Kaj je DORA? - DORAline

Kaj je DORA?
Digital Operational Resilience Act

Uredba DORA postavlja jasne in zavezujoče standarde za vse udeležence na finančnem trgu, med drugim za banke, investicijska podjetja, zavarovalnice, posrednike, ponudnike kripto-sredstev, izvajalce storitev obdelave podatkov in ponudnike oblačnih rešitev.
DORA prinaša celovit okvir za obvladovanje tveganj na področju IKT in krepitev operativne odpornosti kibernetske varnosti. Posebna pozornost je namenjena tudi upravljanju odnosov s tretjimi izvajalci, kar zagotavlja stabilno in nemoteno izvajanje storitev v celotni finančni verigi.
Uredba uvaja enoten evropski nadzor nad ključnimi ponudniki IKT-storitev, pri čemer imajo pomembno vlogo evropski nadzorni organi (ESA).

DORA je začela veljati v začetku leta 2023. Finančni subjekti so imeli dveletno prehodno obdobje, da svoje poslovanje uskladijo z zahtevami uredbe, pri čemer je bil rok za popolno skladnost začetek leta 2025.
2023: Uredba DORA je začela veljati v prvem četrtletju 2023. Evropski nadzorni organi (ESA) so v nadaljevanju pripravili prve regulativne in izvedbene tehnične standarde (RTS in ITS).
2024: Evropski nadzorni organi (ESA) pripravijo in objavijo vrsto regulativnih ter izvedbenih tehničnih standardov, ki finančnim subjektom ponujajo jasne smernice za izvajanje zahtev uredbe DORA.
2025: Dve leti po začetku veljavnosti uredbe postanejo njene določbe obvezne. Finančni subjekti morajo tako zagotoviti popolno skladnost z DORA najkasneje do začetka leta 2025.

Finančni subjekti morajo zagotoviti celovit okvir, ki vključuje:

vzpostavitev in redno vzdrževanje odpornih IKT-sistemov ter orodij za zmanjšanje izpostavljenosti tveganjem,
prepoznavanje, razvrščanje in dokumentiranje ključnih funkcij ter sredstev,
stalno spremljanje vseh virov IKT-tveganj ter uvedbo zaščitnih in preventivnih ukrepov,
mehanizme za pravočasno zaznavo nenavadnih dejavnosti in odzivanje nanje,
oblikovanje politike neprekinjenega poslovanja ter strategije obnovitve po izrednih dogodkih, skupaj z rednim testiranjem,
uvedbo jasnega postopka za beleženje in razvrščanje IKT-incidentov ter poročanje o njih (začetno, vmesno in končno),
zagotavljanje usklajenega poročanja z uporabo standardiziranih predlog, ki so jih pripravili evropski nadzorni organi (ESA), ter izvajanje programov usposabljanja in ozaveščanja zaposlenih.

Kaj zahteva uredba od vseh subjektov?

na letni ravni izvedejo osnovno testiranje IKT-orodij in sistemov,
sproti prepoznavajo, zmanjšujejo ter odpravljajo morebitne slabosti, pomanjkljivosti ali vrzeli z ustreznimi protiukrepi,
redno izvajajo penetracijsko testiranje na podlagi analize groženj (TLPT) za IKT-storitve, ki vplivajo na kritične funkcije,
-tretji ponudniki IKT-storitev so pri tem dolžni v celoti sodelovati.

Finančni subjekti so dolžni:

zagotoviti ustrezno spremljanje tveganj, ki izhajajo iz uporabe storitev tretjih ponudnikov IKT,
voditi in poročati o celovitem registru zunanjih dejavnosti, vključno s storitvami znotraj skupine, ter sporočati vse spremembe, kadar gre za zunanje izvajanje kritičnih storitev s strani tretjih ponudnikov IKT,
upoštevati tveganje koncentracije na področju IKT ter tveganja, povezana z dejavnostmi zunanjega izvajanja,
zagotoviti uskladitev ključnih elementov storitev in pogodbenih odnosov s tretjimi ponudniki IKT, tako da je omogočen popoln nadzor,
poskrbeti, da pogodbe s tretjimi ponudniki IKT vsebujejo vse bistvene določbe o spremljanju in dostopnosti, vključno z opisi ravni storitev ter navedbo lokacij, kjer se obdelujejo podatki,
upoštevati Okvir nadzora Unije, ki velja za ključne tretje ponudnike storitev IKT in lahko izda priporočila za ublažitev ugotovljenih tveganj; v primeru neupoštevanja teh priporočil s strani ponudnikov morajo finančni subjekti ustrezno obvladovati povezana tveganja.

Uredba omogoča finančnim subjektom, da med seboj sklenejo dogovore o izmenjavi informacij in obveščevalnih podatkov o kibernetskih grožnjah.
Nadzorni organ finančnim subjektom zagotavlja ustrezne, anonimizirane informacije ter obveščevalne podatke o kibernetskih grožnjah, zato morajo ti vzpostaviti mehanizme za njihov pregled in izvajanje ustreznih ukrepov.