DORA w 2026 i 2027: co się zbliża i co musi być w umowie z dostawcą AI

Od kiedy i kogo to dotyczy

Rozporządzenie DORA stosuje się od 17 stycznia 2025 r. (art. 64)¹. Obejmuje podmioty wymienione w art. 2 ust. 1, m.in. instytucje kredytowe (lit. a), instytucje płatnicze (lit. b) oraz zakłady ubezpieczeń i reasekuracji (lit. n)¹. Najmniejsze zakłady ubezpieczeń, o których mowa w art. 4 dyrektywy Wypłacalność II, są wyłączone (art. 2 ust. 3 lit. b)¹.

Zakres podmiotowy określa art. 2; wątpliwości co do konkretnego podmiotu warto omówić z działem prawnym.

Co się zbliża w DORA: stan na 29 września 2026 r.

DORA stosuje się od ponad półtora roku, ale kilka jej elementów dopiero teraz nabiera rytmu: coroczne raportowanie rejestru informacji, nadzór nad kluczowymi dostawcami ICT, testy TLPT, zasady podwykonawstwa i przegląd całego rozporządzenia przez Komisję. Każdy z nich może dotyczyć umowy z dostawcą AI, zwłaszcza gdy dostawca korzysta z kolejnych podmiotów, np. dostawcy modelu czy chmury. Według EUR-Lex (stan na 29.09.2026) rozporządzenie DORA nie zostało zmienione żadnym aktem zmieniającym; są do niego sprostowania i akty uzupełniające²⁰.

Kalendarz dat

Rejestr informacji: co roku, z datą referencyjną 31 grudnia

Art. 28 ust. 3 DORA wymaga od podmiotu finansowego prowadzenia rejestru informacji o wszystkich umowach o usługi ICT, co najmniej corocznego przekazywania organowi nadzoru informacji o nowych umowach i udostępniania pełnego rejestru na żądanie¹. Wzory rejestru określa rozporządzenie wykonawcze (UE) 2024/2956 z 29 listopada 2024 r.⁷ Dwa jego przepisy są ważne przy dostawcy AI:

• Łańcuch dostaw (art. 2). Każdy dostawca dostaje w rejestrze rangę. Bezpośredni dostawca ma zawsze rangę 1, podwykonawca zawsze wyższą⁷.
• Zakres (art. 3 ust. 2). Rejestr obejmuje wszystkie usługi ICT bezpośrednich dostawców oraz wszystkich podwykonawców, którzy faktycznie wspierają usługi dla funkcji krytycznych lub istotnych⁷. Bez danych od dostawcy AI tej części rejestru nie wypełnicie.

Pierwszy cykl w Polsce jest za nami. KNF wyznaczyła termin 28 kwietnia 2025 r. na przekazanie rejestru na formularzu SPR-PF-18 w Systemie Sprawozdawczości DORA, z danymi aktualnymi na 31 marca 2025 r.⁸ Drugi etap, dla podmiotów, które nie zdążyły albo dostały status odrzucenia, trwał do 29 maja 2025 r.⁹

Od 2026 r. obowiązuje stały rytm. Organy nadzoru przekazują rejestry EUN do 31 marca każdego roku, a datą referencyjną jest 31 grudnia roku poprzedniego¹⁰. Organy krajowe wyznaczają podmiotom wcześniejsze terminy, żeby zdążyć z przekazaniem¹⁰. Następny cykl to więc stan na 31 grudnia 2026 r. i przekazanie do EUN do 31 marca 2027 r. Termin krajowy sprawdzajcie bezpośrednio w KNF.

Rejestry nie służą tylko do archiwum. Na podstawie rocznych zagregowanych sprawozdań z rejestrów forum nadzoru ocenia zależności podmiotów finansowych od dostawców ICT (art. 31 ust. 10)¹, a EUN wskazały, że pierwsze wyznaczenie kluczowych dostawców opierało się na danych od podmiotów finansowych¹¹.

Kluczowi dostawcy ICT (CTPP): pierwsza lista jest, nadzór trwa

18 listopada 2025 r. EUN (EUNB, EIOPA i ESMA) opublikowały pierwszy wykaz kluczowych zewnętrznych dostawców usług ICT na szczeblu Unii. Jest w nim 19 podmiotów; pełny wykaz jest dostępny na stronach EUN¹¹. KNF poinformowała o wyznaczeniu dzień później¹².

Co z tego wynika:

• Kryteria. Wyznaczenie opiera się na kryteriach z art. 31 ust. 2 DORA, m.in. wpływie systemowym, zależności podmiotów finansowych od usług dostawcy i jego substytucyjności¹, doprecyzowanych w rozporządzeniu delegowanym (UE) 2024/1502¹³. Opłaty nadzorcze kluczowych dostawców określa rozporządzenie delegowane (UE) 2024/1505¹³.
• Wiodący organ nadzorczy. Dla każdego kluczowego dostawcy jeden z EUN pełni rolę wiodącego organu nadzorczego (art. 31 ust. 1 lit. b)¹. EUN zapowiedziały dalsze działania kontrolne wobec wyznaczonych dostawców¹¹.
• Coroczna aktualizacja. Wykaz jest aktualizowany co roku (art. 31 ust. 9)¹, więc lista może się zmienić. Dostawca, którego na liście nie ma, może sam złożyć wniosek o wyznaczenie (art. 31 ust. 11)¹.
• Dostawcy z państw trzecich. Art. 31 ust. 12 wiąże korzystanie przez podmioty finansowe z usług kluczowego dostawcy z państwa trzeciego z ustanowieniem przez niego jednostki zależnej w Unii w ciągu 12 miesięcy od wyznaczenia¹.
• Odpowiedzialność podmiotu finansowego. Art. 28 ust. 1 lit. a stanowi, że podmiot finansowy przez cały czas ponosi pełną odpowiedzialność za wypełnienie obowiązków z DORA¹.

Dla umowy z dostawcą AI oznacza to jedno pytanie więcej: na czyjej infrastrukturze działa usługa i czy ten podmiot jest na liście kluczowych dostawców. Przed zawarciem umowy art. 29 ust. 1 wymaga oceny ryzyka koncentracji: czy dostawcy nie da się łatwo zastąpić i czy nie powstaje wiele takich umów z tym samym albo blisko powiązanymi dostawcami¹.

TLPT: co najmniej co trzy lata, dla wskazanych podmiotów

Testy penetracyjne pod kątem wyszukiwania zagrożeń (TLPT) przeprowadzają nie rzadziej niż co trzy lata podmioty finansowe wskazane przez organ nadzoru (art. 26 ust. 1 i 8)¹. Test obejmuje kilka albo wszystkie funkcje krytyczne lub istotne i odbywa się na działających systemach produkcyjnych, także tych, które dostarczają zewnętrzni dostawcy ICT (art. 26 ust. 2)¹. Jeśli zakres obejmuje dostawcę, podmiot finansowy zapewnia jego udział (art. 26 ust. 3)¹. Gdy udział dostawcy mógłby zaszkodzić jakości lub bezpieczeństwu usług dla jego klientów spoza zakresu DORA albo poufności ich danych, możliwe jest testowanie zbiorcze kilku podmiotów finansowych pod kierownictwem jednego z nich (art. 26 ust. 4)¹.

Szczegóły określa rozporządzenie delegowane (UE) 2025/1190 z 13 lutego 2025 r., opublikowane 18 czerwca 2025 r. i obowiązujące od 8 lipca 2025 r.¹⁴ Najważniejsze dla harmonogramu:

• Kogo organ wskaże (art. 2 ust. 2). Co do zasady m.in. banki o znaczeniu systemowym (G-SII i O-SII i ich części), instytucje płatnicze z transakcjami powyżej 150 mld EUR rocznie w każdym z dwóch poprzednich lat, centralne depozyty papierów wartościowych, kontrahentów centralnych oraz zakłady ubezpieczeń i reasekuracji, które przekraczają jednocześnie 1,5 mld EUR składki przypisanej brutto i 10 mld EUR rezerw techniczno-ubezpieczeniowych (zakłady życiowe i mieszane także 3,5% aktywów zakładów w danym państwie), a do tego jeden z wyższych progów: 3 mld EUR składki, 30 mld EUR rezerw albo 10% aktywów zakładów w danym państwie¹⁴. Organ może odstąpić od wymogu po własnej ocenie (art. 2 ust. 1 i 2)¹⁴.
• Start (art. 9). TLPT zaczyna się od powiadomienia organu ds. TLPT. Kartę projektu i pozostałe informacje o inicjacji przekazuje się w ciągu 3 miesięcy od powiadomienia¹⁴.
• Czas aktywnego testu (art. 11 ust. 5). Faza testów zespołu typu red team trwa co najmniej 12 tygodni¹⁴.

Jeśli dostawca AI wspiera funkcję krytyczną lub istotną, zapiszcie w umowie jego udział w TLPT. RTS o podwykonawstwie idzie dalej: procesy należytej staranności dostawcy przy doborze i ocenie podwykonawców mają obejmować m.in. udział w testowaniu operacyjnej odporności cyfrowej, gdy tego wymagacie (art. 3 ust. 1 lit. a rozporządzenia 2025/532)¹⁵.

W Polsce ustawa z 25 czerwca 2025 r. (Dz.U. 2025 poz. 1069) daje KNF środki nadzorcze jako właściwemu organowi w rozumieniu art. 46 DORA¹⁹.

Podwykonawstwo: RTS opublikowany i obowiązuje od 22 lipca 2025 r.

Rozporządzenie delegowane (UE) 2025/532 z 24 marca 2025 r. o podwykonawstwie usług ICT wspierających funkcje krytyczne lub istotne ukazało się w Dz.U. UE 2 lipca 2025 r. i weszło w życie dwudziestego dnia po publikacji, czyli 22 lipca 2025 r.¹⁵

Co wymaga RTS¹⁵:

• Decyzja przed umową (art. 3 ust. 1). Przed zawarciem umowy podmiot finansowy decyduje, czy dostawca może zlecać podwykonawstwo usługi dla funkcji krytycznej lub istotnej. Umowę zawiera po ocenie m.in. tego, czy dostawca umie wskazać wszystkich takich podwykonawców, czy podwykonawca zapewni podmiotowi finansowemu i organom nadzoru te same prawa dostępu i kontroli, oraz ryzyka lokalizacji podwykonawców i ryzyka koncentracji.
• Okresowa ocena (art. 3 ust. 2). Ocenę ryzyka powtarza się okresowo, z uwzględnieniem m.in. ryzyka geopolitycznego.
• Treść umowy (art. 4 ust. 1). Umowa wskazuje, które usługi mogą trafić do podwykonawców i na jakich warunkach, a także m.in.: odpowiedzialność dostawcy za podwykonawców, obowiązek ich monitorowania i raportowania Wam, ocenę ryzyka lokalizacji, w stosownych przypadkach miejsce przetwarzania lub przechowywania danych przez podwykonawcę, ciągłość usług w całym łańcuchu, te same prawa dostępu, kontroli i audytu u podwykonawcy oraz obowiązek powiadamiania o istotnych zmianach.
• Istniejące umowy (art. 4 ust. 2). Zmiany potrzebne do dostosowania umowy wprowadza się w odpowiednim czasie i tak szybko, jak to możliwe, a planowany harmonogram tych zmian się dokumentuje.
• Istotne zmiany (art. 5). Dostawca uprzedza podmiot finansowy o planowanej istotnej zmianie w podwykonawstwie z odpowiednim wyprzedzeniem, a umowa zawiera rozsądny termin na zatwierdzenie zmiany albo sprzeciw. Dostawca wprowadza zmianę dopiero po zatwierdzeniu albo po upływie terminu bez sprzeciwu.
• Wypowiedzenie (art. 6). Umowa może przewidywać prawo wypowiedzenia, gdy dostawca wprowadzi istotną zmianę mimo Waszego sprzeciwu, przed końcem okresu powiadomienia bez zatwierdzenia albo gdy zleci podwykonawstwo, na które umowa wprost nie pozwala.

Przy dostawcy AI warto ustalić w umowie, co strony uznają za istotną zmianę w podwykonawstwie (np. czy obejmuje nią zmianę dostawcy modelu językowego albo regionu chmury), i wpisać termin na sprzeciw.

Przegląd DORA przez Komisję

Art. 58 ust. 1 DORA zobowiązuje Komisję do przeglądu do 17 stycznia 2028 r. Przegląd obejmuje m.in. kryteria wyznaczania kluczowych dostawców ICT, dobrowolne zgłaszanie znaczących cyberzagrożeń, zasady dla kluczowych dostawców z państw trzecich (w tym wymóg jednostki zależnej w UE) i działanie wspólnej sieci nadzoru¹. Sprawozdanie może zawierać wniosek ustawodawczy¹.

Osobny, wcześniejszy przegląd dotyczył biegłych rewidentów i firm audytorskich (art. 58 ust. 3, termin 17 stycznia 2026 r.)¹. W piśmie z 9 stycznia 2026 r. Komisja poinformowała Parlament i Radę, że po konsultacji z CEAOB i EUN potrzebuje dalszej analizy i rozpatrzy tę kwestię w szerszym przeglądzie DORA zaplanowanym na 2028 r.¹⁶ EUN oceniły w raporcie z 4 grudnia 2025 r., że skutki rozszerzenia zakresu przeważają na tym etapie nad korzyściami¹⁶.

Wymogi art. 28 do 30 DORA dotyczące rejestru i umów z dostawcami ICT obowiązują w pierwotnym brzmieniu²⁰.

Pakiety upraszczające UE: co dotyczy DORA

Zmianę tekstu DORA przewiduje Digital Omnibus, czyli wniosek Komisji COM(2025) 837 z 19 listopada 2025 r. (procedura 2025/0360(COD))¹⁷¹⁸:

• Co zmienia. Art. 8 wniosku zmienia art. 19 ust. 1 i 2 DORA: poważne incydenty związane z ICT zgłaszalibyście właściwemu organowi przez jeden punkt zgłoszeń prowadzony przez ENISA, ten sam, który ma obsługiwać zgłoszenia z NIS2, RODO, eIDAS i dyrektywy CER. Tą samą drogą szłyby dobrowolne zgłoszenia znaczących cyberzagrożeń¹⁷.
• Od kiedy. Zmiany dotyczące jednego punktu zgłoszeń stosowałoby się 18 miesięcy od wejścia w życie rozporządzenia, a 24 miesiące, jeśli Komisja uzna, że punkt nie zapewnia prawidłowego działania, niezawodności, integralności lub poufności¹⁷. Do tego czasu obowiązują dotychczasowe zasady DORA¹⁷.
• Czego nie zmienia. Wniosek nie dotyka art. 28 do 30 DORA, czyli rejestru informacji i wymogów umownych wobec dostawców ICT¹⁷.
• Status. Według Parlamentu Europejskiego (stan na 1 sierpnia 2026 r.) to wciąż propozycja: Parlament nie przyjął mandatu, planowane na 26 czerwca 2026 r. głosowanie w Coreper II nad mandatem negocjacyjnym Rady zostało odwołane, a rozmowy trójstronne nie ruszyły¹⁸. To nie jest obowiązujące prawo.

Drugi pakiet upraszczający z tej samej rodziny, AI Omnibus, stał się rozporządzeniem (UE) 2026/1744 i zmienił AI Act, w tym termin dla systemów wysokiego ryzyka z załącznika III, o którym piszemy niżej⁵. DORA nie zmienił²⁰. Wszystkie zmiany dotyczące RODO z Digital Omnibus omawiamy w artykule RODO i AI w 2026: co się zmienia, a co jest tylko propozycją.

Art. 28: odpowiedzialność podmiotu finansowego

Art. 28 ust. 1 lit. a mówi wprost: podmiot finansowy, który korzysta z usług ICT, przez cały czas ponosi pełną odpowiedzialność za wypełnienie obowiązków z DORA i przepisów finansowych¹.

Art. 28 wymienia m.in.¹:

• Rejestr informacji (ust. 3). Rejestr wszystkich umów o usługi ICT, z wyróżnieniem tych, które wspierają funkcje krytyczne lub istotne, i co najmniej coroczne raportowanie nowych ustaleń organowi nadzoru.
• Ocena przed podpisaniem (ust. 4). Ocenę, czy usługa wspiera funkcję krytyczną lub istotną, jakie niesie ryzyka i czy dostawca jest odpowiedni.
• Standardy bezpieczeństwa (ust. 5). Zawieranie umów tylko z dostawcami, którzy przestrzegają odpowiednich standardów bezpieczeństwa informacji.
• Wypowiedzenie (ust. 7). Możliwość wypowiedzenia umowy m.in. przy poważnym naruszeniu przepisów lub umowy przez dostawcę.
• Strategia wyjścia (ust. 8). Przy funkcjach krytycznych lub istotnych strategię wyjścia: plan, jak odebrać usługę i dane i przenieść je do innego dostawcy albo do siebie.

Art. 30: co musi być w umowie

Art. 30 ust. 1 wymaga, żeby prawa i obowiązki stron były zapisane w jednym dokumencie w formie pisemnej albo w innym trwałym formacie¹. Ust. 2 wymienia minimum dla każdej umowy o usługi ICT, a ust. 3 dodaje elementy dla usług wspierających funkcje krytyczne lub istotne¹.

Art. 30 mówi o dostępie, odzyskaniu i zwrocie danych. Usunięcie albo zwrot danych osobowych po zakończeniu usług, według decyzji administratora, reguluje umowa powierzenia (art. 28 ust. 3 lit. g RODO)³.

Co zmieniło się po decyzjach KNF

10 stycznia 2025 r. KNF podjęła uchwały uchylające m.in. Rekomendację D dla banków (uchwała nr 6/2025) oraz wytyczne IT dla zakładów ubezpieczeń i reasekuracji (uchwała nr 8/2025). Uchwały weszły w życie 17 stycznia 2025 r., a Urząd KNF tego samego dnia odwołał komunikat z 23 stycznia 2020 r. o przetwarzaniu informacji w chmurze publicznej lub hybrydowej². Jako powód KNF wskazała zbieżność tych dokumentów z obowiązkami z DORA i aktów wykonawczych².

Jeśli Wasze procedury nadal odsyłają do komunikatu z 2020 r. albo do Rekomendacji D, warto je zaktualizować przed kolejną oceną dostawcy.

RODO art. 28: druga umowa do zestawienia z pierwszą

Dostawca AI, który przetwarza dane osobowe z Waszych dokumentów w Waszym imieniu, jest podmiotem przetwarzającym. Art. 28 RODO wymaga m.in.³:

• wystarczających gwarancji odpowiednich środków technicznych i organizacyjnych (ust. 1);
• Waszej zgody na dalszych podwykonawców, a przy zgodzie ogólnej informacji o zmianach z możliwością sprzeciwu (ust. 2);
• umowy, która określa m.in. przetwarzanie wyłącznie na Wasze udokumentowane polecenie, także co do przekazania danych do państwa trzeciego (ust. 3 lit. a), środki z art. 32 (lit. c), usunięcie albo zwrot danych i usunięcie kopii po zakończeniu usług, według Waszej decyzji (lit. g), oraz prawo do audytów i inspekcji (lit. h).

Sprawdźcie spójność obu dokumentów: lokalizacje z umowy DORA z listą dalszych podmiotów przetwarzających, a zwrot danych z art. 30 ust. 2 lit. d DORA z zapisem o zwrocie i usunięciu z RODO.

AI Act: sprawdźcie, czy Wasz przypadek jest w załączniku III

Załącznik III AI Act wymienia jako systemy wysokiego ryzyka m.in. systemy do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu kredytowego, z wyjątkiem wykrywania oszustw finansowych (pkt 5 lit. b), oraz systemy do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych osób fizycznych (pkt 5 lit. c)⁴.

Obowiązki dla tych systemów stosuje się od 2 grudnia 2027 r. Termin wynika z art. 113 akapit trzeci lit. c AI Act w brzmieniu nadanym rozporządzeniem (UE) 2026/1744 (art. 1 pkt 40)⁵. Podmiot stosujący ma wtedy m.in. powierzyć nadzór nad systemem kompetentnym osobom (art. 26 ust. 2) i przechowywać automatyczne rejestry zdarzeń przez co najmniej sześć miesięcy (art. 26 ust. 6)⁴. Warto już dziś zapisać w umowie ich eksport. Pozostałe terminy AI Act zebraliśmy w artykule AI Act: kalendarz obowiązków do 2030 r.

Lista kontrolna przed podpisaniem umowy z dostawcą AI

1. Czy usługa wspiera funkcję krytyczną lub istotną? Od tej oceny zależy, czy potrzebujecie elementów z art. 30 ust. 3.
2. W jakich krajach działa model, baza danych i kopie zapasowe? Czy to jest wpisane do umowy i czy zmiana wymaga uprzedzenia?
3. Kto jest dalszym podmiotem przetwarzającym, w tym dostawca modelu i chmury?
4. Czy Wasze dane służą do trenowania albo dostrajania modeli?
5. Jak dane są szyfrowane i oddzielone od danych innych klientów, i kto nadaje uprawnienia?
6. Czy każda akcja i odpowiedź systemu zostawia ślad, który da się wyeksportować na potrzeby audytu i art. 26 ust. 6 AI Act?
7. Czy umowa daje prawo audytu Wam, wyznaczonej osobie trzeciej i organowi nadzoru?
8. W jakim formacie i terminie odzyskacie dane i wyniki i jak długo trwa okres przejściowy?
9. Jak dostawca usuwa dane po zakończeniu umowy i czy potwierdza to na piśmie?
10. Czy dostawca przekaże dane potrzebne do rejestru informacji?
11. Czy dostawca ma gotowe wzory klauzul z art. 30 DORA i umowy powierzenia, czy pracujecie na Waszym wzorze?
12. Czy umowa mówi, które usługi mogą trafić do podwykonawców, co jest istotną zmianą w podwykonawstwie i ile macie czasu na sprzeciw (art. 4 i 5 rozporządzenia 2025/532)?
13. Na czyjej chmurze działa usługa i czy ten podmiot jest w wykazie kluczowych dostawców ICT?
14. Czy dostawca weźmie udział w TLPT albo w testowaniu zbiorczym, jeśli organ nadzoru obejmie Was obowiązkiem TLPT?

Ta lista nie jest przeszkodą we wdrożeniu AI. Dostawca, który ma na nią odpowiedzi na piśmie, skraca ocenę; odpowiedzi AthenaVault są w następnej sekcji.

Jak AthenaVault odpowiada na te pytania

AthenaVault to platforma AI dla organizacji, które pracują na dużych zbiorach wrażliwych dokumentów. Na te pytania odpowiadamy mechanizmami opisanymi na stronie Bezpieczeństwo⁶:

• Lokalizacja (pytanie 2). SaaS działa w UE, a lokalizacja jest wpisana do umowy; kopie zapasowe są robione codziennie, szyfrowane, przechowywane 30 dni w UE. Hosting jest u dostawcy chmury w UE z certyfikatem ISO/IEC 27001.
• Trenowanie (pytanie 4). Wasze dane nie trenują ani nie dostrajają żadnego modelu. Tryb cienia, w którym system uczy się reguł na Waszych decyzjach, jest opcjonalny.
• Szyfrowanie, izolacja i uprawnienia (pytanie 5). Każdy klient ma osobną bazę danych, backend i load balancer; dane szyfrujemy AES-256 w spoczynku i TLS 1.2 lub nowszym w transmisji. Administrator po Waszej stronie nadaje role analityka i tylko do odczytu, a zasady i uprawnienia są zapisane w kodzie poza modelem.
• Ślad (pytanie 6). Każda akcja zostawia ślad audytowy, a każda odpowiedź ma dosłowny cytat z dokumentu albo adnotację „brak danych”.
• Usunięcie danych (pytanie 9). Dane przechowujemy tak długo, jak wymaga umowa; usunięcie obejmuje usunięcie klucza szyfrującego, więc dane stają się nieodczytywalne, a procedurę opisuje umowa.
• Wzory umów (pytanie 11). Wzory umowy powierzenia i klauzul z art. 30 DORA przekazujemy w pakiecie dostawcy przy umowie.

Art. 28 ust. 1 lit. a DORA przypisuje odpowiedzialność za zgodność podmiotowi finansowemu¹; do jego oceny dostawcy dostarczamy powyższy materiał.

Ważne daty

Dodajcie do kalendarza

• 2 grudnia 2027AI Act: obowiązki dla systemów wysokiego ryzyka z załącznika III (m.in. scoring kredytowy)Google.ics
• 17 stycznia 2028DORA: termin przeglądu rozporządzenia przez Komisję (art. 58 ust. 1)Google.ics