Zgłaszanie incydentów ICT wg DORA: terminy 4 h, 72 h i miesiąc, kryteria i procedura

Poważny incydent ICT zgłaszasz wg DORA w trzech krokach. Powiadomienie wstępne składasz w ciągu 4 godzin od sklasyfikowania incydentu jako poważny, nie później niż 24 godziny od powzięcia o nim wiedzy. Sprawozdanie śródokresowe wysyłasz w 72 godziny od powiadomienia wstępnego, a sprawozdanie końcowe miesiąc po śródokresowym. Terminy określa rozporządzenie delegowane (UE) 2025/301, obowiązek wynika z art. 17–19 rozporządzenia (UE) 2022/2554 (DORA), a w Polsce adresatem zgłoszeń jest Komisja Nadzoru Finansowego (KNF). Poniżej wyjaśniamy, które incydenty podlegają zgłoszeniu, jak liczyć terminy, jak wygląda procedura w KNF i co trzeba przygotować wcześniej, żeby 4 godziny okazały się realne.

Stan prawny na dzień 2 września 2026 r.

Jakie incydenty trzeba zgłaszać wg DORA?

Do organu nadzoru zgłasza się wyłącznie incydenty związane z ICT sklasyfikowane jako poważne. Pozostałe incydenty podmiot finansowy rejestruje i obsługuje wewnętrznie, ale nie raportuje ich do KNF. Podstawą jest rozdział III rozporządzenia (UE) 2022/2554 (DORA). Art. 17 nakazuje wdrożyć proces zarządzania incydentami związanymi z ICT, a art. 18 klasyfikować incydenty. Art. 19 każe zgłaszać te, które osiągnęły próg „poważnego incydentu”. Dotyczy to wszystkich podmiotów finansowych objętych DORA: banków, zakładów ubezpieczeń, firm inwestycyjnych, instytucji płatniczych, dostawców usług w zakresie kryptoaktywów i pozostałych kategorii z art. 2 rozporządzenia.

Kryteria klasyfikacji z rozporządzenia delegowanego (UE) 2024/1772

Czy incydent jest poważny, ocenia się według kryteriów z rozporządzenia delegowanego (UE) 2024/1772, które uzupełnia art. 18 DORA. Kryteria obejmują liczbę i znaczenie dotkniętych klientów lub kontrahentów finansowych, czas trwania incydentu i długość przestoju usług oraz zasięg geograficzny. Liczy się też utrata danych (dostępności, autentyczności, integralności lub poufności), wpływ na usługi krytyczne lub ważne funkcje i wpływ ekonomiczny. Rozporządzenie określa też, które kryteria muszą wystąpić łącznie, żeby incydent uznać za poważny. Konkretne progi liczbowe znajdziesz w tekście rozporządzenia 2024/1772; przenieś je do wewnętrznej procedury klasyfikacji stamtąd, a nie z omówień.

Kryteria trzeba ocenić szybko, bo od momentu klasyfikacji liczy się czas na powiadomienie wstępne. Podmiot musi z góry ustalić, jak ocenia każde z nich: skąd wziąć liczbę dotkniętych klientów, kto potwierdza utratę danych, jak liczyć przestój. Bez tego traci godziny na dyskusje zamiast na zgłoszenie.

Dobrowolne zgłaszanie znaczących cyberzagrożeń

Art. 19 DORA otwiera obok obowiązkowych zgłoszeń poważnych incydentów także ścieżkę dobrowolną. Podmiot finansowy może powiadomić organ nadzoru o znaczącym cyberzagrożeniu, jeśli uzna je za istotne dla systemu finansowego, użytkowników usług lub klientów. Zgłoszenie cyberzagrożenia nie uruchamia terminów 4 h / 72 h / miesiąc; to odrębna, fakultatywna ścieżka, która w Polsce również przebiega przez System do Obsługi Incydentów DORA (csirt.knf.gov.pl). Warto ją uwzględnić w procedurze, bo pozwala udokumentować reakcję na zagrożenie, które ostatecznie nie przerodziło się w incydent.

Jakie są terminy zgłoszeń wg DORA?

Terminy zgłaszania poważnych incydentów określa art. 5 rozporządzenia delegowanego (UE) 2025/301 (regulacyjne standardy techniczne do art. 20 DORA), a nie sam tekst DORA. To ważne, bo wiele omówień z 2023–2024 r. podawało „24 godziny na zgłoszenie wstępne”, opierając się na projektach lub na analogii do NIS2. Ostateczny standard skraca ten czas: liczy się 4 godziny od klasyfikacji, a 24 godziny od powzięcia wiedzy są tylko górnym ograniczeniem. Poniższa tabela zbiera wszystkie trzy raporty.

Raport	Termin	Od czego liczony	Co zawiera	Podstawa
Powiadomienie wstępne	4 godziny, nie później niż 24 godziny od powzięcia wiedzy o incydencie	Od sklasyfikowania incydentu jako poważny (limit 24 h: od powzięcia wiedzy)	Podstawowe dane o incydencie, wstępną klasyfikację, dotknięte usługi i funkcje, dane kontaktowe; wiele pól pozostaje jeszcze nieuzupełnionych	RTS (UE) 2025/301, art. 5 ust. 1; art. 19 ust. 4 DORA; wzór ITS (UE) 2025/302
Sprawozdanie śródokresowe	72 godziny	Od złożenia powiadomienia wstępnego	Aktualizację statusu, zmianę klasyfikacji, przebieg incydentu, podjęte działania ograniczające skutki, wstępne szacunki wpływu	RTS (UE) 2025/301, art. 5 ust. 1; art. 19 ust. 4 DORA
Sprawozdanie końcowe	1 miesiąc	Od złożenia sprawozdania śródokresowego	Analizę przyczyn źródłowych, ostateczne dane o wpływie i kosztach, działania naprawcze i wnioski	RTS (UE) 2025/301, art. 5 ust. 1; art. 19 ust. 4 DORA
Każdy z powyższych, gdy termin wypada w dzień wolny	Następny dzień roboczy do godz. 12:00	Od pierwotnego terminu	Bez zmian w treści	RTS (UE) 2025/301, art. 5 ust. 4

Dwa punkty startowe powiadomienia wstępnego wymagają wyjaśnienia. Zegar 4-godzinny rusza w chwili, gdy podmiot sklasyfikował incydent jako poważny. Klasyfikacji nie da się jednak odkładać bez końca: powiadomienie wstępne musi trafić do organu najpóźniej 24 godziny po powzięciu wiedzy o incydencie, niezależnie od momentu klasyfikacji. Jeżeli więc zespół dowiedział się o zdarzeniu w poniedziałek o 9:00, a klasyfikację zakończył o 20:00, powiadomienie wstępne musi wyjść do północy, a nie do wtorku 9:00. Sprawozdanie śródokresowe składa się także wtedy, gdy incydent jeszcze trwa; nie czeka się z nim na jego zamknięcie.

Do kogo i jak zgłaszać w Polsce?

W Polsce organem właściwym dla zgłoszeń wg DORA jest Komisja Nadzoru Finansowego (KNF), a zgłoszenia poważnych incydentów ICT i znaczących cyberzagrożeń składa się elektronicznie przez System do Obsługi Incydentów DORA (csirt.knf.gov.pl). System Sprawozdawczości DORA (crp.knf.gov.pl) służy do pozostałych sprawozdań DORA, nie do incydentów. Gdy system incydentowy jest niedostępny, KNF przyjmuje zgłoszenia e-mailem na incydenty.dora@knf.gov.pl na formularzach do pobrania, z obowiązkiem późniejszej rejestracji zgłoszenia w systemie. Kompetencje KNF wynikają z ustawy z 25 czerwca 2025 r. (Dz.U. 2025 poz. 1069), która zapewnia stosowanie DORA w polskim porządku prawnym. Ta sama ustawa czyni KNF organem właściwym dla testów TLPT. Informacje operacyjne o systemie, instrukcje i komunikaty KNF publikuje w sekcji poświęconej DORA na knf.gov.pl.

Zgłoszenia składa się na jednolitych wzorach z rozporządzenia wykonawczego (UE) 2025/302, które określa formularze, strukturę danych i instrukcje wypełniania dla wszystkich trzech raportów. Ten sam formularz rozwija się etapami: powiadomienie wstępne wypełnia część pól, sprawozdanie śródokresowe i końcowe uzupełniają kolejne. Stąd praktyczna wskazówka: procedura wewnętrzna powinna od razu operować na polach formularza z ITS 2025/302, a nie na własnym, luźnym opisie incydentu, który potem trzeba przepisywać.

Zanim złożysz pierwsze zgłoszenie, załóż konto w Systemie do Obsługi Incydentów DORA i nadaj uprawnienia osobom, które będą je składać. To formalność, ale w projektach, które prowadzimy, jeden z najczęściej pomijanych elementów. Podmiot ma procedurę, a w dniu incydentu okazuje się, że jedyna osoba z uprawnieniami jest na urlopie albo że nikt nigdy nie aktywował konta. Więcej o pełnym zakresie obowiązków znajdziesz na stronie usługi wdrożenia i utrzymania zgodności z DORA oraz w naszym wpisie checklista DORA 2026 krok po kroku.

Jak przygotować firmę na 4 godziny?

Cztery godziny wystarczą tylko wtedy, gdy wszystkie decyzje, które da się podjąć z wyprzedzeniem, zapadły przed incydentem. Poniższa lista zbiera elementy, które w naszych projektach decydują o tym, czy powiadomienie wstępne wychodzi na czas.

1. Przenieś kryteria klasyfikacji z RTS 2024/1772 do procedury wewnętrznej. Dla każdego kryterium zapisz, z jakiego systemu lub od kogo pochodzi liczba (dotknięci klienci, czas przestoju, zasięg, utrata danych, wpływ na funkcje krytyczne, koszt) i kto ją potwierdza. Klasyfikacja ma być odczytem, nie naradą.
2. Wyznacz osobę decyzyjną i zastępcę. Jedna wskazana z nazwiska osoba klasyfikuje incydent jako poważny i zatwierdza wysyłkę powiadomienia wstępnego; zastępca ma te same uprawnienia. Procedura określa, kiedy zastępca przejmuje decyzję (brak kontaktu przez określony czas).
3. Załóż i przetestuj konto w Systemie do Obsługi Incydentów DORA. Co najmniej dwie osoby z aktywnymi uprawnieniami, sprawdzone logowanie, zapisany sposób odzyskania dostępu.
4. Napisz playbook zgłaszania. Krok po kroku: kto wykrywa, kto eskaluje, kto klasyfikuje, kto wypełnia formularz, kto zatwierdza, kto informuje zarząd i klientów. Playbook mówi też, jak liczyć terminy 4 h / 24 h / 72 h / miesiąc i co się dzieje w dzień wolny.
5. Przygotuj szablony na polach z ITS 2025/302. Wypełnione z góry dane podmiotu, osoby kontaktowe, lista usług i funkcji krytycznych, tak by w dniu incydentu uzupełniać tylko to, co dotyczy zdarzenia.
6. Zsynchronizuj zgłaszanie z komunikacją do klientów. Art. 19 DORA wymaga poinformowania klientów, gdy poważny incydent wpływa na ich interesy finansowe; playbook powinien wskazywać, kto i jakim kanałem to robi.
7. Przeprowadź ćwiczenie tabletop. Symulacja incydentu z realnym zegarem, w której zespół przechodzi od wykrycia do wysłania powiadomienia wstępnego. Ćwiczenie pokazuje, czy 4 godziny są realne, i ujawnia braki w dostępach, danych i decyzyjności. Powtarzaj je po każdej istotnej zmianie w organizacji.

Cała lista opiera się na jednym warunku: trzeba umieć wykryć incydent. Zegar 24-godzinny liczy się od powzięcia wiedzy, ale organ nadzoru w sprawozdaniu końcowym zobaczy, ile czasu minęło między początkiem incydentu a jego wykryciem. Jeśli monitorowanie i reakcja są rozproszone między działem IT a zewnętrznym dostawcą, warto uporządkować odpowiedzialności; porównanie modeli opisaliśmy we wpisie o hybrydowym modelu SOC.

Czym różni się zgłaszanie wg DORA od NIS2 i ustawy o KSC?

Zgłaszanie wg DORA różni się od reżimu dyrektywy (UE) 2022/2555 (NIS2) i ustawy o krajowym systemie cyberbezpieczeństwa (KSC) przede wszystkim punktem startu pierwszego zgłoszenia i adresatem. DORA liczy 4 godziny od klasyfikacji i kieruje zgłoszenie do KNF, a NIS2 i KSC dają 24 godziny od wykrycia i kierują je do CSIRT. Dla podmiotów finansowych DORA jest aktem szczególnym względem NIS2, więc w zakresie zarządzania ryzykiem ICT i zgłaszania incydentów stosuje się DORA. Szczegółowe rozgraniczenie obu reżimów opisaliśmy we wpisie różnice między NIS2 a DORA.

Element	DORA (podmioty finansowe)	NIS2 / ustawa o KSC (podmioty kluczowe i ważne)
Pierwsze zgłoszenie	Powiadomienie wstępne: 4 h od klasyfikacji, max 24 h od powzięcia wiedzy (RTS 2025/301, art. 5)	Wczesne ostrzeżenie: 24 h od wykrycia (art. 23 NIS2; ustawa o KSC)
Drugie zgłoszenie	Sprawozdanie śródokresowe: 72 h od powiadomienia wstępnego	Zgłoszenie incydentu: 72 h od wykrycia
Sprawozdanie końcowe	Miesiąc od sprawozdania śródokresowego	Miesiąc od zgłoszenia incydentu
Adresat w Polsce	KNF, System do Obsługi Incydentów DORA (csirt.knf.gov.pl)	CSIRT sektorowy (przekazuje do CSIRT NASK / GOV / MON), system S46
Kryteria „poważnego” incydentu	Jednolite w UE: RTS (UE) 2024/1772	Definicja z NIS2 doprecyzowana krajowo w ustawie o KSC
Wzory zgłoszeń	ITS (UE) 2025/302	Formularze w systemie S46

Najczęstsze błędy przy zgłaszaniu incydentów wg DORA

Najczęstszy błąd, jaki obserwujemy w projektach, to procedura napisana pod „24 godziny od wykrycia” — pod stary projekt standardu lub pod NIS2. Taka procedura pomija zegar 4-godzinny liczony od klasyfikacji. Dokument wygląda poprawnie, ale w dniu incydentu daje zespołowi fałszywe poczucie zapasu czasu.

• Klasyfikacja bez właściciela. Procedura opisuje kryteria, ale nie wskazuje, kto podejmuje decyzję „poważny / niepoważny” i w jakim czasie. Decyzja krąży między IT, compliance a zarządem, a zegar biegnie.
• Odkładanie klasyfikacji, żeby „mieć pewność”. Powiadomienie wstępne z założenia zawiera dane niepełne; sprawozdanie śródokresowe służy do ich korekty. Czekanie na pełny obraz prowadzi do przekroczenia limitu 24 godzin.
• Brak dostępu do systemu KNF. Konto nieaktywne, jedna osoba z uprawnieniami, hasło nikomu nieznane.
• Własny format zamiast pól z ITS 2025/302. Zespół opisuje incydent po swojemu, a potem w pośpiechu mapuje treść na formularz.
• Pominięcie dostawców ICT. Incydent u zewnętrznego dostawcy usług ICT również może być poważnym incydentem podmiotu finansowego; umowy z dostawcami powinny zobowiązywać ich do szybkiego informowania, spójnie z terminami DORA.
• Zgłoszenie bez informowania klientów. Podmiot składa raport do KNF, ale zapomina o obowiązku poinformowania klientów, gdy incydent wpływa na ich interesy finansowe.
• Procedura nigdy nieprzećwiczona. Brak ćwiczenia tabletop oznacza, że pierwszy test procedury odbywa się na prawdziwym incydencie.

Podmioty kluczowe i ważne spoza sektora finansowego zgłaszają incydenty poważne według ustawy o KSC, a ten tryb opisuje poradnik o tym, który CSIRT przyjmuje zgłoszenie incydentu poważnego.

Najczęstsze pytania o zgłaszanie incydentów wg DORA

Ile czasu ma podmiot finansowy na zgłoszenie incydentu wg DORA?

Powiadomienie wstępne trzeba złożyć w ciągu 4 godzin od sklasyfikowania incydentu jako poważny, ale nie później niż 24 godziny od powzięcia wiedzy o incydencie. Sprawozdanie śródokresowe składa się w 72 godziny od powiadomienia wstępnego, a sprawozdanie końcowe miesiąc od sprawozdania śródokresowego. Terminy wynikają z art. 5 ust. 1 rozporządzenia delegowanego (UE) 2025/301.

Czy każdy incydent ICT trzeba zgłaszać do KNF?

Nie. Do KNF zgłasza się obowiązkowo tylko incydenty związane z ICT sklasyfikowane jako poważne według kryteriów rozporządzenia delegowanego (UE) 2024/1772. Kryteria to liczba dotkniętych klientów, czas trwania i przestój, zasięg geograficzny, utrata danych, wpływ na usługi krytyczne i wpływ ekonomiczny. Pozostałe incydenty podmiot rejestruje i obsługuje wewnętrznie zgodnie z art. 17 DORA. Znaczące cyberzagrożenia można zgłaszać dobrowolnie.

Co się dzieje, gdy termin zgłoszenia wypada w weekend lub święto?

Jeżeli termin powiadomienia wstępnego, sprawozdania śródokresowego lub końcowego wypada w dzień wolny od pracy, zgłoszenie składa się najpóźniej następnego dnia roboczego do godziny 12:00. Tak stanowi art. 5 ust. 4 rozporządzenia delegowanego (UE) 2025/301. Przesunięcie dotyczy terminu złożenia, a nie momentu klasyfikacji ani obowiązku wewnętrznej reakcji na incydent.

Gdzie i na jakim formularzu składa się zgłoszenie w Polsce?

Zgłoszenia składa się do Komisji Nadzoru Finansowego przez System do Obsługi Incydentów DORA (csirt.knf.gov.pl), na wzorach określonych w rozporządzeniu wykonawczym (UE) 2025/302. Ten sam formularz uzupełnia się etapami: część pól wypełnia się w powiadomieniu wstępnym, kolejne w sprawozdaniu śródokresowym i końcowym. Konto i uprawnienia w systemie trzeba założyć przed incydentem.

Czy podmiot finansowy objęty DORA zgłasza incydent także wg ustawy o KSC?

DORA jest dla podmiotów finansowych aktem szczególnym względem dyrektywy NIS2, więc w zakresie zgłaszania incydentów ICT stosuje się DORA, a zgłoszenie trafia do KNF. Podmiot powinien jednak sprawdzić, czy nie prowadzi dodatkowo działalności objętej odrębnie ustawą o krajowym systemie cyberbezpieczeństwa, oraz uwzględnić inne obowiązki, np. wynikające z RODO. Rozgraniczenie obu reżimów opisuje porównanie NIS2 i DORA na blogu Pentestica.

Jak Pentestica może pomóc

Pentestica pomaga podmiotom finansowym sprawdzić, czy procedura zgłaszania incydentów wg DORA działa pod presją czasu, a nie tylko na papierze. W ramach wdrożenia DORA przechodzimy z zespołem przez scenariuszowe przećwiczenie procedury zgłaszania z zegarem 4 h i 24 h, a zdolność wykrywania i reakcji weryfikujemy w red teamingu i purple teamingu. Wykonujemy też testy TLPT zgodne z art. 26–27 DORA, które pokazują, ile czasu mija od pierwszego działania atakującego do klasyfikacji incydentu. W ramach usługi wdrożenia DORA przekładamy kryteria z RTS 2024/1772 i pola z ITS 2025/302 na procedurę, playbook i szablony. Zakres dopasujesz w konfiguratorze zakresu.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) — rozdział III, art. 17–19: proces zarządzania incydentami, klasyfikacja, zgłaszanie poważnych incydentów i dobrowolne zgłaszanie cyberzagrożeń
• Rozporządzenie delegowane Komisji (UE) 2025/301 — regulacyjne standardy techniczne: treść i terminy powiadomienia wstępnego, sprawozdania śródokresowego i końcowego (art. 5)
• Rozporządzenie wykonawcze Komisji (UE) 2025/302 — wykonawcze standardy techniczne: wzory formularzy zgłoszeń poważnych incydentów i cyberzagrożeń
• Rozporządzenie delegowane Komisji (UE) 2024/1772 — kryteria klasyfikacji incydentów związanych z ICT i progi istotności dla poważnych incydentów
• Komisja Nadzoru Finansowego, sekcja DORA — komunikaty i instrukcje dla podmiotów nadzorowanych
• KNF, Systemy DORA — System do Obsługi Incydentów DORA (csirt.knf.gov.pl) do zgłaszania poważnych incydentów ICT i cyberzagrożeń oraz System Sprawozdawczości DORA (crp.knf.gov.pl) do pozostałych sprawozdań; procedura awaryjna e-mail
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) — art. 23: terminy zgłaszania poważnych incydentów (24 h / 72 h / miesiąc) użyte do porównania