DORA.
A pénzügyi szektor digitális működési rezilienciájáról szóló uniós rendelet: hatály, fő kötelezettségek és folyamatos igazolás.
- (EU) 2022/2554 rendelet
- Szerző: Derya Altinay
- Állapot: 2026. 10. 22.
- Olvasási idő: 8 perc
Rövid válasz.
A DORA a pénzügyi szektor digitális működési rezilienciájáról szóló uniós rendelet. 2025. január 17. óta megalapozott eljárást követel meg az érintett pénzügyi szervezetektől az IKT-kockázatok, incidensek, rezilienciatesztek és szolgáltatói függőségek kezelésében. A kötelezettségek a szereptől és a hatálytól függenek; egy általános tanúsítvány nem helyettesíti azok folyamatos teljesítését.
A DORA rendelet a folyamatos működést szabályozza.
A DORA a Digital Operational Resilience Act rövidítése, és a pénzügyi szektor digitális működési rezilienciájáról szóló (EU) 2022/2554 rendeletet jelöli. A rendelet 2025. január 17. óta alkalmazandó. Célja, hogy jelentős IKT-zavarok esetén is fenntarthatók és helyreállíthatók legyenek a pénzügyi szolgáltatások. Az Európai Bizottság a megelőzést, a hatások korlátozását és a helyreállítást együttes rezilienciafeladatként kezeli.
A DORA túlmutat a kibertámadások elhárításán. A technikai kiesések, a használhatatlan helyreállítási eljárások és a külső szolgáltatásoktól való függőségek is ronthatják a pénzügyi szolgáltatást. Ezért az üzleti felelősök, a technológia és a szolgáltatók együttműködése a döntő. A biztonsági szabályzatok gyűjteménye önmagában még nem mutatja meg, hogy egy fizetési folyamat ténylegesen újra működik-e egy zavar után.
Kiegészítő szabályozástechnikai és végrehajtás-technikai standardok részletezik a rendeletet. A Bizottság hivatalos nyilvántartása például az incidensbejelentésekkel és az alvállalkozásba adással kapcsolatos jogi aktusokat tartalmazza. A megvalósításhoz ezért a mindenkor alkalmazandó végleges szabályokra és az illetékes felügyelet előírásaira van szükség. Egy régi ellenőrzőlista vagy általános bejelentési naptár nem helyettesíti ezt a vizsgálatot.
Mely pénzügyi szervezeteket és szolgáltatókat érinti a DORA?
A DORA a pénzügyi szektor bizonyos jogalanyaira terjed ki az (EU) 2022/2554 rendelet 2. cikke szerint. Ide tartoznak például a hitelintézetek, pénzforgalmi intézmények, befektetési vállalkozások és biztosítók, a jogszabályi kivételek figyelembevételével. A FinTech, startup vagy kkv megnevezés nem dönti el a kérdést. Az EIOPA a DORA 136–3193 végleges válaszában kifejti, hogy a besorolás a jogalany típusából indul ki, és a közösen használt IKT nem zárható ki pusztán egyes tevékenységek alapján.
Egy szokásos harmadik fél IKT-szolgáltató szerepe eltér egy érintett pénzügyi szervezetétől. A pénzügyi ügyfelek szerződéses vállalásokat, incidensek esetén támogatást és megalapozott bizonyítékokat kérhetnek. Ettől megkülönböztetendő a kritikus harmadik fél IKT-szolgáltatóként történő kifejezett kijelölés az európai felügyeleti hatóságok által, a DORA 31. cikke szerint. Önmagában egy kritikus ügyfélfunkció támogatása nem eredményez ilyen kijelölést, ahogyan azt az ESMA a felvigyázási keretről szóló tájékoztatása kifejti.
Az arányosság a kötelezettségek vállalathoz és kockázataihoz igazodó, indokolt kialakítását jelenti. Nem jelent általános mentességet a kisvállalatoknak. A DORA 16. cikke szerinti egyszerűsített IKT-kockázatkezelési keretet külön kell vizsgálni. A megvalósítás terjedelmének meghatározása előtt együtt rögzítse a szerepet, a lehetséges kivételeket, az illetékes hatóságot és a besorolás indokait.
A DORA követelményei hat munkaterületet kapcsolnak össze.
A DORA követelményei összekötik a vezetést, a kockázatkezelést és az ellenőrizhető működést. Az alábbi áttekintés a rendelet fő területeit foglalja össze; a kiberfenyegetési információk cseréje önkéntes. Az ESMA ismerteti ezeket a témákat, részletezésükhöz pedig a megfelelő technikai standardokra hivatkozik.
Vezetés és felelősség.
A DORA 5. cikke szerint a vezető testület felel az IKT-kockázatkezelésért. Ehhez olyan keret tartozik, amelyben a döntések, a felelősségi körök és a szükséges erőforrások összhangban vannak. Külső szolgáltatások megbízása nem szünteti meg a pénzügyi szervezet felelősségét. A vezetésnek látnia kell, milyen lényeges kockázatok állnak fenn, és mely döntések vannak még hátra.
IKT-kockázatkezelés és folytonosság.
A DORA 5–16. cikke az IKT-kockázatkezelési kerettel foglalkozik, beleértve az egyszerűsített keret különös szabályait. Az azonosítás, védelem, észlelés, reagálás, helyreállítás és tanulás összetartozik. A viszonyítási pont az érintett pénzügyi funkció a rendszereivel és függőségeivel együtt. Egy dokumentált helyreállítási célhoz megfelelő technikai és szervezeti képességek szükségesek.
Incidensek kezelése és bejelentése.
A DORA 17–23. cikke az IKT-vonatkozású incidenseket és bejelentésüket szabályozza. A felelősöknek értékelniük kell a hatásokat, el kell végezniük a releváns besorolást és meg kell szervezniük a szükséges bejelentéseket. A részletek az alkalmazandó technikai standardokból is következnek. Egy beszállítói kiesést ezért először szakmailag kell besorolni, ahelyett hogy automatikusan ugyanazt a bejelentési státuszt vennék át minden szabályrendszerhez.
A digitális működési reziliencia tesztelése.
A DORA 24–27. cikke a rezilienciatesztekkel foglalkozik. A különböző teszttípusok más kérdésekre válaszolnak: egy válsággyakorlat a döntéseket, egy helyreállítási teszt a technikai feltételezéseket vizsgálja. A fenyegetésvezérelt penetrációs tesztelés, röviden TLPT, kiválasztott pénzügyi szervezeteket érint. Nem általános követelmény minden pénzügyi szolgáltatóval vagy minden beszállítójával szemben.
A harmadik felekkel kapcsolatos IKT-kockázatok irányítása.
A DORA 28–30. cikke a szolgáltatói kockázatokat, a szerződéses követelményeket és a pénzügyi szervezet saját felelősségét kapcsolja össze. Az IKT-szerződéses megállapodások információs nyilvántartása különbözik egy tetszőleges beszállítói listától. Külön figyelmet igényel a kritikus vagy fontos funkciók támogatása, a függőségek, a szerződéses közreműködés és az életképes kilépési lehetőségek. A kritikus szolgáltatók külön felvigyázásával a DORA 31. és azt követő cikkei foglalkoznak.
Fenyegetési információk célzott cseréje.
A DORA 45. cikke lehetővé teszi a kiberfenyegetési információk cseréjére vonatkozó megállapodásokat. A részvétel önkéntes, és egyértelmű titoktartási és felhasználási szabályokat igényel. Az információcsere kiegészíti a saját biztonsági működést; sem az incidens értékelését, sem az illetékes hatóságnak szóló szükséges bejelentést nem helyettesíti.
A DORA megvalósítása: a szereptől az ellenőrzött képességig.
A szerep és az illetékesség tisztázása.
Dokumentálja a releváns jogalanyra vonatkozó hatályt, kivételeket, felügyeleti kapcsolatot és felelős személyeket, hogy a további munka indokolt besorolásra épüljön.
A pénzügyi funkciók és függőségek felmérése.
Kapcsolja össze a fontos funkciókat a ténylegesen használt rendszerekkel, információkkal és külső szolgáltatásokkal, hogy felismerje a zavarok lehetséges következményeit és a közös függőségeket.
A kockázatok és megállapodások értékelése.
A szakterülettel, a technológiai területtel és a beszerzéssel együtt vizsgálja meg, támogatják-e az intézkedések, a szolgáltatói vállalások és a szerződések a szükséges folytonosságot, és hol kellenek vezetői döntések.
Az incidensek és a helyreállítás gyakorlása.
Megfelelő forgatókönyvekkel gyakorolja az észlelést, értékelést, eszkalációt és helyreállítást, a szolgáltatókkal szükséges együttműködést is beleértve, és dokumentálja az eredményeket.
A bizonyítékok és változások folyamatos aktualizálása.
Lényeges változások és új ismeretek után ellenőrizze, hogy a felelősségi körök, nyilvántartások, eljárások és tesztek továbbra is összhangban vannak-e, és a feltárt gyengeségeket valóban megszüntették-e.
A DORA-bizonyítékok a folyamatos működésben keletkeznek.
A DORA teljesítését követhető döntések és ellenőrizhető megvalósítás igazolja. Az alkalmazandó kötelezettségtől függően ide tartoznak a kockázatértékelések, folytonossági szabályok, incidensfeljegyzések, teszteredmények és az IKT-megállapodások iratai. A bizonyítékból ki kell derülnie, mely jogalanyra és funkcióra vonatkozik, és mit vizsgáltak ténylegesen. A nyitott problémákat tartalmazó tesztjegyzőkönyv nem igazolja, hogy ezeket már megoldották.
Az illetékes hatóságok a jogszabályi keretek között felügyelik a pénzügyi szervezeteket, többek között a DORA 46. és azt követő cikkei alapján. Ettől eltér a kifejezetten kijelölt kritikus harmadik fél IKT-szolgáltatók európai felvigyázása a 31–44. cikk szerint. Az ESMA ezt a pénzügyi szervezetek saját felelősségét és meglévő felügyeletét kiegészítő tevékenységként írja le. Egy általános, egységes érvényességi idejű DORA-tanúsítvány nem helyettesíti ezeket a kapcsolatokat és kötelezettségeket.
További olvasnivalók a blogon.
- DORA-felkészültség pénzügyi szervezeteknek és IKT-szolgáltatóknakRészletes működési útmutató szerepekkel, függőségekkel, tesztekkel és egy pénzforgalmi példával.
- Harmadik felek kockázatai a GDPR, NIS2 és DORA alattA beszállítókkal és szolgáltatási kapcsolatokkal kapcsolatos különböző döntések összehangolása.
DORA és más keretrendszerek.
Az érintett pénzügyi szervezeteknél a DORA a releváns területeken ágazatspecifikus uniós jogi aktus a NIS2-höz viszonyítva; ebből nem következik minden pénzügyi csoport vagy ellátási lánca általános mentessége az összes BSIG-kötelezettség alól. Az ISO 27001 szervezetileg rendszerezheti az ISMS-t, de nem helyettesíti a DORA-követelményeket és bizonyítékaikat. A GDPR szerinti adatvédelmi kötelezettségeket külön kell értékelni, különösen ha egy zavar személyes adatokat is érint.
A Secaniban.
A Secani saját szerkesztésű DORA-katalógust tartalmaz az (EU) 2022/2554 rendelet és kiválasztott kiegészítő jogi aktusok alapján. A profiladatok többek között megkülönböztetik a megerősített pénzügyi szervezeteket, valamint a teljes és az egyszerűsített keretet. Ezek az adatok támogatják a dokumentált feldolgozást; nem végeznek automatikus jogi besorolást. A katalógus nem hivatalos fordítás, és nem igazolja a DORA-megfelelőséget.
Induljon egy jogalannyal és egy funkcióval.
Először válasszon egy releváns jogalanyt és egy konkrét pénzügyi funkciót. Gyűjtse össze a besorolását, felelősségi köreit, rendszerfüggőségeit, szolgáltatási megállapodásait és a legutóbbi teszteredményeket. Ezután az illetékes személyekkel vizsgálja meg, mely állítások bizonyítottak már, és milyen döntés szükséges következőként. A részletes blogútmutató tovább bontja ezt a kezdést.
Források.
- (EU) 2022/2554 rendelet a pénzügyi szektor digitális működési rezilienciájáról
- Európai Bizottság: kiberreziliencia
- Európai Bizottság: a DORA-hoz kapcsolódó felhatalmazáson alapuló és végrehajtási jogi aktusok
- ESMA: DORA, fő területek és technikai standardok
- ESMA: a kritikus harmadik fél IKT-szolgáltatók felvigyázása
- EIOPA: DORA Q&A 136–3193 a 2. cikkhez
- Bizottsági iránymutatás a NIS2 4. cikkéhez, 2023/C 328/02
Gyakori kérdések.
Nem. A jogalany, annak jogszabályi kategóriája és a DORA 2. cikke szerinti lehetséges kivételek a döntők. Egy piaci megnevezés vagy a kis vállalatméret önmagában sem az alkalmazhatóságot, sem a mentességet nem alapozza meg.
Nem. A kritikus harmadik fél IKT-szolgáltatóként való kijelölés a DORA 31. cikke szerinti európai felvigyázási keretben történik. Egy ügyfélkapcsolat vagy egy kritikus ügyfélfunkció támogatása önmagában nem helyettesíti ezt a kijelölést.
Nem. A DORA 26. cikke szerinti fenyegetésvezérelt penetrációs tesztelés kiválasztott pénzügyi szervezetekre vonatkozik. A rezilienciatesztek más alkalmazandó követelményeit külön kell vizsgálni.
Nem. Az ISO 27001 tanúsítvány a megjelölt alkalmazási területen igazol egy ISMS-t, és nem helyettesíti a DORA jogszabályi kötelezettségeit. Ezeknél továbbra is az alkalmazandó követelmények, a tényleges megvalósítás és annak bizonyítékai az irányadók.
Kapcsolja össze a felelősséget és a bizonyítékokat.
Nézze meg, hogyan támogatja a Secani a szabályozói követelmények feldolgozását.
Ez az oldal általánosságban ismerteti a DORA-t, és nem helyettesíti az esetre szabott jogi vizsgálatot. A hatályos jogi aktusok és az illetékes felügyelet előírásai az irányadók.