Odpowiedź krótka
Symulacja zarządu wg DORA powinna sprawdzić, czy kadra zarządzająca otrzymuje użyteczne informacje, podejmuje terminowe decyzje i utrzymuje wiarygodny zapis, podczas gdy zespoły operacyjne zarządzają incydentem. Zastosuj realistyczne zakłócenie, oddziel klasyfikację incydentu od pilności biznesowej i przetrenuj rzeczywistą ścieżkę raportowania z jej odrębnymi czasami. Ten poradnik obejmuje 90-minutowe fikcyjne ćwiczenie, pytania dla prowadzącego, dziennik decyzji oraz tracker działań następczych. Forma ta to rekomendacja praktyczna, a nie przykazane ćwiczenie DORA lub dowód zgodności. Przystosuj scenariusz, poziomy uprawnień i obowiązki raportowe do swojej instytucji finansowej przed przeprowadzeniem ćwiczenia.
1. Testuj decyzje, nie umiejętność cytowania przepisów
Trudna decyzja zarządu podczas poważnego incydentu technologicznego rzadko brzmi „Czy powinniśmy traktować to poważnie?”. Częściej dotyczy przerwania usługi, działania przy ograniczonych kontrolach, finansowania awaryjnej alternatywy lub wypowiedzi do klientów przy niepełnych danych. Ćwiczenie scenariuszowe odkrywa te napięcia jeszcze przed prawdziwym incydentem.
DORA Artykuły 17–19 dotyczy zarządzania incydentami, klasyfikacji i raportowania. Artykuł 17 obejmuje eskalację do odpowiedniej kadry kierowniczej wyższego szczebla oraz informowanie organu zarządzającego o poważnych incydentach, ich wpływie, reakcjach i dodatkowych kontrolach. Nie oznacza to jednak, że zarząd staje się dowódcą operacyjnym podczas incydentu. Ćwiczenie powinno sprawdzić, czy zakres odpowiedzialności i ścieżki eskalacji współdziałają ze sobą.
Wyznacz trzy praktyczne rezultaty: jasną decyzję z przypisanym właścicielem, zadanie raportowe z osobą odpowiedzialną i zapis wyjaśniający dostępne w danym momencie fakty. Nie przyznawaj zaliczenia tylko dlatego, że wszyscy byli obecni. Użytecznym efektem może być odkrycie, że nikt nie ma dostępu do portalu raportowego podczas awarii systemu tożsamości.
Poniższe ćwiczenie to fikcyjny materiał szkoleniowy. Nie zastępuje ono testów technicznego odtwarzania, kompletnych programów testowania odporności ani testów penetracyjnych ukierunkowanych na zagrożenia. Proponowany czas trwania—90 minut—to jedynie wskazany format, nie stanowi wymogu regulacyjnego.
2. Oddziel klasyfikację, pilność i eskalację na poziom zarządu
Incydent może wymagać uwagi kierownictwa zanim zostanie sklasyfikowany zgodnie z regulacjami. Równocześnie poważny incydent do zgłoszenia może wymagać natychmiastowego powiadomienia, podczas gdy odbudowa już się powiodła. Nie uzależniaj żadnej decyzji od dostępności przewodniczącego do zatwierdzenia komunikatu prasowego.
Szczegółowe zasady klasyfikacji znajdują się w Rozporządzenie Delegowane (UE) 2024/1772. Artykuł 8 łączy krytyczne usługi objęte zakresem ze wskazanymi warunkami istotności; nie jest to zasada, że każde techniczne zakłócenie to automatycznie poważny incydent. Przepisy obejmują również incydenty powtarzające się. Użyj zatwierdzonego arkusza klasyfikacyjnego, stosującego rzeczywiste kryteria i progi, zamiast improwizowanej oceny podczas spotkania.
Podczas ćwiczenia wyznacz uczestnika ds. zgodności lub ryzyka do rekomendowania klasyfikacji i uzasadnienia. Lidera incydentu wyznacz do zarządzania operacyjnymi priorytetami. Upoważnionego oficera raportującego wyznacz do przygotowania i wysłania odpowiedniego zgłoszenia. Faktyczny podział kompetencji w organizacji może się różnić; zapisz go przed pierwszym zadaniem („inject”).
- Co wiadomo o dotkniętych usługach, klientach, transakcjach i danych?
- Czym jest szacowanie, co je wspiera i kiedy zostanie odświeżone?
- Które kryteria klasyfikacji są spełnione, niespełnione lub nadal niepewne?
- Kto może podjąć decyzję i działać, jeśli zwykle odpowiedzialna osoba jest niedostępna?
Osobno zarejestruj rzeczywisty czas uzyskania świadomości i czas klasyfikacji. Późniejsze poinformowanie kierownictwa nie resetuje czasu świadomości. Podobnie, zidentyfikowanie incydentu i uznanie go za poważny to dwa odrębne wydarzenia, które wymagają dokładnej chronologii.
3. Przećwicz zegary raportowe na przykładzie
Poniższe podsumowanie dotyczy raportowania poważnych incydentów ICT związanych z Artykuł 5 Rozporządzenia Delegowanego (UE) 2025/301. Użyj faktycznego tekstu przepisów oraz procesu raportowania organu właściwego dla incydentu.
| Etap | Zwykła reguła czasowa |
|---|---|
| Wstępne powiadomienie | Tak szybko jak to możliwe; w ciągu czterech godzin od zaklasyfikowania zdarzenia jako poważnego i nie później niż 24 godziny od uzyskania świadomości zdarzenia. |
| Wyjątek klasyfikacyjny nadany później | Jeżeli incydent nie został zaklasyfikowany jako poważny w ciągu 24 godzin od uzyskania świadomości, a zostanie sklasyfikowany później, powiadom w ciągu czterech godzin od późniejszej klasyfikacji. |
| Raport pośredni | W ciągu 72 godzin od zgłoszenia początkowej powiadomienia, nawet jeśli status lub obsługa się nie zmieniły. Zaktualizowany raport pośredni jest wymagany bez zbędnej zwłoki, a w każdym przypadku gdy działalność regularna została przywrócona. |
| Raport końcowy | Nie później niż miesiąc po raporcie pośrednim lub po ostatnio zaktualizowanym raporcie pośrednim, jeśli dotyczy. |
W naszym przykładowym scenariuszu powiadomienie następuje we wtorek o 09:00, a klasyfikacja jako poważny incydent o 10:00. Zwykły termin pierwszej notyfikacji to wtorek o 14:00, z zastrzeżeniem obowiązku niezwłocznego poinformowania. Jeśli zgłoszenie nastąpi o 11:30 we wtorek, 72-godzinny termin na raport pośredni upływa w piątek o 11:30. Kolejna aktualizacja pośrednia zmienia punkt odniesienia dla miesięcznego raportu końcowego. Miesiąc to nie zawsze to samo co 30 dni.
Nie obowiązuje ogólna przerwa weekendowa. Tam, gdzie to właściwe, art. 5 ust. 4 pozwala na złożenie raportu do południa następnego dnia roboczego, jeśli termin przypada w weekend lub dzień ustawowo wolny od pracy w państwie członkowskim jednostki zgłaszającej. Ustęp 5 wyklucza wstępne i pośrednie zgłoszenia przez instytucje kredytowe, centralnych kontrahentów, operatorów platform obrotu i inne podmioty finansowe uznane za kluczowe lub ważne zgodnie z NIS2. Zgodnie z ustępem 6 organy mogą także wyłączyć inne podmioty o znaczeniu istotnym lub systemowym po uprzednim zawiadomieniu; decyzja dotyczy incydentów zgłoszonych po otrzymaniu powiadomienia. Przed zastosowaniem ulgi potwierdź jej stosowność.
Jeżeli nie można dotrzymać terminu, poinformuj właściwy organ bez zbędnej zwłoki i nie później niż w wyznaczonym terminie, wyjaśniając powody. To nie jest automatyczne przedłużenie.
4. Przygotuj salę i zasady gry
Zaproś przewodniczącego lub delegowanego decydenta wykonawczego, właściciela usługi biznesowej, osobę prowadzącą incydent, przedstawiciela ryzyka lub zgodności, osoby odpowiedzialne za kwestie prawne, komunikację oraz osobę prowadzącą zapis. Uwzględnij przedstawiciela ds. relacji z dostawcami, jeśli usługa zależy od zewnętrznej platformy. W mniejszych organizacjach jedna osoba może pełnić kilka ról, jednak odpowiedzialności muszą być jasno określone.
Wyślij krótki pakiet przygotowawczy: właściwą usługę biznesową, mapę eskalacji, cele odtworzeniowe, ścieżkę zgłaszania, aktualną listę kontaktów oraz pusty dziennik decyzji. Poproś uczestników o stosowanie prawdziwych procedur organizacji. Moderator kontroluje fikcyjne fakty i czas ćwiczenia. Protokolant rejestruje podjęte decyzje, a nie pełny zapis rozmów.
Oddziel czas ćwiczenia od czasu scenariusza. Pięciominutowa dyskusja może reprezentować godzinę w fikcyjnym incydencie, ale prowadzący musi ogłosić przejście. Oznaczaj każdą wiadomość i szkic jako „ĆWICZENIE”. Nie wysyłaj powiadomień ćwiczebnych do regulatora, klienta lub dostawcy, jeśli udział nie został uzgodniony. Użyj bezpiecznej drogi do fikcyjnego zgłoszenia.
Nasza fikcyjna jednostka świadczy usługę obsługi płatności klienta poprzez zewnętrzną platformę przetwarzającą. We wtorek o 09:00 dział operacji otrzymuje informację o nieudanych przetwarzaniach płatności. Przyczyna jest niejasna. Na potrzeby tego ćwiczenia organizacja uznała obsługiwaną funkcję za krytyczną lub ważną. Uczestnicy muszą jednak zastosować kryteria klasyfikacji incydentu poważnego; sama etykieta funkcji nie decyduje o tym.
5. Zrealizuj tę 90-minutową agendę
Ten porządek obrad przedkłada podejmowanie decyzji nad prezentację slajdów. Prowadzący powinien przerwać nadmierne techniczne spekulacje i poprosić o decyzję, określenie potrzeb informacyjnych lub wyznaczenie osoby do podjęcia działań. Nie rozwiązuj każdej niepewności za uczestników: określenie potrzebnych dowodów to także element ćwiczenia.
| Protokół ćwiczenia | Aktywność | Wynik |
|---|---|---|
| 0–10 | Potwierdź zakres, role, uprawnienia i fakty scenariusza. | Wskazane osoby: podejmująca decyzję, prowadząca incydent i protokolant. |
| 10–25 | Scenariusz pierwszy: zakłócenie i niepełne informacje. | Początkowe priorytety, zapytania informacyjne i decyzja o eskalacji. |
| 25–45 | Scenariusz drugi: poważna klasyfikacja i ścieżka zgłaszania. | Zarejestrowano zegary, upoważnienie do raportowania i plan zgłoszeń. |
| 45–65 | Scenariusz trzeci: zgłoszenie odzyskania, presja od klienta i niepewność u dostawcy. | Warunki odzyskiwania, decyzja komunikacyjna i termin kolejnego przeglądu. |
| 65–80 | Porównaj decyzje z planami i wskaż luki. | Priorytetowe ustalenia poparte obserwacjami. |
| 80–90 | Uzgodnij właścicieli, daty i dowody zamknięcia. | Tracker działań i ukierunkowany ponowny test. |
Jeśli decyzja została odroczona, protokolant powinien zapisać, kto, z jakimi dowodami i do kiedy powróci. Stwierdzenie „zaangażujemy dział prawny” nie jest działaniem zakończonym, jeśli nikt nie wskaże kontaktu do prawnika, pytania do rozstrzygnięcia ani dostępnego czasu. Te same standardy obowiązują dla „kontakt z dostawcą” oraz „uruchomienie planu odzyskiwania”.
6. Wykorzystaj trzy wtrącenia wymuszające realny kompromis
Scenariusz pierwszy: usługa nie działa, ale przyczyna jest nieznana
O godzinie 09:15 w scenariuszu wzrasta liczba nieudanych płatności. Dostawca potwierdza problem z platformą, ale nie podaje szacowanego czasu przywrócenia usługi. Część klientów ponawia próby, co może powodować problem z rozliczeniem. Zespół operacyjny może tymczasowo ograniczyć przetwarzanie, jednak spowoduje to przerwanie obsługi także u klientów, którzy obecnie mogą nie być dotknięci problemem.
Zapytaj: której szkody dla klienta dotyczy ograniczenie i jakie nowe skutki uboczne mogą się pojawić wskutek ograniczenia? Kto jest upoważniony do zmiany usługi? Jakie minimalne informacje są potrzebne teraz? Jak zespół odróżni opóźnioną transakcję od takiej, którą należy powtórzyć? Oczekiwany efekt to konkretna decyzja operacyjna z granicami, przypisany właściciel i termin przeglądu, a nie domysł na temat przyczyny technicznej.
Scenariusz drugi: potwierdzona klasyfikacja i brak zwykłego zgłaszającego
O godzinie 10:00 w scenariuszu prowadzący przedstawia ocenę potwierdzającą, że warunek dotknięcia krytycznych usług oraz odpowiednie progi materialności zostały spełnione. Na potrzeby ćwiczenia upoważniony zespół klasyfikuje incydent jako poważny o godzinie 10:00. Standardowy oficer ds. raportowania jest niedostępny. Zastępca nigdy nie korzystał z portalu zgłoszeniowego i nie wie, czy jego dostęp działa poprawnie.
Poproś uczestników o wskazanie ścieżki zgłaszania i wypełnienie symulowanego, początkowego zgłoszenia korzystając z dostępnych informacji. Nieznane dane zanotuj uczciwie i przydziel do uzupełnienia. Jaki jest pierwszy termin zgłoszenia? Kto je składa? Kto potwierdza odbiór? Czy organizacja może podjąć działania bez czekania na kolejne posiedzenie zarządu? Użyj Rozporządzenie wykonawcze (UE) 2025/302 dla szablonów raportów i procedur; dziennik decyzji ćwiczeniowych nie zastępuje formularza regulacyjnego.
Scenariusz trzeci: dostawca zgłasza powrót usługi, ale nie ma pełnej pewności
O godzinie 11:15 w scenariuszu dostawca informuje, że przetwarzanie zostało przywrócone. Wewnętrzne rozliczenie nie potwierdziło jeszcze, czy powielone próby zostały poprawnie obsłużone. Kluczowy klient żąda publicznego zapewnienia, że żadne rekordy nie zostały naruszone. Właściciel usługi proponuje natychmiastowe wznowienie działania; lider incydentu domaga się dodatkowej weryfikacji.
Zapytaj, jakie dowody uzasadniają wznowienie oraz kto może zaakceptować pozostałe ryzyko operacyjne. Czy można wznawiać usługę etapami? Co oficjalna komunikacja może obecnie rzetelnie przekazać? Jakie zgłoszenie przekazać właściwemu organowi? Ustal warunki powrotu do normy, właściciela dalszej weryfikacji i termin kolejnego raportowania. Nie premiuj najszybszego wznowienia, jeśli uczestnicy nie potrafią wyjaśnić, jak będą weryfikować zapisy klientów.
7. Prowadź dziennik decyzji wraz z uzasadnieniami
Dobry log pozwala zrekonstruować, dlaczego rozsądna decyzja została podjęta na niepełnych informacjach. Powinien oddzielać decyzję od założenia i wskazywać, kto może ją zmienić. Poniższy przykład jest fikcyjny i ilustruje metodę rejestracji, nie jest rekomendowaną reakcją na każdy incydent płatniczy.
| Pole | Przykład zrealizowany |
|---|---|
| Czas i decyzja | 09:25: wstrzymaj nowe zgłoszenia przez dotknięty kanał do czasu uzgodnienia danych. |
| Informacje dostępne | Coraz więcej awarii; dostawca nie ma prognozy naprawy; powtórne próby pozostają niepotwierdzone. |
| Rozważone opcje | Pozostań przy obecnej obsłudze, ogranicz zgłoszenia lub przekieruj kwalifikowane transakcje przez zatwierdzoną alternatywę. |
| Uzasadnienie i uprawnienia | Ogranicz niepewność dalszego przetwarzania; decyzja należy do upoważnionego dyrektora ds. usług. |
| Właściciel i następna weryfikacja | Lider operacji wdraża i raportuje wpływ o 09:45. |
| Warunki zmiany | Zweryfikowany wynik uzgodnienia i zatwiercona rekomendacja przywrócenia. |
Rejestruj znaczniki czasowe dotyczące wykrycia, klasyfikacji i zgłoszenia w chronologii incydentu wraz z logiem. Używaj spójnej strefy czasowej. Zachowuj źródła istotnych faktów i utrzymuj wcześniejsze szacunki przy ich korektach. Poprawiona liczba klientów dotkniętych incydentem nie powinna bez wyjaśnienia nadpisywać pierwotnej wartości, na której bazowała oryginalna decyzja.
8. Zamień obserwacje na oparty na dowodach rejestr działań
Rozpocznij podsumowanie od obserwacji: jaka decyzja była opóźniona, której informacji nie można było uzyskać i jakiego procesu nie udało się pokazać? Unikaj ogólnych wniosków typu „słaba komunikacja” bez przykładu. Zapytaj uczestników, które decyzje byłyby inne, gdyby incydent zaczął się poza standardowymi godzinami pracy lub dotyczył ich narzędzi do współpracy.
Zachowaj wersję scenariusza, uczestnictwo i role, kluczowe decyzje, arkusz klasyfikacji, próbne powiadomienia, zidentyfikowane luki i podjęte działania następcze. Chroń pakiet adekwatnie do jego wrażliwości. Celem jest pożyteczna nauka organizacyjna, a nie niepotrzebne rozpowszechnianie prawdziwych informacji klientów czy tajemnic dostawców.
| Zidentyfikowana luka | Działanie i właściciel | Proponowany cel | Dowód zamknięcia |
|---|---|---|---|
| Zastępca nie potrafił wykazać dostępu do raportowania. | Osoba odpowiedzialna za zgodność potwierdza autoryzowany dostęp do kopii zapasowych i instrukcje. | W ciągu dwóch tygodni. | Udane sprawdzenie kontrolowanego dostępu i zaktualizowany grafik. |
| Zatwierdzenie przywrócenia nie zawierało kryteriów integralności danych. | Właściciel usługi i operacje określają metody weryfikacji i akceptacji. | W ciągu jednego miesiąca. | Zatwierdzona lista kontrolna użyta w ćwiczeniu ukierunkowanego przywracania. |
| Aktualizacje dostawcy nie zawierały szczegółów wpływu na działalność. | Opiekun umowy u dostawcy aktualizuje pytania eskalacyjne i zakres kontaktów. | Przed następną oceną usługi. | Uzgodniona ścieżka eskalacji wykazana podczas wspólnej dyskusji. |
Te cele to ilustracyjne wybory zarządcze, nie ustawowe terminy. Wskaż osobę recenzującą zamknięcie i zachowaj nierozwiązane ryzyko rezydualne. Przekaż istotne ustalenia do dashboard raportowania dla zarządu. Jeśli ćwiczenie ujawni zewnętrzną zależność bez wiarygodnej alternatywy, użyj przewodnik po ryzykach związanych z podwykonawcami aby powiązać to ustalenie z umowami, koncentracją i planowaniem wyjścia.
9. Połącz naukę kierownictwa z kolejnym retestem
Najbardziej wartościowym działaniem następczym jest mniejsze ćwiczenie potwierdzające naprawę wykrytej słabości. Jeśli pierwsza sesja ujawniła problem z dostępem do raportowania, pokaż ścieżkę zastępcy. Jeśli wykazała niejasność co do ponownego otwarcia usługi, przetestuj warunki zatwierdzenia. Powtarzanie tej samej prezentacji z nierozwiązanymi problemami wnosi niewielką nową wartość.
Użyj DORA przewodnik po wymaganiach szkoleniowych rady nadzorczej aby powiązać ćwiczenie z dalszym kształceniem organu zarządzającego. W BlueTeam Academy DORA Szkolenie dla Zarządów i Kadry Zarządzającej wprowadza pojęcia zarządcze dla zespołów kierowniczych w instytucjach finansowych w zakresie DORA. Ukończenie kursu lub udział nie stanowi potwierdzenia zgodności organizacyjnej. Połącz te podstawy z kontekstem swoich usług, zaobserwowanymi decyzjami i zweryfikowanymi ulepszeniami.
Pytania zadawane przez liderów
Czy każdy incydent ICT musi być zgłaszany jako poważny w ramach DORA?
Nie. Zastosuj zasady klasyfikacji i progi istotności określone w Rozporządzeniu Delegowanym (UE) 2024/1772. Poważna kwestia operacyjna może uzasadniać wewnętrzną eskalację, zanim zakończy się ocena regulacyjna. Zarejestruj ocenę i wróć do niej w razie zmiany faktów.
Czy początkowy termin raportowania DORA to zawsze 24 godziny?
Nie. Zasadą jest zgłoszenie możliwie najwcześniej, w ciągu czterech godzin od klasyfikacji jako poważne oraz nie później niż 24 godziny od uzyskania świadomości. Szczególna reguła obowiązuje, jeśli klasyfikacja jako poważne wystąpi później niż 24 godziny od uzyskania świadomości. Czasy należy rejestrować osobno.
Czy ćwiczenie tabletop spełnia wszystkie wymagania DORA dotyczące testowania?
Nie. To ćwiczenie zarządu służy doskonaleniu podejmowania decyzji na najwyższym szczeblu i koordynacji. Nie demonstruje technicznego przywracania działania ani nie zastępuje obowiązującego programu testowania odporności, testów specjalistycznych czy testów penetracyjnych prowadzonych według zaawansowanych scenariuszy.
Czy rada powinna zatwierdzać każde powiadomienie o incydencie?
Używaj modelu uprawnień umożliwiającego terminowe raportowanie i właściwy przekaz informacji organom zarządzającym. Nie twórz fikcyjnej zależności od akceptacji uniemożliwiającej dotrzymanie ustawowego terminu. Udokumentuj autoryzowanego zgłaszającego, zastępcę oraz ścieżkę eskalacji przed wystąpieniem incydentu.
Źródła i materiały dodatkowe
Ustawa nadrzędna i materiały nadzorcze. Przykłady praktyczne i szablony w tym przewodniku są sugestiami, nie narzuconymi wzorami regulacyjnymi.
- Rozporządzenie (UE) 2022/2554: zarządzanie incydentami, klasyfikacja i raportowanie
- Rozporządzenie Delegowane (UE) 2024/1772: klasyfikacja i progi istotności
- Rozporządzenie Delegowane (UE) 2025/301: zakres raportowania i terminy
- Rozporządzenie wykonawcze (UE) 2025/302: wzory i procedury raportowania
Ten przewodnik ma charakter edukacyjny. Potwierdź zakres, stosowane ramy i wymogi nadzorcze ze swoim zespołem ds. zgodności i prawnym.
