DORA.

DORA означава Digital Operational Resilience Act и обозначава Регламент (ЕС) 2022/2554 относно цифровата оперативна устойчивост на финансовия сектор. Регламентът се прилага от 17 януари 2025 г. Целта му е финансовите услуги да могат да продължат и да бъдат възстановени дори при значителни ИКТ смущения. Европейската комисия разглежда превенцията, ограничаването на последиците и възстановяването съвместно като задача на устойчивостта.

DORA надхвърля защитата срещу кибератаки. Технически откази, неизползваеми процедури за възстановяване и зависимости от външни услуги също могат да засегнат финансовата услуга. Затова решаващо е взаимодействието между отговорниците за дейността, технологиите и доставчиците. Набор от политики за сигурност сам по себе си още не показва дали платежен процес действително работи отново след смущение.

Допълнителни регулаторни технически стандарти и технически стандарти за изпълнение конкретизират регламента. Официалният регистър на Комисията включва например актове за уведомяване за инциденти и подизпълнение. Следователно прилагането изисква съответните приложими окончателни правила и указанията на компетентния надзорен орган. Стар контролен списък или общ календар за уведомяване не замества тази проверка.

DORA обхваща определени правни субекти от финансовия сектор съгласно член 2 от Регламент (ЕС) 2022/2554. Те включват например кредитни институции, платежни институции, инвестиционни посредници и застрахователни предприятия, при отчитане на законовите изключения. Наименования като FinTech, стартъп или МСП не решават въпроса. В окончателния си отговор DORA 136–3193 EIOPA обяснява, че класификацията се основава на вида правен субект и че споделени ИКТ не могат да бъдат изключени само въз основа на отделни дейности.

Обикновеният трети доставчик на ИКТ услуги има различна роля от обхванат финансов субект. Финансовите клиенти могат да изискват договорни ангажименти, съдействие при инциденти и надеждни доказателства. От това се различава изричното определяне като критичен трети доставчик на ИКТ услуги от европейските надзорни органи по член 31 DORA. Самото подпомагане на критична клиентска функция не води до такова определяне, както пояснява информацията на ESMA за надзорната рамка.

Пропорционалността означава обосновано определяне на задълженията според предприятието и неговите рискове. Тя не е общо освобождаване за малки предприятия. Опростената рамка за управление на ИКТ риска по член 16 DORA трябва да се провери отделно. Документирайте заедно ролята, възможните изключения, компетентния орган и основанията за класификацията, преди да определите обема на прилагането.

DORA се доказва чрез проследими решения и проверимо прилагане. Според приложимото задължение това включва оценки на риска, правила за непрекъснатост, записи за инциденти, резултати от тестове и документи за договореностите за ИКТ. Доказателството трябва да показва за кой правен субект и коя функция се отнася и какво действително е проверено. Протокол от тест с нерешени проблеми не потвърждава, че тези проблеми вече са отстранени.

Компетентните органи упражняват надзор върху финансовите субекти в законовата рамка, включително по член 46 и следващите DORA. От това се различава европейският надзор върху изрично определени критични трети доставчици на ИКТ услуги по членове 31–44. ESMA описва този надзор като допълнение към собствената отговорност и съществуващия надзор върху финансовите субекти. Общ сертификат DORA с единен срок не замества тези отношения и задължения.

За обхванатите финансови субекти DORA е секторен правен акт на Съюза в относимите области спрямо NIS2; от това не следва общо освобождаване на всяка финансова група или нейната верига за доставки от всички задължения по BSIG. ISO 27001 може организационно да структурира СУИС, но не замества изискванията на DORA и доказателствата за тях. Задълженията за защита на данните по ОРЗД се оценяват отделно, особено когато смущение засяга и лични данни.

Secani съдържа редакционен каталог за DORA на основата на Регламент (ЕС) 2022/2554 с избрани допълнителни правни актове. Данните в профила разграничават наред с друго потвърдени финансови субекти и пълната и опростената рамка. Тези данни подпомагат документираната работа; те не извършват автоматична правна класификация. Каталогът не е официален превод или потвърждение за съответствие с DORA.

Първо изберете относимо юридическо лице и конкретна финансова функция. Съберете класификацията, отговорностите, системните зависимости, договорите за услуги и последните резултати от тестове. След това проверете с отговорните лица кои твърдения вече са доказани и кое решение е необходимо следващо. Подробното ръководство в блога развива тази отправна точка.