Jeden rejestr dostawców na RODO, KSC i DORA.

Trzy regulacje pytają o tych samych dostawców. Każda każe policzyć ich inaczej.

W sierpniu 2026 r. Cloud Security Alliance opublikowała opracowanie o tym, że RODO, NIS 2 i DORA schodzą się w jednym punkcie bez. Tym punktem jest bezpieczeństwo organizacji które zależy od bezpieczeństwa jej dostawców. To prawda. Prawdziwa jest też druga teza raportu, że ankieta wysyłana dostawcy raz do roku przestała wystarczać jako dowód, że ktoś nad tym panuje.

Z raportu wynika jednak zalecenie, żeby zbudować jeden rejestr dostawców i monitorować go na bieżąco. W polskich warunkach to zalecenie jest jednak trochę skomplikowane.

Każda regulacja liczy co innego

Proszę wyobrazić sobie jednego dostawcę: firmę, która udostępnia Państwu system kadrowy w chmurze. W trzech regulacjach wygląda on zupełnie inaczej.

DORA liczy umowy. Do rejestru informacji trafia każde ustalenie umowne dotyczące usług ICT, razem z podwykonawcami dostawcy. Jeden wiersz to jedna umowa. Format narzuca rozporządzenie 2024/2956, sprawozdanie idzie do KNF przez formularz SPR-PF-18, a dostawcę identyfikuje kod LEI.

KSC liczy produkty i firmy, które je wprowadziły na rynek. Ustawa mówi o łańcuchu dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi. Szczególną uwagę każe zwrócić na bezpośredniego dostawcę sprzętu lub oprogramowania, czyli — zgodnie z definicją z ustawy — na producenta, importera albo dystrybutora. To bardzo często nie jest ta sama firma, z którą podpisali Państwo umowę.

RODO liczy czynności przetwarzania. W rejestrze z art. 30 opisują Państwo, co dzieje się z danymi i kto je otrzymuje. W umowie z art. 28 opisują Państwo powierzenie. Odpowiedzialność zostaje po Państwa stronie niezależnie od tego, co zrobi procesor.

Ten sam dostawca systemu kadrowego pojawia się więc trzy razy: jako umowa, jako oprogramowanie konkretnego producenta i jako podmiot przetwarzający dane pracowników. Jeden rejestr da się zbudować, ale musi to być jedna baza danych, z której wyciągają Państwo trzy różne zestawienia. Jedna lista w arkuszu tego nie załatwi.

Banki mają w Polsce dodatkowy kłopot

Znowelizowana ustawa o KSC zwalnia podmioty z sektora bankowości i infrastruktury rynków finansowych z większości obowiązków dotyczących systemu zarządzania bezpieczeństwem informacji. Wśród zwolnień jest też obowiązek dotyczący łańcucha dostaw. W jego miejsce wchodzi DORA. Robi to art. 8i ustawy.

Dwóch rzeczy ustawa jednak nie zdejmuje:

• przepisów o dostawcy wysokiego ryzyka (art. 67a, 67c i 67d),
• polecenia zabezpieczającego (art. 67g–67i).

Wychodzi z tego sytuacja, która potrafi zaskoczyć. Firma spoza sektora bankowego, budując zabezpieczenia łańcucha dostaw, musi brać pod uwagę wyniki postępowania w sprawie uznania kogoś za dostawcę wysokiego ryzyka. Bank takiego obowiązku nie ma, bo odpadł razem z całym przepisem o łańcuchu dostaw. Jeżeli jednak taka decyzja zapadnie, bank i tak będzie musiał się do niej zastosować.

Kłopot jest czysto praktyczny. Rejestr informacji DORA nie ma rubryki na to, czy dostawca jest objęty takim postępowaniem i co trzeba byłoby po nim wycofać. Jeżeli ewidencja dostawców powstała po to, żeby wypełnić formularz KNF, odpowiedź na to pytanie wymaga ręcznego przejrzenia umów.

Nie każdego dostawcę trzeba pilnować tak samo

Raport zaleca zastąpienie okresowych ankiet stałym monitorowaniem. Zgoda, ale nie wobec wszystkich.

Monitorowanie ma sens tam, gdzie po obserwacji można coś zrobić. Wobec dziewiętnastu dostawców, których Europejskie Urzędy Nadzoru uznały 18 listopada 2025 r. za krytycznych, a szerzej wobec największych dostawców chmury, pojedynczy podmiot finansowy nie zmieni ani umowy, ani sposobu działania usługi. Częstsze raporty nic tu nie dadzą. Da co innego: sprawdzona możliwość przejścia do innego dostawcy, przetestowany plan wyjścia i świadoma zgoda na to, że część skutków trzeba będzie przyjąć.

Uwagę warto przenieść niżej: na integratorów, dostawców usług zarządzanych i mniejsze firmy utrzymujące pojedyncze systemy. Tam zwykle wiadomo o dostawcy najmniej, a jednocześnie realnie da się wynegocjować zmianę.

Cztery rzeczy do zrobienia

1. Jedna baza, trzy zestawienia. Dostawcę proszę identyfikować numerem, a nie nazwą z faktury. Kodem LEI tam, gdzie wymaga tego rejestr informacji. Bez tego co roku wracają Państwo do ręcznego uzgadniania trzech ewidencji.
2. Kilka rubryk ponad formularz KNF. Czy dostawca przetwarza dane osobowe. Jakie produkty i czyjej produkcji od niego pochodzą. Czy jest objęty przepisami o dostawcy wysokiego ryzyka. Czy da się go zastąpić i w jakim czasie.
3. Kalendarz zamiast projektu. Rejestr informacji to obowiązek powtarzalny, z datą odcięcia danych i terminem wyznaczanym przez KNF w każdym cyklu. Po stronie KSC: obowiązki z rozdziału 3 do 3 kwietnia 2027 r., pierwszy audyt podmiotu kluczowego do 3 kwietnia 2028 r., a wcześniej wpis do wykazu.
4. Test. Proszę wskazać dowolnego dostawcę i sprawdzić, czy w ciągu jednego dnia da się pokazać umowę, listę produktów, ocenę ryzyka, datę ostatniego przeglądu i plan wyjścia. Jeżeli tak, trzy regulacje są kwestią trzech zestawień z tej samej bazy. Jeżeli nie, kolejny rejestr niczego nie naprawi.

Na koniec

Zbieżność trzech regulacji jest realna i warto ją wykorzystać. Nie oznacza jednak, że trzy sprawozdania da się zastąpić jednym dokumentem. Wspólna jest baza danych, nie formularz.

W Secureside porządkujemy to w jednym przebiegu: spis dostawców, przypisanie do nich obowiązków z RODO, KSC i DORA, jeden model danych i gotowość do rozmowy z organem. Z jasnymi priorytetami i bez zajmowania Państwa zespołowi więcej czasu, niż to konieczne.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA), art. 28–30.
• Rozporządzenie wykonawcze Komisji (UE) 2024/2956 ustanawiające standardowe wzory na potrzeby rejestru informacji.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 28 i art. 30.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. z 2026 r. poz. 20) w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. (Dz.U. z 2026 r. poz. 252): art. 2 pkt 4c, art. 8 ust. 1 pkt 2 lit. e i ust. 2, art. 8i, art. 16, art. 67a–67d, art. 67g–67i.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS 2), art. 4.
• EBA, EIOPA, ESMA, lista wyznaczonych krytycznych zewnętrznych dostawców usług ICT, 18 listopada 2025 r.
• Komunikat KNF w sprawie przekazania rejestrów informacji dotyczących umów z zewnętrznymi dostawcami usług ICT (formularz SPR-PF-18), kwiecień 2025 r.
• CSAI Foundation / Cloud Security Alliance, „GDPR, NIS 2, and DORA Converge on Third-Party Risk”, 22 sierpnia 2026 r.

Grzegorz Bielecki

vCISO, vCIO i certyfikowany ekspert ds. bezpieczeństwa (CISM, CDPSE, CEH, ISO 27001 Lead Auditor). Od ponad 15 lat wspiera głównie sektor finansowy w budowaniu odporności cyfrowej. Architekt wdrożeń DORA, NIS2\UKSC oraz norm ISO 27001 (SZBI) i ISO 22301 (SZCD). Posiada doświadczenie w projektach zgodności IT przy pozyskiwaniu licencji KIP KNF. Członek ISSA Polska.