Jak przygotować firmę do DORA i MiCA w praktyce

Aby przygotować firmę do regulacji DORA i MiCA, musisz jednocześnie uporządkować cyberbezpieczeństwo, ciągłość działania IT, zarządzanie dostawcami oraz zgodność operacyjną w obszarze kryptoaktywów. To nie jest projekt „papierowy” — to realna zmiana sposobu zarządzania technologią, ryzykiem i odpowiedzialnością zarządu.

Czym są regulacje DORA i MiCA w praktyce i kogo dotyczą?

DORA (Digital Operational Resilience Act) to unijne rozporządzenie obowiązujące od 17 stycznia 2025, dotyczące odporności cyfrowej podmiotów finansowych i dostawców technologii obsługujących sektor finansowy. Obejmuje m.in.:

• banki, TFI, domy maklerskie, instytucje płatnicze,

• fintechy i neobanki,

• dostawców usług ICT dla sektora finansowego (chmura, hosting, SOC, MSP, SaaS).

MiCA (Markets in Crypto-Assets) reguluje rynek kryptoaktywów w UE. Dotyczy firm takich jak:

• giełdy kryptowalut,

• emitenci tokenów (ART, EMT),

• dostawcy usług w zakresie kryptoaktywów (CASP),

• fintechy łączące tradycyjne finanse z blockchainem.

W praktyce:
👉 DORA = odporność operacyjna IT,
👉 MiCA = legalność i przejrzystość działalności krypto.

Jakie realne ryzyka eliminują DORA i MiCA?

Z perspektywy inżyniera IT i audytora te regulacje powstały jako odpowiedź na bardzo konkretne problemy:

• brak testów odporności infrastruktury,

• brak procedur reagowania na incydenty,

• uzależnienie od jednego dostawcy chmury,

• chaos kompetencyjny między IT, compliance i zarządem,

• brak kontroli nad ryzykiem technologicznym w krypto.

Z mojego doświadczenia najczęstszym problemem jest iluzoryczne bezpieczeństwo: polityki istnieją, ale nikt nie wie, czy system przetrwałby prawdziwy incydent.

Od czego firma powinna zacząć przygotowania do DORA i MiCA?

Zawsze zaczynam od inwentaryzacji, a nie od dokumentów.

1. Audyt techniczny i operacyjny (punkt zero)

Potrzebujesz jasnych odpowiedzi na pytania:

• które systemy są krytyczne dla biznesu?

• gdzie znajdują się dane wrażliwe?

• kto faktycznie administruje infrastrukturą?

• co się stanie, jeśli kluczowy system przestanie działać na 24 godziny?

Bez tego wszystko, co nastąpi później, jest fikcją.

Jak DORA zmienia podejście do cyberbezpieczeństwa?

DORA nie pyta, czy masz firewall — pyta:

„Czy Twoja organizacja przetrwa prawdziwy cyberincydent?”

Co musi realnie działać:

• ciągły monitoring (SOC 24/7),

• klasyfikacja incydentów (incydenty związane z ICT),

• raportowanie incydentów do regulatora,

• testy odporności (w tym testy oparte na scenariuszach).

W projektach, które prowadziłem, największą zmianą było przesunięcie akcentu z „ochrony” na odporność i odtwarzanie.

Jak zorganizować zarządzanie incydentami zgodnie z DORA?

DORA wymaga, aby firma:

• miała sformalizowany proces zarządzania incydentami,

• potrafiła klasyfikować i eskalować incydenty,

• potrafiła udowodnić, że reaguje zgodnie z procedurą.

W praktyce oznacza to:

• playbooki IR (Incident Response),

• ćwiczenia „table-top” dla zarządu,

• jasny podział ról między IT, compliance i kadrę zarządzającą.

Dla wielu firm to pierwszy raz, kiedy zarząd naprawdę angażuje się w cyberbezpieczeństwo — i to bardzo dobrze.

Jak DORA reguluje dostawców IT i chmurę?

To jeden z najbardziej niedocenianych obszarów.

DORA wymaga:

• pełnej kontroli nad outsourcingiem ICT,

• oceny ryzyka dostawców,

• umów zawierających SLA, prawo do audytu i plan wyjścia,

• gotowości do zmiany dostawcy.

Jeśli firma działa na jednym hyperscalerze bez planu B — to jest luka regulacyjna.

Jakie obowiązki techniczne MiCA nakłada na firmy krypto?

MiCA wprowadza porządek tam, gdzie wcześniej panowała wolna amerykanka.

W praktyce wymaga m.in.:

• segregacji aktywów klientów,

• silnych mechanizmów bezpieczeństwa IT,

• audytowalnych systemów transakcyjnych,

• zarządzania ryzykiem technologicznym.

Dla firm krypto często oznacza to przebudowę backendu, a nie tylko aktualizację regulaminu.

Jak połączyć wymagania DORA i MiCA w jednej organizacji?

W fintechach i na platformach krypto obie regulacje nakładają się na siebie.

W praktyce najlepiej sprawdza się podejście:

• jeden model zarządzania ryzykiem IT,

• wspólna architektura bezpieczeństwa,

• scentralizowany monitoring i raportowanie,

• jeden wspólny „język” między IT, compliance i zarządem.

Rozdzielanie tych obszarów kończy się dublowaniem kosztów i chaosem decyzyjnym.

Jakie błędy najczęściej widzę we wdrożeniach DORA i MiCA?

Z doświadczenia:

1. Dokumenty bez realnych testów

2. Compliance oderwane od infrastruktury

3. Brak zaangażowania zarządu

4. Brak kontroli nad dostawcami IT

5. Traktowanie regulacji jako „jednorazowego projektu”

DORA i MiCA to proces ciągły, a nie odhaczony punkt na liście.

Ile naprawdę trwa przygotowanie do DORA i MiCA?

W zależności od skali organizacji:

• mały fintech / startup krypto: 3–6 miesięcy,

• średnia instytucja finansowa: 6–12 miesięcy,

• duża organizacja: ponad 12 miesięcy.

Im wcześniej zaczniesz od strony technicznej, a nie od papierów, tym taniej i szybciej to pójdzie.

DORA i MiCA to koszt czy przewaga konkurencyjna?

Z perspektywy rynku to filtr jakości.

Firmy, które:

• mają stabilną architekturę IT,

• realnie zarządzają ryzykiem,

• są przejrzyste operacyjnie,

wygrają z firmami, które po prostu „jakoś działają”.

Widziałem już przypadki, w których zgodność z DORA stała się argumentem sprzedażowym, a nie kosztem.

Jak przygotować firmę mądrze, a nie tylko „pod literę prawa”?

Najlepsze wdrożenia, które prowadziłem, miały jedną wspólną cechę:

zgodność regulacyjna była efektem ubocznym dobrze zaprojektowanego IT

Jeśli chcesz praktycznie podejść do DORA i MiCA, zacznij od technologii, a nie od klauzul prawnych. Regulacje tylko to porządkują.

To właśnie moment, w którym cyberbezpieczeństwo przestaje być kosztem, a zaczyna być fundamentem biznesu.