DORA.
ELi määrus finantssektori digitaalse tegevuskerksuse kohta: kohaldamisala, põhikohustused ja pidev tõendamine.
- Määrus (EL) 2022/2554
- Autor: Derya Altinay
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
DORA on ELi määrus finantssektori digitaalse tegevuskerksuse kohta. Alates 17. jaanuarist 2025 nõuab see hõlmatud finantssektori ettevõtjatelt IKT-riskide, intsidentide, kerksustestide ja teenuseosutajatest sõltuvuste usaldusväärset käsitlemist. Kohustused sõltuvad rollist ja kohaldamisalast; üldine sertifikaat ei asenda nende pidevat täitmist.
DORA määrus reguleerib igapäevast tegevust.
DORA tähendab Digital Operational Resilience Act ja tähistab määrust (EL) 2022/2554 finantssektori digitaalse tegevuskerksuse kohta. Määrust kohaldatakse alates 17. jaanuarist 2025. Selle eesmärk on võimaldada finantsteenuseid jätkata ja taastada ka oluliste IKT-häirete korral. Euroopa Komisjon käsitleb ennetamist, mõju piiramist ja taastamist ühiselt kerksuse tagamise ülesandena.
DORA ulatub küberrünnakute tõrjumisest kaugemale. Finantsteenust võivad häirida ka tehnilised rikked, kasutuskõlbmatud taastamisprotseduurid ja sõltuvused välistest teenustest. Seetõttu on määrav ärivastutajate, tehnoloogiameeskondade ja teenuseosutajate koostöö. Üksnes turvapoliitikate kogum ei näita veel, kas makseprotsess pärast häiret tegelikult taas toimib.
Täiendavad regulatiivsed tehnilised standardid ja rakenduslikud tehnilised standardid täpsustavad määrust. Komisjoni ametlik register loetleb näiteks intsidentidest teavitamise ja alltöövõtu õigusakte. Rakendamine vajab seetõttu vastavaid kohaldatavaid lõplikke reegleid ning pädeva järelevalveasutuse nõudeid. Vana kontrollnimekiri või üldine teavituskalender ei asenda seda kontrolli.
Milliseid finantssektori ettevõtjaid ja teenuseosutajaid DORA puudutab.
DORA hõlmab teatavaid finantssektori üksusi määruse (EL) 2022/2554 artikli 2 järgi. Nende hulka kuuluvad näiteks krediidiasutused, makseasutused, investeerimisühingud ja kindlustusandjad, arvestades seaduses sätestatud erandeid. Nimetus FinTech, idufirma või VKE ei otsusta küsimust. EIOPA selgitab oma lõplikus vastuses DORA 136–3193, et liigitus lähtub üksuse liigist ning ühiselt kasutatavat IKTd ei saa üksnes üksikute tegevuste alusel välja jätta.
Tavalisel IKT kolmandast isikust teenuseosutajal on teistsugune roll kui hõlmatud finantssektori ettevõtjal. Finantssektori kliendid võivad nõuda lepingulisi kohustusi, abi intsidentide korral ja usaldusväärseid tõendeid. Sellest tuleb eristada Euroopa järelevalveasutuste sõnaselget kriitiliseks IKT kolmandast isikust teenuseosutajaks määramist DORA artikli 31 järgi. Üksnes kliendi kriitilise funktsiooni toetamine sellist määramist ei tekita, nagu selgitab ESMA järelevaatamisraamistiku teave.
Proportsionaalsus tähendab kohustuste põhjendatud kujundamist ettevõtte ja tema riskide alusel. See ei ole väikeettevõtete üldine vabastus. DORA artikli 16 lihtsustatud IKT-riskijuhtimisraamistiku sobivust tuleb kontrollida eraldi. Talletage koos roll, võimalikud erandid, pädev asutus ja liigituse põhjused, enne kui määrate rakendamise ulatuse.
DORA nõuded ühendavad kuus töövaldkonda.
DORA nõuded seovad juhtimise, riskijuhtimise ja kontrollitava tegevuse. Järgmine ülevaade koondab määruse põhivaldkonnad; küberohuteabe vahetamine on vabatahtlik. ESMA kirjeldab neid teemasid ning viitab täpsustamiseks vastavatele tehnilistele standarditele.
Juhtimine ja vastutus.
Juhtorgan vastutab DORA artikli 5 järgi IKT-riskijuhtimise eest. Selle hulka kuulub raamistik, kus otsused, vastutusalad ja vajalikud ressursid sobivad kokku. Väliste teenuste tellimine ei kõrvalda finantssektori ettevõtja vastutust. Juhtkonnale peab jääma nähtavaks, millised olulised riskid esinevad ja millised otsused on veel tegemata.
IKT-riskijuhtimine ja tegevuse jätkumine.
DORA artiklid 5–16 käsitlevad IKT-riskijuhtimisraamistikku, sealhulgas lihtsustatud raamistiku erireegleid. Tuvastamine, kaitse, avastamine, reageerimine, taastamine ja õppimine moodustavad terviku. Lähtekohaks on asjaomane finantsfunktsioon koos süsteemide ja sõltuvustega. Dokumenteeritud taastamiseesmärk vajab vastavat tehnilist ning korralduslikku suutlikkust.
Käsitlege intsidente ja teavitage neist.
DORA artiklid 17–23 reguleerivad IKTga seotud intsidente ja neist teavitamist. Vastutajad peavad hindama mõju, määrama asjakohase liigituse ning korraldama nõutud teavitused. Üksikasjad tulenevad lisaks kohaldatavatest tehnilistest standarditest. Seetõttu tuleb tarnija tõrge esmalt sisuliselt liigitada, mitte võtta iga reeglistiku jaoks automaatselt üle sama teavitusstaatust.
Testige digitaalset tegevuskerksust.
DORA artiklid 24–27 käsitlevad kerksuse testimist. Eri testiliigid vastavad eri küsimustele: kriisiõppus kontrollib otsuseid, taastamistest aga tehnilisi eeldusi. Ohuteabel põhinevad läbistustestid ehk TLPT puudutavad valitud finantssektori ettevõtjaid. Need ei ole üldine nõue igale finantsteenuse osutajale või kõigile tema tarnijatele.
Juhtige IKT kolmandate isikute riske.
DORA artiklid 28–30 ühendavad teenuseosutajate riskid, lepingunõuded ja finantssektori ettevõtja enda vastutuse. IKT lepinguliste kokkulepete teaberegistrit tuleb eristada suvalisest tarnijanimekirjast. Erilist tähelepanu vajavad kriitiliste või oluliste funktsioonide toetamine, sõltuvused, lepinguline koostöö ning toimivad väljumisvõimalused. Kriitiliste teenuseosutajate eraldi järelevaatamist käsitlevad DORA artikkel 31 ja järgnevad artiklid.
Vahetage ohuteavet sihipäraselt.
DORA artikkel 45 võimaldab sõlmida küberohuteabe vahetamise kokkuleppeid. Osalemine on vabatahtlik ning vajab selgeid konfidentsiaalsus- ja kasutusreegleid. Teabevahetus täiendab enda turbekäitlust; see ei asenda intsidenti hindamist ega nõutud teadet pädevale asutusele.
DORA rakendamine: rollist kontrollitud suutlikkuseni.
Selgitage roll ja pädevus.
Dokumenteerige asjaomase üksuse jaoks kohaldamisala, erandid, järelevalvesuhe ja vastutavad isikud, et edasine töö põhineks põhjendatud liigitusel.
Kaardistage finantsfunktsioonid ja sõltuvused.
Seostage olulised funktsioonid tegelikult kasutatavate süsteemide, teabe ja väliste teenustega, et tuvastada võimalikud häiretagajärjed ning ühised sõltuvused.
Hinnake riske ja kokkuleppeid.
Kontrollige koos valdkonna, tehnoloogia ja hangete esindajatega, kas meetmed, teenuseosutajate kohustused ning lepingud toetavad vajalikku tegevuse jätkumist ja kus on vaja juhtkonna otsuseid.
Harjutage intsidentide käsitlemist ja taastamist.
Harjutage sobivate stsenaariumidega avastamist, hindamist, eskaleerimist ja taastamist, sealhulgas vajalikku koostööd teenuseosutajatega, ning dokumenteerige tulemused.
Hoidke tõendid ja muudatused ajakohased.
Kontrollige pärast olulisi muudatusi ja uute teadmiste saamist, kas vastutusalad, registrid, protseduurid ja testid sobivad endiselt kokku ning tuvastatud nõrkused on tegelikult kõrvaldatud.
DORA tõendid tekivad igapäevase tegevuse käigus.
DORA täitmist tõendatakse jälgitavate otsuste ja kontrollitava rakendamisega. Vastavalt kohaldatavale kohustusele kuuluvad siia riskihinnangud, tegevuse jätkumise korraldus, intsidentide kirjed, testitulemused ja IKT-kokkulepete dokumendid. Tõend peaks näitama, millist üksust ning funktsiooni see puudutab ja mida tegelikult kontrolliti. Lahtiste probleemidega testiprotokoll ei kinnita, et need probleemid on juba kõrvaldatud.
Pädevad asutused teevad finantssektori ettevõtjate üle järelevalvet õigusraamistiku piires, muu hulgas DORA artikli 46 ja järgnevate artiklite järgi. Sellest erineb sõnaselgelt määratud kriitiliste IKT kolmandast isikust teenuseosutajate Euroopa järelevaatamine artiklite 31–44 järgi. ESMA kirjeldab seda finantssektori ettevõtjate enda vastutuse ja olemasoleva järelevalve täiendusena. Üldine ühtse kehtivusajaga DORA sertifikaat ei asenda neid suhteid ega kohustusi.
DORA ja teised raamistikud.
DORA on hõlmatud finantssektori ettevõtjate jaoks asjakohastes valdkondades NIS2 suhtes valdkondlik liidu õigusakt; sellest ei tulene iga finantsgrupi ega tema tarneahela üldist vabastust kõigist BSIG kohustustest. ISO 27001 võib ISMSi korralduslikult struktureerida, kuid ei asenda DORA nõudeid ja tõendeid. IKÜMi andmekaitsekohustusi tuleb hinnata eraldi, eriti kui häire puudutab ühtlasi isikuandmeid.
Secanis.
Secani sisaldab enda koostatud DORA kataloogi, mis põhineb määrusel (EL) 2022/2554 ja valitud täiendavatel õigusaktidel. Profiiliandmed eristavad muu hulgas kinnitatud finantssektori ettevõtjaid ning täielikku ja lihtsustatud raamistikku. Need andmed toetavad dokumenteeritud käsitlemist; need ei anna automaatset õiguslikku liigitust. Kataloog ei ole ametlik tõlge ega DORA-vastavuse kinnitus.
Alustage ühest üksusest ja funktsioonist.
Valige esmalt asjakohane juriidiline isik ja konkreetne finantsfunktsioon. Koondage selle liigitus, vastutusalad, süsteemisõltuvused, teenusekokkulepped ja viimased testitulemused. Seejärel kontrollige vastutavate isikutega, millised väited on juba tõendatud ning millist otsust on järgmisena vaja. Põhjalik blogijuhend selgitab seda alustamisviisi lähemalt.
Allikad.
- Määrus (EL) 2022/2554 finantssektori digitaalse tegevuskerksuse kohta
- Euroopa Komisjon: küberkerksus
- Euroopa Komisjon: DORA delegeeritud õigusaktid ja rakendusaktid
- ESMA: DORA, põhivaldkonnad ja tehnilised standardid
- ESMA: kriitiliste IKT kolmandast isikust teenuseosutajate järelevaatamine
- EIOPA: DORA küsimused ja vastused 136–3193 artikli 2 kohta
- Komisjoni suunised NIS2 artikli 4 kohta, 2023/C 328/02
Korduma kippuvad küsimused.
Ei. Määravad on üksus, selle seaduslik kategooria ja võimalikud erandid DORA artikli 2 järgi. Turunimetus või ettevõtte väiksus üksi ei põhjenda kohaldatavust ega vabastust.
Ei. Kriitiliseks IKT kolmandast isikust teenuseosutajaks määramine toimub Euroopa järelevaatamisraamistikus DORA artikli 31 järgi. Kliendisuhe või kliendi kriitilise funktsiooni toetamine üksi ei asenda seda määramist.
Ei. DORA artikli 26 ohuteabel põhinevad läbistustestid puudutavad valitud finantssektori ettevõtjaid. Teiste kohaldatavate kerksustestimise nõuete täitmist tuleb kontrollida eraldi.
Ei. ISO 27001 sertifikaat kinnitab ISMSi märgitud käsitlusalas ega asenda DORA seadusjärgseid kohustusi. Nende puhul jäävad määravaks kohaldatavad nõuded, tegelik rakendamine ja seda kinnitavad tõendid.
Ühendage vastutus ja tõendid.
Vaadake, kuidas Secani toetab regulatiivsete nõuete käsitlemist.
See leht selgitab DORAt üldiselt ega asenda juhtumipõhist õiguslikku hindamist. Määravad on kehtivad õigusaktid ja pädeva järelevalveasutuse nõuded.