DORA jesienią 2026: ESAs o ryzyku AI, EBA zamyka wytyczne o dostawcach spoza ICT

Ostatnie trzy miesiące stosowania rozporządzenia (UE) 2022/2554 (DORA) przyniosły dokumenty, które zmieniają sposób, w jaki nadzór czyta istniejące przepisy. ESAs opisały, czego oczekują w związku z ryzykiem ICT wynikającym z modeli AI najnowszej generacji. EBA zamknęła wytyczne o ryzyku stron trzecich dla usług spoza ICT, które mają zastąpić wytyczne o outsourcingu z 2019 r.

Stanowisko ESAs z 31 lipca 2026 r.

Wspólne stanowisko JC 2026 25 wychodzi od tezy, że modele AI o zaawansowanych zdolnościach skracają cykl od wykrycia podatności do jej wykorzystania. ESAs powołują się na ostrzeżenie ESRB z 25 czerwca 2026 r. (ESRB/2026/3) i plan działania Komisji Europejskiej w sprawie cyberbezpieczeństwa i AI z 7 lipca 2026 r. Wniosek: DORA i AI Act dają wystarczającą podstawę prawną, ale podmioty mają działać szybciej.

ESAs grupują oczekiwania w trzy strategie: prewencja, wykrywanie, zarządzanie. W prewencji chodzi o pełną i aktualną inwentaryzację zasobów IT, łącznie z API i komponentami AI/ML, oraz o proaktywne łatanie obejmujące także środowiska odtworzeniowe i kopie zapasowe. W wykrywaniu ESAs piszą wprost, że okresowe kontrole, np. coroczne testy penetracyjne lub audyty zgodności, mogą okazać się niewystarczające.

Załącznik z przykładowymi działaniami nie tworzy nowych wymogów i nie jest listą kontrolną. Część dotycząca organu zarządzającego jest jednak konkretna. Właściwe organy mają się upewnić, że zarząd jest zaangażowany, że istnieją plany reagowania i odpowiednie nakłady. Ramy apetytu na ryzyko powinny dostać nowe metryki i progi tolerancji dla tego ryzyka.

Nadzór nie zmienił DORA; zmienił tempo, w jakim oczekuje jej wykonania.

Nadzór nad kluczowymi dostawcami ICT

ESAs wyznaczyły pierwszych kluczowych zewnętrznych dostawców usług ICT (CTPP) 18 listopada 2025 r., na podstawie danych z rejestrów informacji prowadzonych przez podmioty finansowe. Zgodnie z art. 31 ust. 8 DORA lista jest aktualizowana co roku. W stanowisku z lipca ESAs jako wiodący nadzorcy informują, że przeprowadziły ukierunkowany dialog z CTPP o ryzyku AI. Jego wyniki trafiły do planu nadzoru na 2027 r., a ryzyko AI jest wbudowywane w metodykę badań nadzorczych.

Priorytety Wspólnego Komitetu na 2027 r., ogłoszone 13 października 2026 r., potwierdzają kontynuację nadzoru nad CTPP i prace nad przygotowaniem sektora na cyberzagrożenia. Raport o ryzykach z 23 września 2026 r. wskazuje cyber i fraud jako główne źródła ryzyka operacyjnego. Osobno wskazuje koncentrację zależności od dostawców ICT spoza EOG.

Dla funkcji compliance wniosek jest praktyczny. Jakość rejestru informacji przestała być tylko kwestią sprawozdawczą; z tych danych ESAs wyznaczają CTPP, a nadzorcy krajowi budują obraz koncentracji.

Wytyczne EBA o ryzyku stron trzecich spoza ICT

EBA/GL/2026/09 z 18 września 2026 r. obejmują usługi spoza ICT świadczone przez strony trzecie, ze szczególnym naciskiem na funkcje krytyczne lub istotne. Usługi ICT w rozumieniu art. 3 pkt 21 DORA są z zakresu wyłączone, bo reguluje je DORA. Adresatami są m.in. instytucje w rozumieniu CRR, firmy inwestycyjne (poza małymi i niepowiązanymi), instytucje płatnicze, instytucje pieniądza elektronicznego i emitenci tokenów powiązanych z aktywami.

Wytyczne wymagają rejestru wszystkich umów z dostawcami spoza ICT. Ma on być w możliwie największym stopniu spójny z rejestrem informacji z art. 28 ust. 3 DORA; oba rejestry można połączyć w jeden. Jeśli dostawca usługi spoza ICT korzysta z podwykonawców ICT, którzy faktycznie wspierają funkcję krytyczną lub istotną, ich także należy ująć w rejestrze.

Data stosowania i data uchylenia wytycznych o outsourcingu z 25 lutego 2019 r. są w raporcie końcowym jeszcze pustym polem. Okres przejściowy jest znany: dwa lata od daty stosowania na przegląd umów wspierających funkcje krytyczne lub istotne. Jeśli przegląd się nie zakończy, podmiot informuje właściwy organ i przedstawia plan albo strategię wyjścia. Pozostałe umowy można przejrzeć przy ich odnowieniu.

Co zrobić w tym kwartale

• Porównać inwentaryzację zasobów ICT z oczekiwaniami ze stanowiska ESAs, w tym API, komponenty AI/ML i środowiska DR.
• Przedstawić zarządowi stanowisko JC 2026 25 i zdecydować o metrykach ryzyka AI w ramach apetytu na ryzyko; zaprotokołować decyzję.
• Ocenić, czy roczny cykl testów i przeglądów zgodności w obszarze ICT jest wystarczający, i udokumentować uzasadnienie częstotliwości.
• Zmapować umowy z dostawcami spoza ICT, oznaczyć te wspierające funkcje krytyczne lub istotne i ustalić, czy rejestr ma być wspólny z rejestrem informacji z DORA.
• Sprawdzić, które usługi w rejestrze informacji świadczą wyznaczeni CTPP, i uwzględnić to w strategii wyjścia.