z dostawcą” oraz „uruchomienie planu odzyskiwania”.
6. Wprowadź trzy zdarzenia wymagające oceny konsekwencji
Pierwsze zdarzenie: usługa zawodzi, ale przyczyna jest nieznana
O godzinie 09:15 w scenariuszu wzrasta liczba nieudanych płatności. Dostawca potwierdza problem z platformą, ale nie podaje szacowanego czasu przywrócenia usługi. Część klientów ponawia próby, co może powodować problem z rozliczeniem. Zespół operacyjny może tymczasowo ograniczyć przetwarzanie, jednak spowoduje to przerwanie obsługi także u klientów, którzy obecnie mogą nie być dotknięci problemem.
Zapytaj: jaką szkodę klientów ograniczamy i jaką nową szkodę może spowodować ograniczenie? Kto może zmienić sposób działania usługi? Jakie minimum faktów jest potrzebne teraz? Jak odróżnić transakcję opóźnioną od wymagającej ponowienia? Wynikiem ma być decyzja operacyjna o jasno określonym zakresie, osoba odpowiedzialna i termin ponownej oceny, a nie domysł o przyczynie technicznej.
Drugie zdarzenie: klasyfikacja potwierdzona, a osoba zgłaszająca jest niedostępna
O 10:00 w scenariuszu prowadzący przedstawia ocenę potwierdzającą wpływ na usługi krytyczne i spełnienie właściwych progów istotności. Upoważniony zespół uznaje incydent za poważny o 10:00. Osoba zwykle odpowiedzialna za zgłoszenia jest niedostępna. Jej zastępca nigdy nie korzystał z portalu i nie wie, czy jego dostęp działa.
Poproś uczestników o wskazanie ścieżki zgłaszania i wypełnienie próbnego wstępnego powiadomienia na podstawie dostępnych danych. Zapisz niewiadome i wyznacz osoby do ich wyjaśnienia. Kiedy upływa pierwszy termin? Kto wysyła? Kto potwierdza odbiór? Czy można działać bez czekania na kolejne posiedzenie zarządu? Skorzystaj z rozporządzenia wykonawczego (UE) 2025/302 w zakresie wzorów i procedur zgłoszeń; dziennik decyzji z ćwiczenia nie zastępuje wymaganego formularza.
Trzecie zdarzenie: dostawca ogłasza przywrócenie usługi, ale brakuje potwierdzenia
O godzinie 11:15 w scenariuszu dostawca informuje, że przetwarzanie zostało przywrócone. Wewnętrzne rozliczenie nie potwierdziło jeszcze, czy powielone próby zostały poprawnie obsłużone. Kluczowy klient żąda publicznego zapewnienia, że żadne rekordy nie zostały naruszone. Właściciel usługi proponuje natychmiastowe wznowienie działania; lider incydentu domaga się dodatkowej weryfikacji.
Zapytaj, jakie dowody uzasadniają wznowienie usługi i kto może zaakceptować pozostałe ryzyko operacyjne. Czy można uruchamiać ją etapami? Co można teraz rzetelnie przekazać klientom? Jakiej aktualizacji potrzebuje właściwy organ? Ustal warunki powrotu do normalnej pracy, osobę odpowiedzialną za dalsze sprawdzenia i czas kolejnego spotkania. Nie premiuj najszybszego wznowienia, jeśli uczestnicy nie umieją wyjaśnić, jak zweryfikują dane klientów.
7. Prowadź dziennik decyzji wraz z uzasadnieniami
Dobry dziennik pozwala odtworzyć, dlaczego podjęto uzasadnioną decyzję mimo niepełnych informacji. Oddziela decyzje od założeń i wskazuje, kto może je zmienić. Poniższy fikcyjny przykład pokazuje sposób dokumentowania, a nie reakcję zalecaną przy każdym incydencie płatniczym.
| Pole | Przykładowy wpis |
|---|---|
| Czas i decyzja | 09:25: ograniczenie nowych zleceń płatniczych przez kanał objęty awarią do czasu uzgodnienia danych. |
| Informacje dostępne | Rośnie liczba nieudanych płatności; dostawca nie podaje czasu przywrócenia usługi; nie ustalono jeszcze, czy ponowione próby spowodowały duplikaty. |
| Rozważone opcje | Kontynuowanie bez zmian, ograniczenie nowych zleceń lub skierowanie odpowiednich transakcji do zatwierdzonego rozwiązania alternatywnego. |
| Uzasadnienie i uprawnienia | Cel: ograniczyć dalszą niepewność przetwarzania. Decyzję podjął upoważniony menedżer odpowiedzialny za usługę. |
| Osoba odpowiedzialna i kolejna weryfikacja | Kierownik zespołu operacyjnego wdraża decyzję i przedstawia jej skutki o 09:45. |
| Warunki zmiany | Zweryfikowany wynik uzgodnienia danych i zatwierdzona rekomendacja wznowienia usługi. |
Rejestruj znaczniki czasowe dotyczące wykrycia, klasyfikacji i zgłoszenia w chronologii incydentu wraz z logiem. Używaj spójnej strefy czasowej. Zachowuj źródła istotnych faktów i utrzymuj wcześniejsze szacunki przy ich korektach. Poprawiona liczba klientów dotkniętych incydentem nie powinna bez wyjaśnienia nadpisywać pierwotnej wartości, na której bazowała oryginalna decyzja.
8. Zamień obserwacje na oparty na dowodach rejestr działań
Rozpocznij podsumowanie od obserwacji: jaka decyzja była opóźniona, której informacji nie można było uzyskać i jakiego procesu nie udało się pokazać? Unikaj ogólnych wniosków typu „słaba komunikacja” bez przykładu. Zapytaj uczestników, które decyzje byłyby inne, gdyby incydent zaczął się poza standardowymi godzinami pracy lub dotyczył ich narzędzi do współpracy.
Zachowaj wersję scenariusza, uczestnictwo i role, kluczowe decyzje, arkusz klasyfikacji, próbne powiadomienia, zidentyfikowane luki i podjęte działania następcze. Chroń pakiet adekwatnie do jego wrażliwości. Celem jest pożyteczna nauka organizacyjna, a nie niepotrzebne rozpowszechnianie prawdziwych informacji klientów czy tajemnic dostawców.
| Zidentyfikowana luka | Działanie i osoba odpowiedzialna | Proponowany termin | Dowód zamknięcia |
|---|---|---|---|
| Zastępca nie potrafił wykazać dostępu do raportowania. | Osoba odpowiedzialna za zgodność sprawdza dostęp upoważnionego zastępcy do systemu zgłoszeń i właściwe instrukcje. | W ciągu dwóch tygodni. | Udany kontrolowany test dostępu i zaktualizowany grafik dyżurów. |
| Zatwierdzenie przywrócenia nie zawierało kryteriów integralności danych. | Osoba odpowiedzialna za usługę i zespół operacyjny określają sposób sprawdzenia i zatwierdzenia wznowienia. | W ciągu jednego miesiąca. | Zatwierdzona lista kontrolna użyta w ćwiczeniu ukierunkowanego przywracania. |
| Aktualizacje dostawcy nie zawierały szczegółów wpływu na działalność. | Opiekun relacji z dostawcą aktualizuje pytania przy eskalacji i sprawdza dostępność osób kontaktowych. | Przed następną oceną usługi. | Uzgodniona ścieżka eskalacji wykazana podczas wspólnej dyskusji. |
Te terminy są przykładowymi decyzjami zarządczymi, nie terminami ustawowymi. Wyznacz osobę weryfikującą zamknięcie i nadal dokumentuj nierozwiązane ryzyko. Przenieś istotne ustalenia do panelu raportowania dla zarządu. Jeśli ćwiczenie ujawni zewnętrzną zależność bez wiarygodnej alternatywy, użyj przewodnika po ryzyku związanym z dostawcami do powiązania wniosku z umowami, koncentracją i planowaniem wyjścia ze współpracy.
9. Powiąż szkolenie kierownictwa z kolejną weryfikacją
Najbardziej wartościowym działaniem następczym jest mniejsze ćwiczenie potwierdzające naprawę wykrytej słabości. Jeśli pierwsza sesja ujawniła problem z dostępem do raportowania, pokaż ścieżkę zastępcy. Jeśli wykazała niejasność co do ponownego otwarcia usługi, przetestuj warunki zatwierdzenia. Powtarzanie tej samej prezentacji z nierozwiązanymi problemami wnosi niewielką nową wartość.
Użyj przewodnika po wymaganiach szkoleniowych DORA dla zarządów do powiązania ćwiczenia z ciągłym doskonaleniem organu zarządzającego. Kurs BlueTeam Academy «Szkolenie DORA z cyberbezpieczeństwa dla zarządów i kadry kierowniczej» wprowadza zasady zarządzania dla kierownictwa podmiotów finansowych objętych DORA. Ukończenie kursu lub lista obecności nie dowodzą zgodności organizacji. Uzupełnij te podstawy kontekstem własnych usług, obserwacjami decyzji i potwierdzonymi usprawnieniami.
Pytania zadawane przez liderów
Czy każdy incydent ICT musi być zgłaszany jako poważny w ramach DORA?
Nie. Zastosuj zasady klasyfikacji i progi istotności określone w Rozporządzeniu Delegowanym (UE) 2024/1772. Poważna kwestia operacyjna może uzasadniać wewnętrzną eskalację, zanim zakończy się ocena regulacyjna. Zarejestruj ocenę i wróć do niej w razie zmiany faktów.
Czy początkowy termin raportowania DORA to zawsze 24 godziny?
Nie. Podstawowa zasada wymaga zgłoszenia jak najwcześniej, w ciągu czterech godzin od uznania incydentu za poważny i nie później niż 24 godziny od uzyskania o nim wiedzy. Osobna reguła dotyczy klasyfikacji dokonanej po upływie 24 godzin. Początki i końce poszczególnych terminów zapisuj oddzielnie.
Czy ćwiczenie decyzyjne spełnia wszystkie wymagania DORA dotyczące testowania?
Nie. To ćwiczenie doskonali decyzje zarządu i koordynację. Nie wykazuje technicznej zdolności odtworzenia usług ani nie zastępuje właściwego programu testowania odporności, testów specjalistycznych czy testów penetracyjnych opartych na analizie zagrożeń.
Czy zarząd powinien zatwierdzać każde zgłoszenie incydentu?
Używaj modelu uprawnień umożliwiającego terminowe raportowanie i właściwy przekaz informacji organom zarządzającym. Nie twórz fikcyjnej zależności od akceptacji uniemożliwiającej dotrzymanie ustawowego terminu. Udokumentuj autoryzowanego zgłaszającego, zastępcę oraz ścieżkę eskalacji przed wystąpieniem incydentu.
Źródła i materiały dodatkowe
Ustawa nadrzędna i materiały nadzorcze. Przykłady praktyczne i szablony w tym przewodniku są sugestiami, nie narzuconymi wzorami regulacyjnymi.
- Rozporządzenie (UE) 2022/2554: zarządzanie incydentami, klasyfikacja i raportowanie
- Rozporządzenie Delegowane (UE) 2024/1772: klasyfikacja i progi istotności
- Rozporządzenie Delegowane (UE) 2025/301: zakres raportowania i terminy
- Rozporządzenie wykonawcze (UE) 2025/302: wzory i procedury raportowania
Ten przewodnik ma charakter edukacyjny. Potwierdź zakres, stosowane ramy i wymogi nadzorcze ze swoim zespołem ds. zgodności i prawnym.
