DORA.
ES reglamentas dėl skaitmeninės veiklos atsparumo finansų sektoriuje: taikymo sritis, pagrindinės pareigos ir nuolatiniai įrodymai.
- Reglamentas (ES) 2022/2554
- Autorius: Derya Altinay
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
DORA yra ES reglamentas dėl skaitmeninės veiklos atsparumo finansų sektoriuje. Nuo 2025 m. sausio 17 d. jis reikalauja, kad finansų sektoriaus subjektai, kuriems jis taikomas, patikimai valdytų IRT riziką, incidentus, atsparumo testavimą ir priklausomybes nuo paslaugų teikėjų. Pareigos priklauso nuo vaidmens ir taikymo srities; bendras sertifikatas nepakeičia nuolatinio jų vykdymo.
DORA reglamentas reguliuoja kasdienę veiklą.
DORA reiškia Digital Operational Resilience Act ir yra Reglamentas (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje. Reglamentas taikomas nuo 2025 m. sausio 17 d. Jo tikslas – užtikrinti galimybę tęsti ir atkurti finansines paslaugas net esant dideliems IRT sutrikimams. Europos Komisija prevenciją, ribotą poveikį ir atkūrimą bendrai priskiria atsparumo užduočiai.
DORA apima daugiau nei apsaugą nuo kibernetinių atakų. Techniniai gedimai, neveiksmingos atkūrimo procedūros ir priklausomybės nuo išorinių paslaugų taip pat gali pakenkti finansinei paslaugai. Todėl svarbu, kaip bendradarbiauja už verslą atsakingi asmenys, technologijų specialistai ir paslaugų teikėjai. Vien saugumo politikų rinkinys dar neparodo, ar mokėjimo procesas po sutrikimo iš tikrųjų vėl veiks.
Reglamentą detalizuoja papildomi techniniai reguliavimo ir įgyvendinimo standartai. Oficialiame Komisijos registre, pavyzdžiui, pateikiami teisės aktai dėl pranešimų apie incidentus ir subrangos. Todėl įgyvendinimui reikia atitinkamų taikomų galutinių taisyklių ir kompetentingos priežiūros institucijos reikalavimų. Sena patikros lentelė ar bendras pranešimų kalendorius šio įvertinimo nepakeičia.
Kuriems finansų sektoriaus subjektams ir teikėjams taikoma DORA.
DORA taikoma tam tikriems finansų sektoriaus juridiniams subjektams pagal Reglamento (ES) 2022/2554 2 straipsnį. Pavyzdžiui, kredito įstaigoms, mokėjimo įstaigoms, investicinėms įmonėms ir draudimo įmonėms, kiekvienu atveju atsižvelgiant į įstatymo išimtis. Pavadinimas „FinTech“, „startuolis“ ar „MVĮ“ šio klausimo neišsprendžia. Galutiniame atsakyme DORA 136–3193 EIOPA paaiškina, kad klasifikavimas grindžiamas subjekto tipu, o bendrai naudojamų IRT negalima neįtraukti remiantis vien atskiromis veiklomis.
Įprasto trečiosios šalies IRT paslaugų teikėjo vaidmuo skiriasi nuo finansų sektoriaus subjekto, kuriam taikomas reglamentas. Finansų sektoriaus klientai gali reikalauti sutartinių įsipareigojimų, pagalbos incidentų metu ir patikimų įrodymų. Tai reikia atskirti nuo Europos priežiūros institucijų aiškaus priskyrimo ypatingos svarbos trečiųjų šalių IRT paslaugų teikėjams pagal DORA 31 straipsnį. Vien pagalba vykdant kritinę kliento funkciją tokio priskyrimo nesukuria, kaip paaiškina ESMA informacija apie priežiūros sistemą.
Proporcingumas reiškia pagrįstą pareigų įgyvendinimą pagal įmonę ir jos riziką. Tai nėra bendras mažų įmonių atleidimas. Supaprastintą IRT rizikos valdymo sistemą pagal DORA 16 straipsnį reikia vertinti atskirai. Prieš nustatydami įgyvendinimo mastą kartu užfiksuokite vaidmenį, galimas išimtis, kompetentingą instituciją ir savo klasifikavimo pagrindimą.
DORA reikalavimai sujungia šešias darbo sritis.
DORA reikalavimai susieja vadovavimą, rizikos valdymą ir patikrinamą veikimą. Toliau apibendrintos pagrindinės reglamento sritys; keitimasis informacija apie kibernetines grėsmes yra savanoriškas. ESMA aprašo šias temas ir nurodo jų detalizavimui skirtus atitinkamus techninius standartus.
Vadovavimas ir atsakomybė.
Pagal DORA 5 straipsnį valdymo organas atsako už IRT rizikos valdymą. Tai apima sistemą, kurioje dera sprendimai, atsakomybės ir reikalingi ištekliai. Išorinių paslaugų užsakymas nepanaikina finansų sektoriaus subjekto atsakomybės. Vadovybei turi būti aišku, kokia esminė rizika egzistuoja ir kokie sprendimai dar nepriimti.
IRT rizikos valdymas ir veiklos tęstinumas.
DORA 5–16 straipsniuose aptariama IRT rizikos valdymo sistema, įskaitant specialias supaprastintos sistemos taisykles. Identifikavimas, apsauga, aptikimas, reagavimas, atkūrimas ir mokymasis sudaro visumą. Atskaitos taškas yra atitinkama finansinė funkcija, jos sistemos ir priklausomybės. Dokumentuotam atkūrimo tikslui reikia atitinkamų techninių ir organizacinių pajėgumų.
Valdykite incidentus ir apie juos praneškite.
DORA 17–23 straipsniai reguliuoja su IRT susijusius incidentus ir pranešimus apie juos. Atsakingi asmenys turi įvertinti poveikį, tinkamai klasifikuoti incidentą ir organizuoti reikiamus pranešimus. Detales papildomai nustato taikomi techniniai standartai. Todėl tiekėjo sutrikimą pirmiausia reikia įvertinti pagal jo esmę, o ne automatiškai priskirti tą patį pranešimo statusą visoms reguliavimo sistemoms.
Testuokite skaitmeninės veiklos atsparumą.
DORA 24–27 straipsniai skirti atsparumo testavimui. Skirtingi bandymų tipai atsako į skirtingus klausimus: krizių pratybos tikrina sprendimus, o atkūrimo bandymas – technines prielaidas. Grėsmėmis grindžiamas skverbimosi testavimas, trumpai TLPT, taikomas pasirinktiems finansų sektoriaus subjektams. Tai nėra bendras reikalavimas kiekvienam finansinių paslaugų teikėjui ar visiems jo tiekėjams.
Valdykite trečiųjų šalių IRT riziką.
DORA 28–30 straipsniai susieja paslaugų teikėjų riziką, sutartinius reikalavimus ir paties finansų sektoriaus subjekto atsakomybę. Informacijos registras apie sutartinius IRT susitarimus skiriasi nuo paprasto tiekėjų sąrašo. Ypač svarbu atkreipti dėmesį į ypatingos svarbos ar svarbių funkcijų palaikymą, priklausomybes, sutartinį bendradarbiavimą ir realias pasitraukimo galimybes. Atskira ypatingos svarbos teikėjų priežiūra aptariama DORA 31 ir tolesniuose straipsniuose.
Tikslingai keiskitės grėsmių informacija.
DORA 45 straipsnis leidžia sudaryti susitarimus dėl keitimosi informacija apie kibernetines grėsmes. Dalyvavimas savanoriškas ir reikalauja aiškių konfidencialumo bei naudojimo taisyklių. Keitimasis informacija papildo savo saugumo veiklą; jis nepakeičia nei incidento vertinimo, nei privalomo pranešimo kompetentingai institucijai.
DORA įgyvendinimas: nuo vaidmens iki patikrintų gebėjimų.
Išsiaiškinkite vaidmenį ir atsakomybę.
Atitinkamam juridiniam subjektui dokumentuokite taikymo sritį, išimtis, priežiūros santykį ir atsakingus asmenis, kad tolesnis darbas remtųsi pagrįstu klasifikavimu.
Užfiksuokite finansines funkcijas ir priklausomybes.
Susiekite svarbias funkcijas su faktiškai naudojamomis sistemomis, informacija ir išorinėmis paslaugomis, kad atpažintumėte galimas sutrikimų pasekmes ir bendras priklausomybes.
Įvertinkite riziką ir susitarimus.
Kartu su veiklos, technologijų ir pirkimų specialistais patikrinkite, ar priemonės, teikėjų įsipareigojimai ir sutartys užtikrina reikalingą tęstinumą ir kur būtini vadovybės sprendimai.
Išbandykite incidentų valdymą ir atkūrimą.
Pagal tinkamus scenarijus praktiškai išbandykite aptikimą, vertinimą, eskalavimą ir atkūrimą, įskaitant būtiną bendradarbiavimą su paslaugų teikėjais, ir dokumentuokite rezultatus.
Nuolat atnaujinkite įrodymus ir pakeitimus.
Po esminių pakeitimų ir naujų išvadų patikrinkite, ar atsakomybės, registrai, procedūros ir bandymai vis dar dera tarpusavyje ir ar nustatyti trūkumai iš tikrųjų pašalinti.
DORA įrodymai atsiranda kasdienėje veikloje.
DORA atitiktis pagrindžiama atsekamais sprendimais ir patikrinamu įgyvendinimu. Priklausomai nuo taikomos pareigos, tai apima rizikos vertinimus, tęstinumo tvarkas, incidentų įrašus, bandymų rezultatus ir IRT susitarimų dokumentus. Įrodymas turėtų parodyti, su kuriuo juridiniu subjektu ir funkcija jis susijęs ir kas iš tikrųjų patikrinta. Bandymo protokolas su neišspręstomis problemomis nėra patvirtinimas, kad jos jau pašalintos.
Kompetentingos institucijos prižiūri finansų sektoriaus subjektus pagal teisės aktus, be kita ko, pagal DORA 46 ir tolesnius straipsnius. Nuo to skiriasi aiškiai paskirtų ypatingos svarbos trečiųjų šalių IRT paslaugų teikėjų Europos priežiūra pagal 31–44 straipsnius. ESMA šią priežiūrą apibūdina kaip pačių finansų sektoriaus subjektų atsakomybės ir esamos priežiūros papildymą. Bendras vienodos trukmės DORA sertifikatas šių santykių ir pareigų nepakeičia.
DORA ir kitos sistemos.
Finansų sektoriaus subjektams, kuriems taikoma DORA, atitinkamose srityse ji yra specialusis sektorinis Sąjungos teisės aktas NIS2 atžvilgiu; tai nereiškia, kad kiekviena finansų grupė ar jos tiekimo grandinė bendrai atleidžiama nuo visų BSIG pareigų. ISO 27001 gali padėti organizaciškai struktūruoti ISMS, tačiau nepakeičia DORA reikalavimų ir jų įrodymų. Duomenų apsaugos pareigas pagal BDAR reikia vertinti atskirai, ypač kai sutrikimas kartu paveikia asmens duomenis.
„Secani“ sistemoje.
„Secani“ turi redakcinį DORA katalogą, pagrįstą Reglamentu (ES) 2022/2554 ir pasirinktais papildomais teisės aktais. Profilio duomenys, be kita ko, išskiria patvirtintus finansų sektoriaus subjektus bei visą ir supaprastintą sistemą. Šie duomenys padeda dokumentuoti darbą; jie automatiškai nenustato teisinės kategorijos. Katalogas nėra nei oficialus vertimas, nei DORA atitikties patvirtinimas.
Pradėkite nuo vieno juridinio subjekto ir funkcijos.
Pirmiausia pasirinkite atitinkamą juridinį asmenį ir konkrečią finansinę funkciją. Surinkite jos klasifikavimą, atsakomybes, sistemų priklausomybes, paslaugų susitarimus ir naujausius bandymų rezultatus. Tada su atsakingais asmenimis patikrinkite, kurie teiginiai jau pagrįsti ir kokio sprendimo reikia toliau. Išsamiame tinklaraščio vadove ši pradžia aptariama plačiau.
Šaltiniai.
- Reglamentas (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje
- Europos Komisija: kibernetinis atsparumas
- Europos Komisija: DORA deleguotieji ir įgyvendinimo aktai
- ESMA: DORA, pagrindinės sritys ir techniniai standartai
- ESMA: ypatingos svarbos trečiųjų šalių IRT paslaugų teikėjų priežiūra
- EIOPA: DORA klausimai ir atsakymai 136–3193 dėl 2 straipsnio
- Komisijos gairės dėl NIS2 4 straipsnio, 2023/C 328/02
Dažniausi klausimai.
Ne. Svarbus juridinis subjektas, jo teisinė kategorija ir galimos išimtys pagal DORA 2 straipsnį. Vien rinkos pavadinimas ar mažas įmonės dydis nepagrindžia nei taikymo, nei atleidimo.
Ne. Ypatingos svarbos trečiosios šalies IRT paslaugų teikėjo statusas suteikiamas Europos priežiūros sistemoje pagal DORA 31 straipsnį. Vien klientų santykis ar kritinės kliento funkcijos palaikymas tokio paskyrimo nepakeičia.
Ne. Grėsmėmis grindžiamas skverbimosi testavimas pagal DORA 26 straipsnį taikomas pasirinktiems finansų sektoriaus subjektams. Kitus taikomus atsparumo testavimo reikalavimus reikia tikrinti atskirai.
Ne. ISO 27001 sertifikatas patvirtina ISMS nurodytoje taikymo srityje ir nepakeičia teisinių DORA pareigų. Joms lemiami lieka taikomi reikalavimai, tikrasis įgyvendinimas ir jo įrodymai.
Susiekite atsakomybę ir įrodymus.
Sužinokite, kaip „Secani“ padeda įgyvendinti reguliavimo reikalavimus.
Šiame puslapyje DORA paaiškinama bendrai; jis nepakeičia konkretaus atvejo teisinio vertinimo. Lemiamą reikšmę turi galiojantys teisės aktai ir kompetentingos priežiūros institucijos reikalavimai.