DORA.
ES regula par digitālās darbības noturību finanšu nozarē: piemērošanas joma, galvenie pienākumi un pastāvīgi pierādījumi.
- Regula (ES) 2022/2554
- Autors: Derya Altinay
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
DORA ir ES regula par finanšu nozares digitālās darbības noturību. Kopš 2025. gada 17. janvāra tā aptvertajām finanšu vienībām pieprasa uzticami pārvaldīt IKT riskus, incidentus, noturības testus un atkarības no pakalpojumu sniedzējiem. Pienākumi atkarīgi no lomas un piemērošanas jomas; vispārējs sertifikāts neaizstāj to pastāvīgu izpildi.
DORA regula nosaka prasības ikdienas darbībai.
DORA nozīmē Digital Operational Resilience Act un apzīmē Regulu (ES) 2022/2554 par finanšu nozares digitālās darbības noturību. Regula piemērojama kopš 2025. gada 17. janvāra. Tās mērķis ir spēt uzturēt un atjaunot finanšu pakalpojumus arī būtisku IKT traucējumu gadījumā. Eiropas Komisija profilaksi, ietekmes ierobežošanu un atjaunošanu kopīgi aplūko kā noturības uzdevumu.
DORA sniedzas tālāk par aizsardzību pret kiberuzbrukumiem. Finanšu pakalpojumu var ietekmēt arī tehniskas kļūmes, neizmantojamas atjaunošanas procedūras un atkarības no ārējiem pakalpojumiem. Tādēļ izšķiroši ir tas, kā sadarbojas par darbību atbildīgie, tehnoloģiju komandas un pakalpojumu sniedzēji. Drošības politiku kopums vien vēl neparāda, vai maksājumu process pēc traucējuma patiešām atkal darbojas.
Regulu konkretizē papildu regulatīvie tehniskie standarti un īstenošanas standarti. Komisijas oficiālajā reģistrā cita starpā ir tiesību akti par incidentu ziņošanu un apakšuzņēmuma līgumu slēgšanu. Tādēļ ieviešanai nepieciešami attiecīgi piemērojamie galīgie noteikumi un kompetentās uzraudzības iestādes prasības. Novecojis kontrolsaraksts vai vispārējs ziņošanas kalendārs šo pārbaudi neaizstāj.
Kuras finanšu vienības un pakalpojumu sniedzējus skar DORA.
DORA aptver noteiktas finanšu nozares juridiskās personas saskaņā ar Regulas (ES) 2022/2554 2. pantu. Tās ir, piemēram, kredītiestādes, maksājumu iestādes, ieguldījumu brokeru sabiedrības un apdrošināšanas sabiedrības, ievērojot likumā noteiktos izņēmumus. Apzīmējums FinTech, jaunuzņēmums vai MVU šo jautājumu neizšķir. EIOPA galīgajā atbildē DORA 136–3193 skaidro, ka klasifikācija balstās uz juridiskās personas veidu un kopīgi izmantotu IKT nevar izslēgt tikai atsevišķu darbību dēļ.
Parastam IKT trešās personas pakalpojumu sniedzējam ir cita loma nekā aptvertai finanšu vienībai. Finanšu nozares klienti var pieprasīt līgumiskas saistības, palīdzību incidentos un uzticamus pierādījumus. No tā jānošķir Eiropas uzraudzības iestāžu skaidra izraudzīšana par kritiski svarīgu IKT trešās personas pakalpojumu sniedzēju saskaņā ar DORA 31. pantu. Kritiskas klienta funkcijas atbalstīšana vien nerada šādu statusu, kā skaidrots ESMA informācijā par pārraudzības sistēmu.
Samērīgums nozīmē pamatoti veidot pienākumu izpildi atbilstoši uzņēmumam un tā riskiem. Tas nav vispārējs mazo uzņēmumu atbrīvojums. Vienkāršotā IKT risku pārvaldības sistēma saskaņā ar DORA 16. pantu jāpārbauda atsevišķi. Pirms ieviešanas aptvēruma noteikšanas kopīgi fiksējiet lomu, iespējamos izņēmumus, kompetento iestādi un savas klasifikācijas pamatojumu.
DORA prasības savieno sešas darba jomas.
DORA prasības sasaista vadību, risku pārvaldību un pārbaudāmu darbību. Tālāk sniegtais pārskats apkopo regulas galvenās jomas; informācijas apmaiņa par kiberdraudiem ir brīvprātīga. ESMA apraksta šīs tēmas un to konkretizēšanai norāda uz attiecīgajiem tehniskajiem standartiem.
Vadība un atbildība.
Saskaņā ar DORA 5. pantu vadības struktūra atbild par IKT risku pārvaldību. Tas ietver sistēmu, kurā savstarpēji saskan lēmumi, atbildība un nepieciešamie resursi. Ārējo pakalpojumu izmantošana neatceļ finanšu vienības atbildību. Vadībai jābūt skaidram, kādi būtiski riski pastāv un kādi lēmumi vēl jāpieņem.
IKT risku pārvaldība un darbības nepārtrauktība.
DORA 5.–16. pants aplūko IKT risku pārvaldības sistēmu, tostarp īpašos noteikumus vienkāršotajai sistēmai. Identificēšana, aizsardzība, atklāšana, reaģēšana, atjaunošana un mācīšanās veido vienotu veselumu. Atsauces punkts ir attiecīgā finanšu funkcija ar tās sistēmām un atkarībām. Dokumentētam atjaunošanas mērķim nepieciešamas atbilstošas tehniskās un organizatoriskās spējas.
Pārvaldīt incidentus un ziņot par tiem.
DORA 17.–23. pants regulē ar IKT saistītus incidentus un ziņošanu par tiem. Atbildīgajiem jānovērtē ietekme, jāveic attiecīgā klasifikācija un jāorganizē nepieciešamie paziņojumi. Detaļas papildus izriet no piemērojamajiem tehniskajiem standartiem. Tādēļ piegādātāja darbības pārtraukums vispirms jāklasificē pēc būtības, nevis automātiski jāpārņem vienāds ziņošanas statuss katram regulējumam.
Testēt digitālās darbības noturību.
DORA 24.–27. pants aplūko noturības testus. Dažādi testu veidi atbild uz atšķirīgiem jautājumiem: krīzes mācības pārbauda lēmumus, savukārt atjaunošanas tests — tehniskos pieņēmumus. Draudos balstīta ielaušanās testēšana jeb TLPT attiecas uz izraudzītām finanšu vienībām. Tā nav vispārēja prasība ikvienam finanšu pakalpojumu sniedzējam vai katram tā piegādātājam.
Pārvaldīt IKT trešo personu riskus.
DORA 28.–30. pants sasaista pakalpojumu sniedzēju riskus, līgumu prasības un pašas finanšu vienības atbildību. Informācijas reģistrs par IKT līgumiskajām vienošanām jāatšķir no jebkura piegādātāju saraksta. Īpaša uzmanība vajadzīga kritisku vai svarīgu funkciju atbalstam, atkarībām, līgumiskai līdzdalībai un īstenojamām izstāšanās iespējām. Atsevišķa kritiski svarīgo sniedzēju pārraudzība aplūkota DORA 31. un turpmākajos pantos.
Mērķtiecīgi apmainīties ar draudu informāciju.
DORA 45. pants ļauj noslēgt vienošanās par kiberdraudu informācijas apmaiņu. Dalība ir brīvprātīga, un tai vajadzīgi skaidri konfidencialitātes un izmantošanas noteikumi. Informācijas apmaiņa papildina pašu drošības darbību; tā neaizstāj ne incidenta novērtēšanu, ne nepieciešamo ziņošanu kompetentajai iestādei.
DORA ieviešana: no lomas līdz pārbaudītai spējai.
Noskaidrot lomu un atbildību.
Attiecīgajai juridiskajai personai dokumentējiet piemērošanas jomu, izņēmumus, uzraudzības attiecības un atbildīgās personas, lai turpmākais darbs balstītos pamatotā klasifikācijā.
Apzināt finanšu funkcijas un atkarības.
Sasaistiet svarīgās funkcijas ar faktiski izmantotajām sistēmām, informāciju un ārējiem pakalpojumiem, lai atpazītu iespējamās traucējumu sekas un kopīgās atkarības.
Novērtēt riskus un vienošanās.
Kopā ar atbildīgo struktūrvienību, tehnoloģiju un iepirkuma komandām pārbaudiet, vai pasākumi, pakalpojumu sniedzēju saistības un līgumi atbalsta nepieciešamo darbības nepārtrauktību un kur vajadzīgi vadības lēmumi.
Izmēģināt incidentu pārvaldību un atjaunošanu.
Izmantojot piemērotus scenārijus, vingriniet atklāšanu, novērtēšanu, eskalāciju un atjaunošanu, tostarp nepieciešamo sadarbību ar pakalpojumu sniedzējiem, un dokumentējiet rezultātus.
Atjaunināt pierādījumus un izmaiņas.
Pēc būtiskām izmaiņām un jaunām atziņām pārbaudiet, vai atbildība, reģistri, procedūras un testi joprojām savstarpēji saskan un konstatētie trūkumi patiešām ir novērsti.
DORA pierādījumi rodas ikdienas darbībā.
DORA izpildi apliecina izsekojami lēmumi un pārbaudāma ieviešana. Atkarībā no piemērojamā pienākuma tas ietver risku novērtējumus, darbības nepārtrauktības noteikumus, incidentu ierakstus, testu rezultātus un IKT vienošanos dokumentus. Pierādījumam jāparāda, uz kuru juridisko personu un funkciju tas attiecas un kas faktiski pārbaudīts. Testa protokols ar neatrisinātām problēmām neapliecina, ka šīs problēmas jau ir novērstas.
Kompetentās iestādes uzrauga finanšu vienības tiesiskā regulējuma ietvaros, tostarp saskaņā ar DORA 46. un turpmākajiem pantiem. No tā atšķiras skaidri izraudzīto kritiski svarīgo IKT trešās personas pakalpojumu sniedzēju Eiropas līmeņa pārraudzība saskaņā ar 31.–44. pantu. ESMA raksturo šo pārraudzību kā papildinājumu finanšu vienību pašu atbildībai un esošajai uzraudzībai. Vispārējs DORA sertifikāts ar vienotu derīguma termiņu neaizstāj šīs attiecības un pienākumus.
DORA un citi ietvari.
Aptvertajām finanšu vienībām attiecīgajās jomās DORA ir nozarei īpašs Savienības tiesību akts attiecībā pret NIS2; no tā neizriet vispārējs katras finanšu grupas vai tās piegādes ķēdes atbrīvojums no visiem BSIG pienākumiem. ISO 27001 var organizatoriski strukturēt ISMS, taču neaizstāj DORA prasības un to pierādījumus. Datu aizsardzības pienākumi saskaņā ar VDAR jāvērtē atsevišķi, īpaši, ja traucējums skar arī personas datus.
Secani vidē.
Secani ietver pašu izstrādātu DORA katalogu, kas balstās uz Regulu (ES) 2022/2554 un izvēlētiem papildu tiesību aktiem. Profila informācija cita starpā nošķir apstiprinātas finanšu vienības un pilno un vienkāršoto sistēmu. Šī informācija palīdz dokumentēti strādāt; tā neveic automātisku juridisko klasifikāciju. Katalogs nav ne oficiāls tulkojums, ne DORA atbilstības apliecinājums.
Sāciet ar vienu juridisko personu un vienu funkciju.
Vispirms izvēlieties būtisku juridisko personu un konkrētu finanšu funkciju. Apkopojiet tās klasifikāciju, atbildību, sistēmu atkarības, pakalpojumu vienošanās un jaunākos testu rezultātus. Pēc tam kopā ar atbildīgajām personām pārbaudiet, kuri apgalvojumi jau ir pamatoti un kāds lēmums jāpieņem nākamais. Detalizētā emuāra rokasgrāmata turpina šo sākumpunktu.
Avoti.
- Regula (ES) 2022/2554 par finanšu nozares digitālās darbības noturību
- Eiropas Komisija: kibernoturība
- Eiropas Komisija: DORA deleģētie un īstenošanas tiesību akti
- ESMA: DORA, galvenās jomas un tehniskie standarti
- ESMA: kritiski svarīgo IKT trešās personas pakalpojumu sniedzēju pārraudzība
- EIOPA: DORA jautājumi un atbildes 136–3193 par 2. pantu
- Komisijas pamatnostādnes par NIS2 4. pantu, 2023/C 328/02
Biežākie jautājumi.
Nē. Izšķiroša ir juridiskā persona, tās likumā noteiktā kategorija un iespējamie izņēmumi saskaņā ar DORA 2. pantu. Tirgus apzīmējums vai mazs uzņēmuma lielums vien nepamato ne piemērojamību, ne atbrīvojumu.
Nē. Par kritiski svarīgu IKT trešās personas pakalpojumu sniedzēju izraugās Eiropas pārraudzības sistēmā saskaņā ar DORA 31. pantu. Klienta attiecības vai kritiskas klienta funkcijas atbalstīšana vien neaizstāj šo izraudzīšanu.
Nē. Draudos balstīta ielaušanās testēšana saskaņā ar DORA 26. pantu attiecas uz izraudzītām finanšu vienībām. Citas piemērojamās noturības testēšanas prasības jāpārbauda atsevišķi.
Nē. ISO 27001 sertifikāts apliecina ISMS norādītajā darbības jomā un neaizstāj likumā noteiktos DORA pienākumus. Tiem noteicošas paliek piemērojamās prasības, faktiskā ieviešana un tās pierādījumi.
Sasaistiet atbildību un pierādījumus.
Skatiet, kā Secani palīdz strādāt ar regulatīvajām prasībām.
Šī lapa vispārīgi skaidro DORA un neaizstāj konkrētam gadījumam paredzētu juridisku izvērtējumu. Noteicoši ir spēkā esošie tiesību akti un kompetentās uzraudzības iestādes prasības.