DORA.
Uredba EU o digitalni operativni odpornosti v finančnem sektorju: področje uporabe, glavne obveznosti in stalno dokazovanje.
- Uredba (EU) 2022/2554
- Avtor: Derya Altinay
- Stanje: 22. 10. 2026
- Čas branja: 7 min.
Kratek odgovor.
DORA je uredba EU o digitalni operativni odpornosti v finančnem sektorju. Od 17. januarja 2025 od zajetih finančnih subjektov zahteva zanesljivo upravljanje tveganj IKT, incidentov, preizkusov odpornosti in odvisnosti od ponudnikov storitev. Obveznosti so odvisne od vloge in področja uporabe; splošen certifikat ne nadomešča njihovega stalnega izpolnjevanja.
Uredba DORA ureja tekoče delovanje.
DORA pomeni Digital Operational Resilience Act in označuje Uredbo (EU) 2022/2554 o digitalni operativni odpornosti v finančnem sektorju. Uredba se uporablja od 17. januarja 2025. Njen cilj je omogočiti nadaljevanje in ponovno vzpostavitev finančnih storitev tudi ob pomembnih motnjah IKT. Evropska komisija preprečevanje, omejevanje posledic in obnovitev skupaj obravnava kot nalogo odpornosti.
DORA presega obrambo pred kibernetskimi napadi. Finančne storitve lahko prizadenejo tudi tehnične okvare, neuporabni postopki obnovitve in odvisnosti od zunanjih storitev. Odločilno je zato sodelovanje poslovno odgovornih oseb, tehnologije in ponudnikov storitev. Sama zbirka varnostnih politik še ne kaže, ali plačilni proces po motnji res spet deluje.
Dopolnilni regulativni tehnični standardi in izvedbeni standardi podrobneje določajo uredbo. Uradni register Komisije na primer navaja akte o poročanju o incidentih in podizvajanju. Izvajanje zato zahteva vsakokrat veljavna končna pravila in zahteve pristojnega nadzornega organa. Star kontrolni seznam ali splošen koledar poročanja tega preverjanja ne nadomešča.
Katere finančne subjekte in ponudnike storitev zadeva DORA.
DORA zajema določene pravne subjekte finančnega sektorja po členu 2 Uredbe (EU) 2022/2554. Mednje sodijo na primer kreditne institucije, plačilne institucije, investicijska podjetja in zavarovalnice, ob upoštevanju zakonskih izjem. Oznake FinTech, zagonsko podjetje ali MSP ne odločajo o uporabi. EIOPA v končnem odgovoru DORA 136–3193 pojasnjuje, da razvrstitev izhaja iz vrste pravnega subjekta in da skupno uporabljene IKT ni mogoče izključiti zgolj na podlagi posameznih dejavnosti.
Običajni tretji ponudnik storitev IKT ima drugačno vlogo kot zajet finančni subjekt. Finančne stranke lahko zahtevajo pogodbene zaveze, podporo pri incidentih in zanesljiva dokazila. Od tega je treba ločiti izrecno imenovanje za ključnega tretjega ponudnika storitev IKT s strani evropskih nadzornih organov po členu 31 DORA. Sama podpora ključni funkciji stranke še ne pomeni takega imenovanja, kot pojasnjujejo informacije ESMA o nadzornem okviru.
Sorazmernost pomeni utemeljeno oblikovanje obveznosti glede na podjetje in njegova tveganja. Ne pomeni splošne oprostitve za mala podjetja. Poenostavljeni okvir upravljanja tveganj IKT po členu 16 DORA je treba preveriti ločeno. Pred določitvijo obsega izvajanja skupaj zabeležite vlogo, možne izjeme, pristojni organ in razloge za razvrstitev.
Zahteve DORA povezujejo šest delovnih področij.
Zahteve DORA povezujejo vodenje, upravljanje tveganj in preverljivo delovanje. Naslednji pregled združuje glavna področja uredbe; izmenjava informacij o kibernetskih grožnjah je prostovoljna. ESMA opisuje te teme in za njihovo podrobnejšo opredelitev napotuje na posamezne tehnične standarde.
Vodenje in odgovornost.
Upravljalni organ je po členu 5 DORA odgovoren za upravljanje tveganj IKT. Sem sodi okvir, v katerem so usklajene odločitve, pristojnosti in potrebni viri. Naročanje zunanjih storitev ne odpravi odgovornosti finančnega subjekta. Vodstvu mora ostati razvidno, katera bistvena tveganja obstajajo in katere odločitve še niso sprejete.
Upravljanje tveganj IKT in neprekinjeno poslovanje.
Členi 5 do 16 DORA obravnavajo okvir upravljanja tveganj IKT, vključno s posebnimi pravili za poenostavljeni okvir. Prepoznavanje, zaščita, zaznavanje, odzivanje, obnovitev in učenje sodijo skupaj. Izhodišče je zadevna finančna funkcija s svojimi sistemi in odvisnostmi. Dokumentiran cilj obnovitve potrebuje ustrezne tehnične in organizacijske zmogljivosti.
Obravnavajte incidente in poročajte o njih.
Členi 17 do 23 DORA urejajo incidente, povezane z IKT, in poročanje o njih. Odgovorni morajo oceniti posledice, opraviti ustrezno razvrstitev in organizirati potrebna poročila. Podrobnosti dodatno izhajajo iz veljavnih tehničnih standardov. Izpad dobavitelja je zato treba najprej strokovno razvrstiti, namesto da samodejno prevzamete isti status poročanja za vsak predpis.
Preizkušajte digitalno operativno odpornost.
Členi 24 do 27 DORA obravnavajo preizkuse odpornosti. Različne vrste preizkusov odgovarjajo na različna vprašanja: krizna vaja preverja odločitve, preizkus obnovitve pa tehnične predpostavke. Penetracijsko testiranje na podlagi groženj, krajše TLPT, zadeva izbrane finančne subjekte. To ni splošna zahteva za vsakega ponudnika finančnih storitev ali vsakega njegovega dobavitelja.
Obvladujte tveganja tretjih strani na področju IKT.
Členi 28 do 30 DORA povezujejo tveganja ponudnikov storitev, pogodbene zahteve in lastno odgovornost finančnega subjekta. Register informacij o pogodbenih dogovorih za IKT je treba razlikovati od poljubnega seznama dobaviteljev. Posebno pozornost potrebujejo podpora ključnim ali pomembnim funkcijam, odvisnosti, pogodbeno sodelovanje in izvedljive možnosti izstopa. Ločen nadzor ključnih ponudnikov obravnavajo člen 31 in naslednji DORA.
Ciljno izmenjujte informacije o grožnjah.
Člen 45 DORA omogoča dogovore o izmenjavi informacij o kibernetskih grožnjah. Sodelovanje je prostovoljno in zahteva jasna pravila za zaupnost in uporabo. Izmenjava informacij dopolnjuje lastno varnostno delovanje; ne nadomešča ocene incidenta ali potrebnega poročanja pristojnemu organu.
Izvajanje DORA: od vloge do preverjene zmožnosti.
Razjasnite vlogo in pristojnost.
Za relevantni pravni subjekt dokumentirajte področje uporabe, izjeme, nadzorni odnos in odgovorne osebe, da nadaljnje delo temelji na utemeljeni razvrstitvi.
Popišite finančne funkcije in odvisnosti.
Povežite pomembne funkcije z dejansko uporabljenimi sistemi, informacijami in zunanjimi storitvami, da prepoznate možne posledice motenj in skupne odvisnosti.
Ocenite tveganja in dogovore.
S strokovnim področjem, tehnologijo in nabavo preverite, ali ukrepi, zaveze ponudnikov in pogodbe podpirajo zahtevano neprekinjeno delovanje ter kje so potrebne odločitve vodstva.
Preizkusite odziv na incidente in obnovitev.
Z ustreznimi scenariji vadite zaznavanje, ocenjevanje, eskalacijo in obnovitev, vključno s potrebnim sodelovanjem s ponudniki storitev, ter dokumentirajte rezultate.
Posodabljajte dokazila in spremembe.
Po bistvenih spremembah in novih spoznanjih preverite, ali so odgovornosti, registri, postopki in preizkusi še usklajeni ter ali so ugotovljene slabosti dejansko odpravljene.
Dokazila DORA nastajajo med tekočim delovanjem.
DORA se dokazuje s sledljivimi odločitvami in preverljivim izvajanjem. Sem glede na veljavno obveznost sodijo ocene tveganj, pravila za neprekinjeno poslovanje, zapisi o incidentih, rezultati preizkusov in dokumenti o dogovorih za IKT. Dokazilo naj razkrije, kateri pravni subjekt in funkcijo zadeva ter kaj je bilo dejansko preverjeno. Zapisnik preizkusa z odprtimi težavami ne potrjuje, da so te že odpravljene.
Pristojni organi nadzorujejo finančne subjekte v zakonskem okviru, med drugim po členu 46 in naslednjih DORA. Od tega se razlikuje evropski nadzor izrecno imenovanih ključnih tretjih ponudnikov storitev IKT po členih 31 do 44. ESMA ta nadzor opisuje kot dopolnitev lastne odgovornosti in obstoječega nadzora finančnih subjektov. Splošen certifikat DORA z enotno veljavnostjo teh odnosov in obveznosti ne nadomešča.
DORA in drugi okviri.
DORA je za zajete finančne subjekte na relevantnih področjih sektorski pravni akt Unije v razmerju do NIS2; iz tega ne izhaja splošna oprostitev vseh obveznosti BSIG za vsako finančno skupino ali njeno dobavno verigo. ISO 27001 lahko organizacijsko strukturira ISMS, vendar ne nadomešča zahtev DORA in njihovih dokazil. Obveznosti varstva podatkov po GDPR je treba oceniti ločeno, zlasti če motnja hkrati zadeva osebne podatke.
V Secani.
Secani vsebuje uredniški katalog DORA na podlagi Uredbe (EU) 2022/2554 z izbranimi dopolnilnimi pravnimi akti. Podatki profila med drugim razlikujejo potrjene finančne subjekte ter polni in poenostavljeni okvir. Ti podatki podpirajo dokumentirano obravnavo; ne izvajajo samodejne pravne razvrstitve. Katalog ni uradni prevod niti potrditev skladnosti z DORA.
Začnite z enim pravnim subjektom in eno funkcijo.
Najprej izberite relevantno pravno osebo in konkretno finančno funkcijo. Zberite njeno razvrstitev, odgovornosti, sistemske odvisnosti, storitvene dogovore in zadnje rezultate preizkusov. Nato s pristojnimi osebami preverite, katere navedbe so že dokazane in katera odločitev je potrebna naslednja. Podroben vodnik na blogu ta začetek dodatno razčleni.
Viri.
- Uredba (EU) 2022/2554 o digitalni operativni odpornosti v finančnem sektorju
- Evropska komisija: kibernetska odpornost
- Evropska komisija: delegirani in izvedbeni akti za DORA
- ESMA: DORA, glavna področja in tehnični standardi
- ESMA: nadzor ključnih tretjih ponudnikov storitev IKT
- EIOPA: vprašanja in odgovori DORA 136–3193 o členu 2
- Smernice Komisije o členu 4 NIS2, 2023/C 328/02
Pogosta vprašanja.
Ne. Odločilni so pravni subjekt, njegova zakonska kategorija in možne izjeme po členu 2 DORA. Sama tržna oznaka ali majhnost podjetja ne določata niti uporabe niti oprostitve.
Ne. Imenovanje za ključnega tretjega ponudnika storitev IKT poteka v evropskem nadzornem okviru po členu 31 DORA. Sam odnos s stranko ali podpora njeni ključni funkciji ne nadomešča tega imenovanja.
Ne. Penetracijsko testiranje na podlagi groženj po členu 26 DORA zadeva izbrane finančne subjekte. Druge veljavne zahteve za preizkušanje odpornosti je treba preveriti ločeno.
Ne. Certifikat ISO 27001 potrjuje ISMS v navedenem obsegu in ne nadomešča zakonskih obveznosti DORA. Zanje ostajajo odločilne veljavne zahteve, dejansko izvajanje in njegova dokazila.
Povežite odgovornost in dokazila.
Oglejte si, kako Secani podpira obravnavo regulativnih zahtev.
Ta stran na splošno pojasnjuje DORA in ne nadomešča pravnega preverjanja konkretnega primera. Odločilni so veljavni pravni akti in zahteve pristojnega nadzornega organa.