Znaczenie DORA dla sektora finansowego i dostawców ICT

Rozporządzenie DORA (Digital Operational Resilience Act) to jeden z najważniejszych aktów prawnych ostatnich lat w zakresie bezpieczeństwa cyfrowego w Unii Europejskiej. Weszło w życie 17 stycznia 2025 roku i obowiązuje wszystkie podmioty finansowe, w tym banki, ubezpieczycieli, firmy inwestycyjne, domy maklerskie, dostawców usług płatniczych oraz dostawców technologii ICT, którzy obsługują te instytucje. Celem DORA jest ujednolicenie wymagań dotyczących odporności cyfrowej, tak aby zapewnić stabilność rynku finansowego w całej UE.

Jednym z kluczowych narzędzi w tym zakresie jest rejestr usługodawców ICT, który pozwala instytucjom finansowym w sposób systemowy identyfikować i monitorować podmioty mające wpływ na ich działalność. Rozporządzenie koncentruje się na pięciu filarach: zarządzaniu ryzykiem ICT, obsłudze i raportowaniu incydentów, testach odporności, nadzorze nad krytycznymi dostawcami ICT oraz wymogach dotyczących umów outsourcingowych.

DORA dla sektora finansowego i dostawców ICT – Rejestry informacji jako fundament zgodności

Jednym z najważniejszych obowiązków wprowadzonych przez DORA jest prowadzenie tzw. Register of Information (RoI) – kompleksowego rejestru informacji o wszystkich istotnych umowach z dostawcami usług ICT. Rejestr usługodawców ICT musi obejmować szczegółowe dane dotyczące dostawców, rodzaju i zakresu świadczonych usług, lokalizacji przetwarzania danych, zaangażowanych podwykonawców oraz ocen ryzyka.

W praktyce oznacza to, że każda instytucja powinna być w stanie nie tylko przedstawić pełny obraz swoich zależności cyfrowych, lecz także wykazać, że każdy kontrakt z dostawcą ICT DORA został odpowiednio udokumentowany i uwzględniony w rejestrze. Dokumentacja musi być prowadzona na bieżąco i udostępniana organom nadzoru na ich żądanie, aby umożliwić przejrzystość i kontrolę nad kluczowymi relacjami technologicznymi.

DORA dla sektora finansowego i dostawców ICT – Raportowanie incydentów ICT i wymogi sprawozdawcze

DORA wprowadza jednolity, ustrukturyzowany system zgłaszania incydentów ICT, który jest jednym z kluczowych elementów spełnienia wymagań DORA w 2025 roku. Każda instytucja finansowa ma obowiązek wykrywania i klasyfikowania incydentów, a te uznane za poważne muszą być zgłaszane właściwym organom nadzoru w ściśle określonych terminach.

Głównym celem jest umożliwienie organom nadzoru bieżącej oceny ryzyka systemowego oraz koordynacji działań w całej Unii Europejskiej. Ustandaryzowane szablony raportów gwarantują spójność i porównywalność danych, a w perspektywie najbliższych lat planowane jest uruchomienie centralnego hubu zgłoszeniowego na poziomie unijnym.

Dla instytucji finansowych oznacza to nie tylko konieczność wdrożenia procedur wewnętrznych, które pozwolą na szybkie gromadzenie informacji technicznych i precyzyjną ocenę wpływu incydentu na klientów, ale także dostosowanie sposobu zarządzania relacjami z partnerami technologicznymi. Właściwie przygotowany kontrakt z dostawcą ICT DORA staje się tu kluczowym elementem, ponieważ zapewnia odpowiednie zapisy dotyczące raportowania incydentów, współpracy przy ich analizie i obowiązków informacyjnych, co umożliwia sprawną komunikację zarówno z dostawcą, jak i z regulatorami.

Umowy z dostawcami ICT i zarządzanie podwykonawstwem

Wymogi DORA stawiają w centrum uwagi precyzyjne regulowanie relacji pomiędzy instytucjami finansowymi a ich partnerami technologicznymi. Każdy kontrakt z dostawcą ICT DORA powinien jasno definiować zakres usług, wymagania dotyczące jakości i dostępności, prawa audytowe, zasady raportowania, warunki zakończenia współpracy oraz procedury zapewniające ciągłość działania. Kluczowe są również postanowienia odnoszące się do podwykonawców – instytucja finansowa musi mieć prawo weryfikacji i akceptacji dalszych podwykonawców oraz pewność, że spełniają oni identyczne wymogi bezpieczeństwa i zgodności regulacyjnej.

Rozporządzenie kładzie nacisk na włączenie do umów klauzul umożliwiających organom nadzoru dostęp do danych i dokumentacji, co w praktyce oznacza konieczność rewizji i dostosowania znacznej części istniejących kontraktów. Dla wielu firm jest to proces wymagający nie tylko prawnego przeglądu umów, ale także wdrożenia nowych procedur zarządzania relacjami z dostawcami, tak aby spełniały one wszystkie standardy operacyjnej odporności przewidziane przez DORA.

DORA dla sektora finansowego i dostawców ICT – Wyzwania wdrożeniowe i strategiczne podejście do zgodności

Spełnienie wymogów rozporządzenia wymaga od instytucji finansowych i dostawców ICT głębokich zmian w procesach wewnętrznych. Największym wyzwaniem jest zebranie i utrzymanie w jednym miejscu pełnych, wiarygodnych danych o dostawcach, podwykonawcach i umowach, co stało się priorytetem ze względu na wymagania DORA w 2025 roku.

Kolejnym problemem jest integracja nowych obowiązków raportowych z istniejącymi procesami zarządzania incydentami i ryzykiem, tak aby nie dublować pracy i zapewnić spójność danych. Regulacja kładzie też nacisk na ścisłą współpracę pomiędzy działami prawnymi, zakupów, IT i bezpieczeństwa, aby wszystkie procedury były zgodne z wytycznymi. Firmy, które podejdą do tego strategicznie, mogą jednak zyskać przewagę konkurencyjną – uporządkowane relacje z dostawcami, lepsza kontrola nad ryzykiem i zwiększona odporność cyfrowa przekładają się na większe zaufanie klientów i organów nadzoru.

Koszty składek pracodawcy w 2025 roku

Od 1 stycznia 2025 roku minimalne wynagrodzenie w Polsce wzrośnie do 4666 zł brutto, co stanowi wzrost o 366 zł w stosunku do drugiej połowy 2024 roku, gdy minimalna pensja wynosiła 4300 zł. Należy podkreślić, że wynagrodzenie brutto pracownika to nie jedyny koszt, który ponosi pracodawca w związku z zatrudnieniem. Oprócz składek finansowanych z wynagrodzenia pracownika pracodawca również opłaca określony procent składek, co stanowi dodatkowy koszt. Zatem całkowity koszt zatrudnienia jednego pracownika jest znacznie wyższy niż samo wynagrodzenie brutto.

Przy wynagrodzeniu brutto na poziomie 4666 zł, pracodawca musi pokryć następujące koszty składek: składkę emerytalną w wysokości 455,40 zł (9,76%), składkę rentową wynoszącą 303,29 zł (6,50%), składkę wypadkową równą 77,92 zł (1,67%), wpłatę na Fundusz Pracy w kwocie 114,32 zł (2,45%) oraz na Fundusz Gwarantowanych Świadczeń Pracowniczych, która wynosi 4,67 zł (0,1%). Całkowita suma składek ZUS opłaconych przez pracodawcę wynosi więc 955,60 zł.

Pracownicze Plany Kapitałowe (PPK)

Gdy firma uczestniczy w Pracowniczych Planach Kapitałowych (PPK), pracodawca musi odprowadzić dodatkową składkę w wysokości 1,5% wynagrodzenia brutto pracownika. Przykładowo, jeśli wynagrodzenie wynosi 4666 zł, składka PPK to 69,99 zł. Należy zaznaczyć, że udział w PPK jest opcjonalny, jednak warto włączyć go do budżetu firmy.

Całkowity koszt zatrudnienia pracownika w 2025 roku

Koszty ponoszone przez pracodawcę przy zatrudnieniu pracownika na minimalne wynagrodzenie brutto w wysokości 4666 zł kształtują się następująco: pracodawca wypłaca wynagrodzenie brutto w kwocie 4666,00 zł, opłaca składki na ubezpieczenia społeczne w wysokości 955,60 zł oraz opcjonalnie składkę PPK w kwocie 69,99 zł. Całkowity koszt zatrudnienia wynosi zatem 5691,59 zł.

Do kosztów tych należy również doliczyć składki na Fundusz Pracy (FP) w wysokości 2,45% oraz składki na Fundusz Gwarantowanych Świadczeń Pracowniczych (FGŚP) w wysokości 0,1%. Istnieją jednak wyjątki od opłacania tych składek. Zwolnienie z opłat na FP i FGŚP przysługuje kobietom po 55. roku życia, mężczyznom po 60. roku życia, osobom powracającym z urlopów macierzyńskiego, rodzicielskiego i wychowawczego – przez 36 miesięcy od powrotu z urlopu, pracownikom po 50. roku życia, którzy przez 30 dni przed zatrudnieniem byli zarejestrowani jako bezrobotni w powiatowym urzędzie pracy – przez 12 miesięcy od zawarcia umowy o pracę, oraz młodym pracownikom do 30. roku życia skierowanym do pracy przez urząd pracy – również przez 12 miesięcy od zawarcia umowy o pracę.

Co jeszcze składa się na koszt zatrudnienia pracownika?

Mimo że wynagrodzenie pracownika stanowi największe obciążenie dla pracodawcy, nie można pomijać innych istotnych aspektów związanych z zatrudnieniem. Do tych należy finansowanie badań lekarskich i szkoleń BHP, a także przeszkolenie pracownika na jego stanowisku pracy i wdrażanie go w struktury firmy. Ważne jest również podnoszenie kwalifikacji zawodowych pracownika, przygotowanie odpowiedniego stanowiska pracy oraz dostarczenie niezbędnych narzędzi do wykonywania obowiązków służbowych.

Pracodawca musi także zapewnić bezpieczne i higieniczne warunki pracy. Koszty związane z nieobecnościami pracownika, takie jak wynagrodzenie urlopowe czy chorobowe, rosną również, gdy inne osoby muszą przejąć jego obowiązki. W przypadku zatrudnienia cudzoziemców istotne jest także uzyskiwanie wszelkiego rodzaju pozwoleń na pracę. Dodatkowo w niektórych sytuacjach koszt zatrudnienia może obejmować odzież roboczą, zapewnienie pracownikom posiłków czy inne benefity i motywatory.

Koszt całkowity zatrudnienia pracownika na umowę zlecenie

W przypadku umowy zlecenia ogólny koszt zatrudnienia jest mniej skomplikowany, jednakże zależy od kilku czynników dotyczących osoby zatrudnionej. Zleceniobiorca odprowadza wymagane składki, a jednocześnie ważne jest, aby jego wynagrodzenie nie było niższe niż minimalna stawka godzinowa. Gdy umowa zlecenia jest jedyną formą zatrudnienia danej osoby, zleceniodawca pokrywa zarówno wynagrodzenie brutto, jak i składki ZUS, które obejmują ubezpieczenie społeczne, Fundusz Pracy oraz Fundusz Gwarantowanych Świadczeń Pracowniczych, podobnie jak w przypadku umowy o pracę. Jeśli zatrudniona osoba pracuje również w innej firmie, gdzie jej wynagrodzenie osiąga minimalne wynagrodzenie, to osoba ta otrzymuje wynagrodzenie brutto. Dodatkowo student do ukończenia 26. roku życia, zatrudniony na podstawie umowy zlecenia, otrzymuje również wynagrodzenie brutto.

Jaki jest koszt całkowity zatrudnienia pracownika na umowę o dzieło?

W przypadku umów o dzieło przedsiębiorca nie napotyka problemów z odprowadzaniem składek do Zakładu Ubezpieczeń Społecznych, gdyż nie istnieje taki wymóg. Brutto wynagrodzenie wypłacane zatrudnionym stanowi jedyny koszt uzyskania przychodów dla przedsiębiorcy w tej sytuacji. Obowiązek ubezpieczenia na mocy umowy o dzieło ma zastosowanie jedynie, gdy umowa jest zawarta z własnym pracodawcą.