DORA i dostawcy ICT: jak centrum danych wspiera odporność operacyjną instytucji finansowych

DORA (Rozporządzenie (UE) 2022/2554) obowiązuje w pełni od 17 stycznia 2025 r. i zmienia sposób, w jaki sektor finansowy patrzy na swoich dostawców technologii. Po raz pierwszy regulator mówi wprost: za cyfrową odporność operacyjną odpowiada nie tylko bank czy ubezpieczyciel, lecz cały łańcuch jego dostawców ICT — w tym centra danych, kolokacja i chmura. Jeśli Twoja instytucja korzysta z zewnętrznej serwerowni, wybór partnera data center przestał być decyzją czysto techniczną — stał się elementem zgodności z prawem. W tym wpisie tłumaczymy, czego DORA wymaga od dostawców ICT i na co zwrócić uwagę, wybierając centrum danych.

Czym jest DORA i kogo obejmuje

DORA, czyli akt o cyfrowej odporności operacyjnej, to unijne rozporządzenie obejmujące podmioty finansowe: banki, firmy inwestycyjne, instytucje płatnicze i pieniądza elektronicznego, zakłady ubezpieczeń, dostawców usług w zakresie kryptoaktywów i wiele innych. Co kluczowe, regulacja sięga dalej niż same instytucje — wprowadza nadzór nad krytycznymi zewnętrznymi dostawcami usług ICT, w szczególności dostawcami chmury i infrastruktury. DORA opiera się na pięciu filarach: zarządzaniu ryzykiem ICT, zgłaszaniu incydentów ICT, testowaniu odporności operacyjnej, zarządzaniu ryzykiem stron trzecich (dostawców ICT) oraz wymianie informacji o zagrożeniach.

Filar, który dotyczy centrum danych: ryzyko dostawców ICT

Dla relacji z centrum danych najważniejszy jest czwarty filar — zarządzanie ryzykiem dostawców ICT. DORA nakłada na podmiot finansowy obowiązek prowadzenia rejestru informacji o wszystkich umowach z dostawcami usług ICT, oceny ryzyka tych relacji oraz zadbania o odpowiednie zapisy umowne (m.in. prawa audytu, poziomy usług, zasady podwykonawstwa, strategie wyjścia). Kluczowa zmiana jest mentalna: odpowiedzialności za odporność nie da się scedować na dostawcę. Nawet jeśli serwery stoją w cudzym data center, to instytucja finansowa odpowiada za to, że dostawca spełnia odpowiednie wymogi. Dlatego wybór partnera, który tę odporność potrafi realnie udokumentować, ma bezpośrednie przełożenie na Twoją zgodność.

Czego instytucja finansowa powinna wymagać od partnera data center

Dobry partner data center pod kątem DORA powinien udowodnić odporność na kilku poziomach. Warto pytać o konkrety:

• Certyfikaty zarządcze. Standardy takie jak ISO 27001 (bezpieczeństwo informacji) i — szczególnie istotny dla DORA — ISO 22301 (zarządzanie ciągłością działania) pokazują, że ciągłość i bezpieczeństwo są zarządzane systemowo, a nie ad hoc. W Sprint Data Center wdrożone są m.in. ISO 27001, ISO 22301 i ISO 9001, a także NATO AQAP 2210 oraz Świadectwo Bezpieczeństwa Przemysłowego I stopnia.
• Fizyczna odporność infrastruktury. Dwutorowe, gwarantowane zasilanie wsparte UPS-ami i agregatem prądotwórczym przystosowanym do pracy ciągłej, precyzyjna klimatyzacja utrzymująca stabilną temperaturę i wilgotność oraz system wczesnej detekcji i gaszenia pożaru (w SDC — VESDA i gaszenie aerozolowe obojętne dla elektroniki).
• Bezpieczeństwo fizyczne i kontrola dostępu. Całodobowa ochrona, monitoring wizyjny z pełnym zapisem zdarzeń oraz system dostępowy rejestrujący każdą wizytę.
• Redundancja sieci i ochrona przed atakami. Niezależne łącza światłowodowe od różnych operatorów oraz ochrona AntyDDoS, by pojedyncza awaria łącza nie przerwała usługi.
• Lokalizacja i jurysdykcja. Data center w Polsce (SDC działa w Olsztynie, na terenie niezagrożonym klęskami żywiołowymi) upraszcza zgodność z RODO i krajowymi wymogami, a bliskość ułatwia audyty.

Pamiętaj przy tym o zasadzie ograniczonego zaufania do haseł marketingowych: konkretne parametry dostępności potwierdzaj w umowie SLA — pytaj o gwarantowane poziomy usług na piśmie, zamiast polegać na okrągłych deklaracjach.

Kolokacja, drugi ośrodek i ciągłość działania

DORA kładzie duży nacisk na testowanie odporności i scenariusze odtwarzania po awarii. Tu pojawia się rola kolokacji i strategii drugiego ośrodka. Utrzymywanie kopii i zdolności do przełączenia w niezależnej, dobrze zabezpieczonej lokalizacji to praktyczna realizacja wymogu ciągłości działania (wspieranego przez normę ISO 22301). Profesjonalny operator kolokacyjny pozwala zbudować architekturę, w której awaria pojedynczego elementu nie zatrzymuje krytycznych procesów — a to dokładnie to, czego oczekuje regulator i czego pojedyncza firmowa serwerownia zwykle nie zapewnia.

Podsumowanie

DORA przesuwa ciężar odpowiedzialności za cyfrową odporność na cały łańcuch dostawców ICT — a centrum danych jest jego ważnym ogniwem. Instytucja finansowa, która dziś weryfikuje swojego partnera data center pod kątem certyfikatów, redundancji zasilania, bezpieczeństwa i ciągłości działania, nie tylko spełnia wymogi prawa, ale realnie ogranicza ryzyko przestojów. Jeśli chcesz porozmawiać o tym, jak kolokacja w Sprint Data Center i nasza infrastruktura data center mogą wesprzeć Twoją zgodność z DORA, skontaktuj się z nami — pomożemy dobrać rozwiązanie do wymogów Twojej organizacji.

FAQ – najczęściej zadawane pytania o DORA i dostawców ICT

Czy DORA dotyczy mojego dostawcy centrum danych?

Tak, pośrednio i bezpośrednio. DORA obejmuje podmioty finansowe, ale wprowadza też nadzór nad krytycznymi zewnętrznymi dostawcami usług ICT, w tym dostawcami infrastruktury i chmury. Niezależnie od formalnej kwalifikacji dostawcy, to instytucja finansowa odpowiada za ocenę i udokumentowanie ryzyka związanego z każdym partnerem ICT.

Czy przeniesienie serwerów do data center zdejmuje ze mnie odpowiedzialność za DORA?

Nie. Odpowiedzialności za odporność operacyjną nie można scedować na dostawcę. Możesz (i powinieneś) korzystać z profesjonalnego centrum danych, ale to Twoja organizacja musi ocenić ryzyko, zadbać o odpowiednie zapisy umowne i prowadzić rejestr informacji o umowach ICT.

Jakie certyfikaty centrum danych pomagają w zgodności z DORA?

Najbardziej pomocne są ISO 27001 (bezpieczeństwo informacji) oraz ISO 22301 (ciągłość działania), bo wprost odnoszą się do filarów odporności DORA. Dodatkowe standardy, jak ISO 9001 czy NATO AQAP 2210, świadczą o dojrzałości procesów. Sprint Data Center posiada m.in. ISO 27001, ISO 22301 i ISO 9001.

Czym jest rejestr informacji o umowach ICT?

To wymagany przez DORA wykaz wszystkich umów z dostawcami usług ICT, wraz z informacjami o zakresie usług, krytyczności funkcji i podwykonawcach. Pozwala regulatorowi i samej instytucji panować nad ryzykiem koncentracji i nadmiernej zależności od pojedynczych dostawców.

Czy do zgodności z DORA potrzebuję drugiego ośrodka (DR)?

DORA wymaga zdolności do utrzymania ciągłości działania i odtworzenia usług po awarii, a drugi ośrodek lub architektura zapasowa w niezależnej lokalizacji to sprawdzony sposób, by ten wymóg spełnić. Skala rozwiązania powinna odpowiadać krytyczności Twoich procesów — od kopii offsite po pełną replikację.