DORA.

DORA oznacza Digital Operational Resilience Act i określa rozporządzenie (UE) 2022/2554 o cyfrowej odporności operacyjnej sektora finansowego. Rozporządzenie stosuje się od 17 stycznia 2025 r. Jego celem jest umożliwienie utrzymania i przywracania usług finansowych także przy poważnych zakłóceniach ICT. Komisja Europejska ujmuje zapobieganie, ograniczanie skutków i odtwarzanie łącznie jako zadanie odporności.

DORA wykracza poza odpieranie cyberataków. Na usługi finansowe mogą wpływać również awarie techniczne, nieskuteczne procedury odtwarzania i zależności od usług zewnętrznych. Decydujące jest więc współdziałanie odpowiedzialności biznesowej, technologii i dostawców. Sam zbiór polityk bezpieczeństwa nie pokazuje, czy proces płatniczy rzeczywiście zadziała po zakłóceniu.

Uzupełniające regulacyjne i wykonawcze standardy techniczne konkretyzują rozporządzenie. Oficjalny rejestr Komisji zawiera między innymi akty dotyczące zgłaszania incydentów i podwykonawstwa. Wdrożenie wymaga więc uwzględnienia właściwych przepisów ostatecznych i wymagań organu nadzoru. Stara lista kontrolna lub ogólny kalendarz zgłoszeń nie zastępują tej analizy.

DORA obejmuje określone podmioty sektora finansowego zgodnie z art. 2 rozporządzenia (UE) 2022/2554. Są to na przykład instytucje kredytowe, instytucje płatnicze, firmy inwestycyjne i zakłady ubezpieczeń, z uwzględnieniem ustawowych wyjątków. Określenie FinTech, start-up lub MŚP nie rozstrzyga tej kwestii. EIOPA wyjaśnia w ostatecznej odpowiedzi DORA 136–3193, że klasyfikacja opiera się na rodzaju podmiotu i nie można wyłączać współdzielonych ICT wyłącznie na podstawie pojedynczych działań.

Zwykły zewnętrzny dostawca usług ICT pełni inną rolę niż objęty podmiot finansowy. Klienci finansowi mogą wymagać zobowiązań umownych, wsparcia przy incydentach i wiarygodnych dowodów. Należy odróżnić to od formalnego wyznaczenia jako kluczowego zewnętrznego dostawcy usług ICT przez europejskie organy nadzoru zgodnie z art. 31 DORA. Samo wspieranie krytycznej funkcji klienta nie oznacza takiego wyznaczenia, jak wyjaśniają informacje ESMA o ramach nadzoru.

Proporcjonalność oznacza uzasadnione dostosowanie obowiązków do przedsiębiorstwa i jego ryzyk. Nie jest ogólnym zwolnieniem małych przedsiębiorstw. Uproszczone ramy zarządzania ryzykiem ICT zgodnie z art. 16 DORA wymagają osobnej analizy. Przed ustaleniem zakresu wdrożenia należy wspólnie udokumentować rolę, możliwe wyjątki, właściwy organ i uzasadnienie klasyfikacji.

Realizację DORA wykazuje się przejrzystymi decyzjami i weryfikowalnym wdrożeniem. W zależności od obowiązku obejmują one oceny ryzyka, ustalenia dotyczące ciągłości, zapisy incydentów, wyniki testów i dokumentację umów ICT. Dowód powinien wskazywać, jakiego podmiotu i funkcji dotyczy oraz co rzeczywiście sprawdzono. Protokół testu z otwartymi problemami nie potwierdza, że problemy te zostały już usunięte.

Właściwe organy nadzorują podmioty finansowe w ramach prawa, między innymi zgodnie z art. 46 i następnymi DORA. Odrębny jest europejski nadzór nad formalnie wyznaczonymi kluczowymi zewnętrznymi dostawcami usług ICT zgodnie z art. 31–44. ESMA opisuje go jako uzupełnienie własnej odpowiedzialności i istniejącego nadzoru nad podmiotami finansowymi. Ogólny certyfikat DORA o jednolitej ważności nie zastępuje tych relacji i obowiązków.

DORA stanowi dla objętych podmiotów finansowych sektorowy akt prawa Unii w odpowiednich obszarach względem NIS2; nie oznacza to ogólnego zwolnienia każdej grupy finansowej ani jej łańcucha dostaw ze wszystkich obowiązków BSIG. ISO 27001 może uporządkować organizacyjnie SZBI, ale nie zastępuje wymagań DORA ani dowodów ich realizacji. Obowiązki RODO należy oceniać osobno, szczególnie gdy zakłócenie dotyczy także danych osobowych.

Secani zawiera autorski katalog DORA oparty na rozporządzeniu (UE) 2022/2554 z wybranymi aktami uzupełniającymi. Dane profilu rozróżniają między innymi potwierdzone podmioty finansowe oraz pełne i uproszczone ramy. Wspierają udokumentowaną pracę; nie dokonują automatycznej klasyfikacji prawnej. Katalog nie jest ani urzędowym tłumaczeniem, ani potwierdzeniem zgodności z DORA.

Najpierw należy wybrać właściwy podmiot prawny i konkretną funkcję finansową. Trzeba zebrać ich klasyfikację, odpowiedzialność, zależności systemowe, umowy usługowe i ostatnie wyniki testów. Następnie z właściwymi osobami sprawdzić, jakie twierdzenia są już udokumentowane i jaka decyzja jest potrzebna jako kolejna. Szczegółowy przewodnik na blogu rozwija ten punkt wyjścia.