Wyobraź sobie taki scenariusz: Twoja firma przygotowuje się do pierwszego kompleksowego audytu zgodności z nowymi europejskimi regulacjami dotyczącymi odporności cyfrowej. DORA wprowadza harmonizację zasad dotyczących odporności operacyjnej dla sektora finansowego, obejmując 20 różnych typów podmiotów finansowych i dostawców usług ICT, a NIS2 odchodzi od rozróżnienia między operatorami usług kluczowych a dostawcami usług cyfrowych, klasyfikując organizacje na podstawie ich znaczenia i dzieląc je na sektory kluczowe i ważne. Audytor siedzi naprzeciwko Ciebie, przeglądając lśniący 50-stronicowy plan ciągłości działania, który Twój kluczowy dostawca ICT przedstawił miesiące temu. Wtedy pada pytanie, które zmienia wszystko: "W jaki sposób zweryfikowaliście to, czy ten plan działa?"  

Cisza, która następuje, ujawnia to, co eksperci branżowi nazywają "martwymi strefami" w procesach weryfikacji dostawców — krytyczne luki, które mogą oznaczać katastrofę, gdy nowa era audytów w Europie na dobre się rozpocznie.

Nowa rzeczywistość regulacyjna nabiera kształtu

Rozporządzenie o Cyfrowej Odporności Operacyjnej (DORA) to regulacja wprowadzona przez Unię Europejską w celu wzmocnienia cyfrowej odporności podmiotów finansowych. Weszła w życie 17 stycznia 2025 roku, oznaczając początek nowego rozdziału w europejskich wymogach dotyczących ciągłości działania. Ale DORA to tylko początek przedstawienia.

‍

Polska, podobnie jak inne państwa członkowskie UE, ściga się z czasem, aby wdrożyć złożoną sieć nowych regulacji. Dyrektywa NIS2 weszła w życie 16 stycznia 2023 r., państwa członkowskie Unii Europejskiej, w tym Polska, miały czas do 17 października 2024 r. na jej implementację do krajowych porządków prawnych — jednak obserwując obecne tempo prac legislacyjnych, widać wyraźnie, że Polska nie zdążyła z implementacją dyrektywy NIS2 w wyznaczonym terminie. Na stronie Rządowego Centrum Legislacji pojawiła się 12 lutego 2025 r. kolejna, piąta już wersja projektu ustawy nowelizującej ustawę o Krajowym Systemie Cyberbezpieczeństwa, która ma dostosować polskie prawo do dyrektywy NIS2.

‍

Dyrektywa o Odporności Podmiotów Krytycznych (CER) dodaje kolejną warstwę złożoności. Dyrektywa CER weszła w życie 16 stycznia 2023 roku, skutecznie zastępując Dyrektywę o Europejskiej Infrastrukturze Krytycznej z 2008 roku, a państwa członkowskie będą musiały jej przestrzegać do 17 lipca 2026 roku.

‍

Szczególne wyzwanie w tym regulacyjnym tsunami stanowi fakt, że organizacje nie są już odpowiedzialne tylko za własną odporność — muszą teraz systematycznie weryfikować plany ciągłości działania swoich zewnętrznych dostawców, szczególnie dostawców usług ICT.

‍

Fala audytów na horyzoncie

Podczas gdy podmioty finansowe podlegają DORA od stycznia 2025 roku, prawdziwy test dopiero nadchodzi. 30 kwietnia 2025 roku europejskie organy nadzorcze1 (EBA, ESMA i EIOPA) zebrały rejestry informacji DORA od właściwych organów, sygnalizując rozpoczęcie systematycznego nadzoru. Krytyczni dostawcy usług ICT stoją w obliczu szczególnie intensywnej kontroli, ponieważ dostawcy ICT uznani za "krytycznych" przez Komisję Europejską będą bezpośrednio nadzorowani przez europejskich nadzorców.

‍

Dla organizacji w sektorach kluczowych i ważnych rozpoczęło się odliczanie. Planowany termin przyjęcia projektu przez Radę Ministrów to II kwartał 2025 r., co sugeruje, że implementacja przez Polskę wymogów NIS2 poprzez ustawę o Krajowym Systemie Cyberbezpieczeństwa może w końcu nabrać tempa w tym roku.  

‍

Stawka jest wysoka. DORA pozwala głównym nadzorcom nakładać grzywny na dostawców ICT w wysokości do 1% średniego dziennego światowego obrotu dostawcy z poprzedniego roku obrotowego, podczas gdy w przypadku naruszenia przez podmioty kluczowe zasad zarządzania ryzykiem lub raportowania incydentów można nałożyć kary administracyjne sięgające do 10 milionów euro lub 2% całkowitego rocznego obrotu.

‍

Martwe strefy w obecnych praktykach weryfikacji

Najbardziej niebezpieczną luką w obecnych praktykach zarządzania dostawcami jest to, co eksperci nazywają "weryfikacją formalną". Organizacje rutynowo akceptują imponująco wyglądające plany ciągłości działania od swoich dostawców ICT, nie przeprowadzając żadnej praktycznej weryfikacji ich skuteczności. To jak ocenianie planu ewakuacji w przypadku pożaru wyłącznie na podstawie tego, jak dobrze jest napisany, nigdy nie testując, czy ludzie rzeczywiście mogą opuścić budynek.

‍

Próżnia standaryzacji reprezentuje kolejną krytyczną podatność. Bez ujednoliconych kryteriów oceny różne zespoły w tej samej organizacji mogą dojść do sprzecznych wniosków dotyczących gotowości tego samego dostawcy. Jeden dział może zatwierdzić plan, który inni odrzuciliby — to przepis na brak spójności poziomów ochrony w całym przedsiębiorstwie.

‍

Ocena w oderwaniu od regulacji pogłębia te problemy. Wiele organizacji ocenia plany dostawców według nieadekwatnych standardów wewnętrznych, a nie konkretnych wymogów DORA, NIS2 czy CER. Ta rozbieżność oznacza, że plan może wyglądać doskonale z tradycyjnej perspektywy ciągłości działania, jednocześnie nie spełniając nowych wymagań regulacyjnych.

‍

Pomijanie kwestii testowania i aktualizacji stanowi być może najbardziej podstępne ryzyko. Organizacje rzadko weryfikują, czy ich dostawcy faktycznie testują swoje plany ciągłości lub jak radzą sobie z aktualizacjami po incydentach. Nietestowany plan to w zasadzie pobożne życzenia ubrane w profesjonalny format.

‍

Płytka analiza zależności kończy listę głównych podatności. Niewystarczająca weryfikacja podwykonawców i zależności łańcucha dostaw może stworzyć ukryte pojedyncze punkty awarii. Gdy główny dostawca ma solidne plany, ale ich kluczowy podwykonawca nie, cały łańcuch staje się podatny na zakłócenia.

Cena powierzchownej weryfikacji

Organizacje, które nie przeprowadzają właściwej weryfikacji planów ciągłości działania swoich dostawców, stoją w obliczu kumulacji problemów. Kary regulacyjne to tylko początek — przepisy dotyczą ponad 22 000 podmiotów finansowych i dostawców usług ICT działających w UE, co sugeruje skalę potencjalnych działań egzekucyjnych.

‍

Rzeczywiste zagrożenie ujawnia się, gdy usługi, które miały być zabezpieczone, przestają działać w najgorszym możliwym momencie, blokując kluczowe procesy w firmie. Utrata dobrego imienia po nagłośnionych awariach może na długo nadszarpnąć zaufanie klientów i zaszkodzić pozycji rynkowej. Problemy wykryte podczas kontroli skutkują negatywnymi ocenami i koniecznością wprowadzania kosztownych poprawek, których można było uniknąć, gdyby od początku odpowiednio weryfikowano plany dostawców.

Istnieje systematyczne rozwiązanie

Rozwiązaniem jest wprowadzenie uporządkowanego sposobu sprawdzania dostawców, który zmienia pobieżne przeglądanie dokumentów w dokładną ocenę. Taka zmiana wymaga szczegółowych list sprawdzających, dzięki którym nie pominiemy żadnego ważnego obszaru, jednolitych zasad oceny, które pozwolą porównać różnych dostawców, oraz rzetelnego dokumentowania wyników, które zadowoli audytorów i pomoże w przyszłych decyzjach.

‍

‍

Lista Kontrolna Oceny BCP firmy Davidson Consulting to praktyczne narzędzie, które stosuje takie systematyczne podejście. Została stworzona specjalnie do sprawdzania planów ciągłości działania dostawców usług ICT i uwzględnia wymagania DORA, NIS2, CER oraz najważniejszych wymagań norm ISO (27031 i 22301). Lista działa w prosty sposób - każdy punkt można ocenić jako spełniony w pełni, niespełniony lub spełniony częściowo.

‍

Hierarchia ważności poszczególnych wymagań pomaga organizacjom zdecydować – czy chcą skupić się na najważniejszych elementach, czy ocenić plan bardziej kompleksowo. Elementy krytyczne stanowią podstawę dla każdego poprawnego BCP, elementy ważne znacząco wpływają na skuteczność planu, a elementy zalecane podnoszą jego jakość i przejrzystość. Taka priorytetyzacja okazuje się bardzo przydatna, gdy czas lub zasoby są ograniczone.

‍

Lista kontrolna obejmuje dziewięć kluczowych sekcji: analizę wpływu na działalność (analizę BIA), ocenę ryzyka ciągłości działania usług ICT, strategię ciągłości działania ICT, procedury odzyskiwania, plany komunikacji, plany odzyskiwania usług ICT, procedury testowania i utrzymania planu, załączniki oraz ocenę ogólną. Każda sekcja zawiera szczegółowe pytania kontrolne umożliwiające dokładną weryfikację najważniejszych aspektów planu.

‍

1.Narzędzie nie tylko dla oceniających

Lista kontrolna BCP to praktyczne narzędzie, które może służyć różnym stronom procesu - zarówno podmiotom objętym nowymi regulacjami, jak i ich dostawcom czy audytorom.

‍

Dla firm budujących własne plany BCP

‍

Lista stanowi konkretną mapę drogową pokazującą, co naprawdę liczy się w dobrze przygotowanym planie ciągłości działania. Zamiast działać metodą prób i błędów czy zgadywać, czego oczekują klienci i kontrolerzy, można oprzeć się na sprawdzonych wymaganiach wynikających z najlepszych praktyk branżowych.

Hierarchia ważności elementów pozwala racjonalnie planować prace. Firmy mogą najpierw skupić się na elementach krytycznych - tych, bez których plan po prostu nie zadziała. Następnie przejść do elementów ważnych, które znacząco poprawią skuteczność planu, a na końcu dopracować elementy zalecane.

Szczególnie cenne jest to dla firm, które po raz pierwszy mierzą się z wymogami DORA, NIS2 czy przyszłej polskiej ustawy o KSC. Lista pokazuje konkretnie, jakie analizy przeprowadzić i jakie procedury opisać.

‍

Dla dostawców usług ICT

‍

Narzędzie daje dostawcom cenny wgląd w rzeczywiste priorytety swoich klientów. Pokazuje jasno, które elementy planu są absolutnie krytyczne i muszą być dopracowane, a które - choć ważne - nie zdyskwalifikują całego planu w przypadku braków.

To szczególnie istotne przy ograniczonych zasobach. Zamiast równomiernie rozprowadzać wysiłki na wszystkie aspekty planu, dostawcy mogą strategicznie skoncentrować się na tym, co naprawdę ma znaczenie dla klientów.

Lista pomaga też zrozumieć, dlaczego klienci zadają określone pytania podczas audytów dostawców. Gdy dostawca wie, które elementy są krytyczne, a które ważne, może przygotować się odpowiednio do rozmów i prezentacji.

‍

Dla audytorów i kontrolerów

‍

Lista może służyć audytorom jako podstawa do budowania programów kontroli i przygotowywania pytań audytowych. Hierarchia ważności pomaga optymalnie wykorzystać ograniczony czas podczas kontroli - można skupić się na elementach krytycznych.

Przypisy ze wskazówkami dla oceniających pomagają zrozumieć, na co zwrócić uwagę przy każdym elemencie i jak interpretować odpowiedzi. To ułatwia standaryzację podejścia różnych audytorów i zapewnia większą obiektywność ocen.

‍

Dla zespołów compliance i zarządzania ryzykiem

‍

Lista stanowi gotowy framework do tworzenia wewnętrznych procedur oceny dostawców. Zamiast wymyślać własne kryteria od zera, zespoły mogą wykorzystać sprawdzone podejście uwzględniające najnowsze wymagania regulacyjne.

Narzędzie pomaga też w dokumentowaniu procesu oceny zgodności - każda decyzja o akceptacji lub odrzuceniu dostawcy ma jasne uzasadnienie oparte na obiektywnych kryteriach.

‍

Wartość edukacyjna

‍

Lista ma też potencjał edukacyjny. Osoby mniej zaznajomione z zarządzaniem ciągłością działania mogą dzięki niej poznać kluczowe elementy dobrego planu BCP i zrozumieć, co jest najważniejsze z perspektywy odbiorców takich planów.

Przypisy ze wskazówkami dostarczają praktycznych rad, na co zwrócić uwagę przy ocenie poszczególnych elementów. To pomaga budować wiedzę o tym, jak w praktyce wygląda profesjonalna ocena planów ciągłości działania.

‍

Dowód systematycznego podejścia

‍

Uporządkowana dokumentacja procesu weryfikacji stanowi dobry dowód na profesjonalne podejście do tematu - zarówno podczas kontroli regulacyjnych, jak i w relacjach biznesowych. Pokazuje, że firma traktuje ciągłość działania poważnie i ma konkretne narzędzia do oceny swoich dostawców.

‍

2. Droga Naprzód

‍

Przepisy zmieniły się zasadniczo i firmy muszą dostosować sposób sprawdzania odporności swoich dostawców. Pierwszym krokiem jest uczciwa ocena tego, jak obecnie weryfikujemy plany BCP — wiele organizacji odkrywa wtedy, że ich procedury są bardziej ogólnikowe, niż myśleli.

‍

Wprowadzenie systematycznej weryfikacji poziomu gotowości dostawców wymaga współpracy różnych działów w firmie. To nie może być tylko zadanie dla IT czy działu Compliance — muszą się zaangażować wszystkie jednostki, które korzystają z usług zewnętrznych firm.

‍

Trzeba też pamiętać o regularnej aktualizacji kryteriów oceny, aby weryfikacja dostawców nadążała za zmieniającymi się przepisami, nowymi wytycznymi nadzoru i wzrostem poziomu odporności samych dostawców.

‍

3. Przygotuj się na nową rzeczywistość

‍

Czasy brania planów ciągłości działania dostawców za dobrą monetę dobiegają końca. Założeniem rządu jest, aby nowe regulacje zostały przyjęte jeszcze w tym roku, co wskazuje, że harmonogram implementacji dyrektyw przyspiesza. Organizacje, które zawczasu przyjmą model systematycznej weryfikacji dostawców w łańcuchu dostaw, znajdą się w lepszej pozycji, podczas przyszłych audytów bezpieczeństwa.

‍

Przy coraz bardziej zaostrzanych przepisach i skomplikowanych sieciach wzajemnych zależności dostawców sprawdzanie poziomu ich odporności przestało być dobrowolnym wyborem i przejawem należytej staranności, a stało się prawnym obowiązkiem. Firmy, które to zrozumieją i odpowiednio się przygotują, nie tylko ograniczą ryzyko niezgodności i kar, ale też realnie wzmocnią swoją odporność na zakłócenia.

‍

Twoja firma nieuchronnie będzie kontrolowana pod kątem obowiązku weryfikacji odporności dostawców, pozostaje pytanie: czy będzie na to gotowa? Najlepszy czas na przygotowania to teraz, zanim kontrole staną się powszechne.

‍

4. Doświadczenie ma znaczenie

‍

Choć Lista Kontrolna BCP została zaprojektowana tak, aby była intuicyjna i łatwa w użyciu, warto pamiętać, że skuteczność weryfikacji zależy też od doświadczenia osoby przeprowadzającej ocenę. Plany ciągłości działania mogą zawierać subtelne niedociągnięcia, które są widoczne dopiero dla doświadczonego oka.

‍

Dlatego jeśli podczas stosowania listy napotkasz na wątpliwości lub problemy interpretacyjne, nie zostawiamy Cię samego. Subskrybenci mają dostęp do szczegółowego FAQ na dedykowanej stronie, gdzie znajdziesz odpowiedzi na najczęstsze pytania dotyczące oceny poszczególnych elementów.

‍

W przypadku bardziej złożonych sytuacji oferujemy również:

• Konsultacje eksperckie - pomoc w interpretacji konkretnych zapisów w planach BCP
• Pełną weryfikację planów - profesjonalną ocenę planów ciągłości działania dowolnego dostawcy przeprowadzoną przez naszych ekspertów
• Wsparcie w przygotowaniu do audytu - pomoc w dokumentowaniu procesu weryfikacji zgodnie z wymogami regulacyjnymi

Czasem inwestycja w profesjonalną ocenę jednego czy dwóch kluczowych dostawców może zaoszczędzić znacznie więcej czasu i kosztów niż próby samodzielnej analizy skomplikowanych przypadków.

‍

---

Na podstawie doświadczeń Davidson Consulting i Wspólnicy Sp. z o.o. we wspieraniu organizacji w osiąganiu zgodności z wymogami DORA, NIS2 i CER. Praktyczne narzędzia weryfikacji i wskazówki znajdziesz na: [www.davidson.pl](http://www.davidson.pl)*

‍

Potrzebujesz wsparcia w weryfikacji planów BCP swoich dostawców?

‍

Potrzebujesz wsparcia w weryfikacji planów BCP swoich dostawców?

‍

Wyślij wiadomość z tytułem "Weryfikacja BCP" na zapytania@davidson.pl.

‍