DORA.
Regulamentul UE privind reziliența operațională digitală în sectorul financiar: domeniul de aplicare, principalele obligații și demonstrarea continuă a conformității.
- Regulamentul (UE) 2022/2554
- De Derya Altinay
- Actualizat la: 22.10.2026
- Timp de lectură: 8 min.
Răspuns pe scurt.
DORA este regulamentul UE privind reziliența operațională digitală în sectorul financiar. Din 17 ianuarie 2025, cere entităților financiare vizate să gestioneze solid riscurile TIC, incidentele, testarea rezilienței și dependențele de prestatori. Obligațiile depind de rol și de domeniul de aplicare; un certificat general nu înlocuiește îndeplinirea lor continuă.
Regulamentul DORA reglementează activitatea curentă.
DORA înseamnă Digital Operational Resilience Act și desemnează Regulamentul (UE) 2022/2554 privind reziliența operațională digitală în sectorul financiar. Regulamentul se aplică din 17 ianuarie 2025. Obiectivul său este ca serviciile financiare să poată fi menținute și restabilite chiar și în cazul unor perturbări TIC semnificative. Comisia Europeană privește prevenirea, limitarea efectelor și restabilirea ca pe o sarcină comună de reziliență.
DORA depășește apărarea împotriva atacurilor cibernetice. Defecțiunile tehnice, procedurile de restabilire inutilizabile și dependențele de servicii externe pot afecta și ele serviciile financiare. Decisiv este, așadar, modul în care colaborează responsabilii de afaceri, tehnologia și prestatorii. O simplă colecție de politici de securitate nu demonstrează încă dacă un proces de plată funcționează efectiv din nou după o perturbare.
Standardele tehnice de reglementare și standardele de punere în aplicare complementare concretizează regulamentul. Registrul oficial al Comisiei include, de exemplu, acte juridice privind raportarea incidentelor și subcontractarea. Implementarea necesită, așadar, regulile finale aplicabile și cerințele autorității de supraveghere competente. O listă de verificare veche sau un calendar general de raportare nu înlocuiește această verificare.
Ce entități financiare și prestatori sunt vizați de DORA.
DORA vizează anumite entități juridice din sectorul financiar, conform art. 2 din Regulamentul (UE) 2022/2554. Acestea includ, de exemplu, instituții de credit, instituții de plată, firme de investiții și întreprinderi de asigurare, în fiecare caz cu respectarea excepțiilor legale. Denumirea FinTech, start-up sau IMM nu decide aplicabilitatea. În răspunsul final DORA 136–3193, EIOPA explică faptul că încadrarea pornește de la tipul entității juridice și că infrastructura TIC utilizată în comun nu poate fi exclusă doar pe baza unor activități individuale.
Un prestator terț obișnuit de servicii TIC are un rol diferit de cel al unei entități financiare vizate. Clienții financiari pot cere angajamente contractuale, sprijin în caz de incidente și dovezi solide. Distinctă este desemnarea expresă drept prestator terț critic de servicii TIC de către autoritățile europene de supraveghere conform art. 31 DORA. Simplul sprijin al unei funcții critice a clientului nu produce această desemnare, după cum explică informațiile ESMA privind cadrul de supraveghere.
Proporționalitatea înseamnă configurarea justificată a obligațiilor în funcție de întreprindere și de riscurile sale. Ea nu reprezintă o scutire generală pentru întreprinderile mici. Cadrul simplificat de gestionare a riscurilor TIC conform art. 16 DORA trebuie verificat separat. Consemnați împreună rolul, posibilele excepții, autoritatea competentă și motivele încadrării, înainte de a stabili amploarea implementării.
Cerințele DORA reunesc șase domenii de lucru.
Cerințele DORA leagă conducerea, gestionarea riscurilor și operarea verificabilă. Orientarea următoare reunește principalele domenii ale regulamentului; schimbul de informații despre amenințările cibernetice este voluntar. ESMA descrie aceste teme și trimite la standardele tehnice respective pentru detalierea lor.
Conducere și responsabilitate.
Conform art. 5 DORA, organul de conducere răspunde de gestionarea riscurilor TIC. Aceasta include un cadru în care deciziile, responsabilitățile și resursele necesare sunt corelate. Contractarea serviciilor externe nu înlătură responsabilitatea entității financiare. Conducerea trebuie să poată vedea ce riscuri semnificative există și ce decizii sunt încă în așteptare.
Gestionarea riscurilor TIC și continuitatea.
Art. 5–16 DORA tratează cadrul de gestionare a riscurilor TIC, inclusiv regulile speciale privind cadrul simplificat. Identificarea, protecția, detectarea, răspunsul, restabilirea și învățarea formează un întreg. Referința este funcția financiară afectată, cu sistemele și dependențele sale. Un obiectiv de restabilire documentat are nevoie de capacități tehnice și organizatorice corespunzătoare.
Gestionați și raportați incidentele.
Art. 17–23 DORA reglementează incidentele legate de TIC și raportarea lor. Responsabilii trebuie să evalueze efectele, să realizeze clasificarea relevantă și să organizeze raportările necesare. Detaliile rezultă suplimentar din standardele tehnice aplicabile. De aceea, întreruperea unui furnizor trebuie mai întâi analizată în context, fără a prelua automat același statut de raportare pentru fiecare cadru normativ.
Testați reziliența operațională digitală.
Art. 24–27 DORA tratează testele de reziliență. Diferitele tipuri de teste răspund unor întrebări diferite: un exercițiu de criză verifică deciziile, iar un test de restabilire verifică ipotezele tehnice. Testele de penetrare bazate pe amenințări, pe scurt TLPT, vizează entități financiare selectate. Ele nu reprezintă o cerință generală pentru fiecare prestator de servicii financiare sau pentru fiecare furnizor al acestuia.
Gestionați riscurile TIC provenite de la terți.
Art. 28–30 DORA corelează riscurile prestatorilor, cerințele contractuale și responsabilitatea proprie a entității financiare. Registrul de informații privind acordurile contractuale TIC trebuie deosebit de o simplă listă de furnizori. Necesită atenție în special sprijinul funcțiilor critice sau importante, dependențele, cooperarea contractuală și opțiunile de ieșire viabile. Supravegherea distinctă a prestatorilor critici este tratată la art. 31 și următoarele DORA.
Schimbați informații despre amenințări în mod țintit.
Art. 45 DORA permite acorduri pentru schimbul de informații despre amenințările cibernetice. Participarea este voluntară și necesită reguli clare de confidențialitate și utilizare. Schimbul de informații completează propria activitate de securitate; nu înlocuiește nici evaluarea unui incident, nici o raportare necesară către autoritatea competentă.
Implementați DORA: de la rol la capacitatea verificată.
Clarificați rolul și competența.
Documentați pentru entitatea juridică relevantă domeniul de aplicare, excepțiile, relația de supraveghere și persoanele responsabile, astfel încât activitatea ulterioară să se bazeze pe o încadrare justificată.
Identificați funcțiile financiare și dependențele.
Corelați funcțiile importante cu sistemele, informațiile și serviciile externe utilizate efectiv, pentru a identifica posibilele efecte ale perturbărilor și dependențele comune.
Evaluați riscurile și acordurile.
Verificați împreună cu departamentul de specialitate, tehnologia și achizițiile dacă măsurile, angajamentele prestatorilor și contractele sprijină continuitatea necesară și unde sunt necesare decizii ale conducerii.
Exersați incidentele și restabilirea.
Exersați, pe baza unor scenarii potrivite, detectarea, evaluarea, escaladarea și restabilirea, inclusiv colaborarea necesară cu prestatorii, și documentați rezultatele.
Actualizați dovezile și schimbările.
După schimbări semnificative și informații noi, verificați dacă responsabilitățile, registrele, procedurile și testele sunt în continuare corelate și dacă slăbiciunile identificate au fost efectiv remediate.
Dovezile DORA rezultă din activitatea curentă.
DORA se demonstrează prin decizii trasabile și implementare verificabilă. În funcție de obligația aplicabilă, acestea includ evaluări de risc, dispoziții de continuitate, înregistrări ale incidentelor, rezultate ale testelor și documente privind acordurile TIC. O dovadă ar trebui să arate ce entitate juridică și ce funcție privește și ce s-a verificat efectiv. Un proces-verbal de test cu probleme deschise nu confirmă că aceste probleme au fost deja remediate.
Autoritățile competente supraveghează entitățile financiare în cadrul legal, inclusiv conform art. 46 și următoarele DORA. De aceasta se deosebește supravegherea europeană a prestatorilor terți critici de servicii TIC desemnați expres, conform art. 31–44. ESMA descrie această supraveghere drept o completare a responsabilității proprii și a supravegherii existente a entităților financiare. Un certificat DORA general, cu o durată unică de valabilitate, nu înlocuiește aceste relații și obligații.
Continuați lectura pe blog.
DORA și alte cadre de referință.
Pentru entitățile financiare vizate, DORA este, în domeniile relevante, un act juridic sectorial al Uniunii în raport cu NIS2; de aici nu rezultă o scutire generală a fiecărui grup financiar sau a lanțului său de aprovizionare de toate obligațiile BSIG. ISO 27001 poate structura organizatoric un SMSI, dar nu înlocuiește cerințele DORA și dovezile aferente. Obligațiile de protecție a datelor conform RGPD trebuie evaluate separat, în special când o perturbare afectează și date cu caracter personal.
În Secani.
Secani conține un catalog propriu DORA bazat pe Regulamentul (UE) 2022/2554 și pe acte juridice complementare selectate. Datele profilului disting, printre altele, entitățile financiare confirmate, precum și cadrul complet și cel simplificat. Aceste informații sprijină o abordare documentată; nu realizează o încadrare juridică automată. Catalogul nu este nici o traducere oficială, nici o confirmare a conformității cu DORA.
Începeți cu o entitate juridică și o funcție.
Selectați mai întâi o entitate juridică relevantă și o funcție financiară concretă. Reuniți încadrarea acesteia, responsabilitățile, dependențele de sisteme, acordurile de servicii și ultimele rezultate ale testelor. Verificați apoi cu persoanele responsabile ce afirmații sunt deja susținute de dovezi și ce decizie este necesară în continuare. Ghidul detaliat de pe blog dezvoltă acest punct de plecare.
Surse.
- Regulamentul (UE) 2022/2554 privind reziliența operațională digitală în sectorul financiar
- Comisia Europeană: reziliență cibernetică
- Comisia Europeană: acte delegate și de punere în aplicare privind DORA
- ESMA: DORA, domenii principale și standarde tehnice
- ESMA: supravegherea prestatorilor terți critici de servicii TIC
- EIOPA: întrebări și răspunsuri DORA 136–3193 privind art. 2
- Orientările Comisiei privind art. 4 NIS2, 2023/C 328/02
Întrebări frecvente.
Nu. Decisive sunt entitatea juridică, categoria sa legală și posibilele excepții conform art. 2 DORA. O denumire de piață sau dimensiunea mică a întreprinderii nu justifică singură nici aplicabilitatea, nici o scutire.
Nu. Desemnarea drept prestator terț critic de servicii TIC are loc în cadrul european de supraveghere conform art. 31 DORA. O relație cu un client sau simplul sprijin al unei funcții critice a clientului nu înlocuiește această desemnare.
Nu. Testele de penetrare bazate pe amenințări conform art. 26 DORA vizează entități financiare selectate. Celelalte cerințe aplicabile testării rezilienței trebuie verificate separat.
Nu. Un certificat ISO 27001 confirmă un SMSI în domeniul de aplicare indicat și nu înlocuiește obligațiile legale DORA. Pentru acestea, cerințele aplicabile, implementarea efectivă și dovezile aferente rămân decisive.
Reuniți responsabilitatea și dovezile.
Vedeți cum sprijină Secani gestionarea cerințelor de reglementare.
Această pagină explică DORA în termeni generali și nu înlocuiește o analiză juridică a cazului concret. Actele juridice în vigoare și cerințele autorității de supraveghere competente sunt decisive.