DORA
Legea privind Reziliența Operațională Digitală
Prezentare generală
Legea privind Reziliența Operațională Digitală (DORA) stabilește cerințe uniforme pentru securitatea și reziliența sistemelor de rețea și informații care susțin procesele de afaceri ale entităților financiare. De asemenea, creează un cadru pentru supravegherea furnizorilor critici terți de servicii TIC.[1]
DORA este un regulament, ceea ce înseamnă că se aplică direct în toate statele membre ale UE fără transpunere.
Entități vizate
Entități financiare[2]
- Instituții de credit (bănci)
- Instituții de plată
- Instituții de monedă electronică
- Societăți de investiții
- Societăți de asigurare și reasigurare
- Depozitari centrali de valori mobiliare
- Depozitare de tranzacții
- Agenții de rating de credit
- Furnizori de servicii pentru cripto-active
- Furnizori de servicii de crowdfunding
- Furnizori de servicii de raportare a datelor
Furnizori critici terți de servicii TIC
Autoritățile europene de supraveghere desemnează furnizorii critici de servicii TIC pe baza:
- Impactului sistemic în cazul eșecului furnizorului
- Gradului de substituibilitate
- Numărului de entități financiare care depind de furnizor
Furnizorii desemnați sunt supuși cadrului de supraveghere al UE.
Cinci piloni ai DORA
1. Gestionarea riscurilor TIC (Capitolul II)
Entitățile financiare trebuie să stabilească și să mențină:
- Guvernanță: Responsabilitatea consiliului pentru strategia de risc TIC
- Cadrul de risc: Identificare, protecție, detectare, răspuns, recuperare
- Documentație: Politici, proceduri și protocoale pentru securitatea TIC
- Testare: Evaluare regulată a sistemelor și instrumentelor TIC
2. Raportarea incidentelor TIC (Capitolul III)[3]
| Cerință | Detalii |
|---|---|
| Clasificare | Criterii armonizate pentru severitatea incidentului |
| Notificare inițială | Către autoritatea competentă în termen de 4 ore de la clasificare |
| Raport intermediar | În termen de 72 de ore cu actualizări |
| Raport final | În termen de 1 lună de la rezolvare |
| Raportare voluntară | Amenințările cibernetice semnificative pot fi raportate |
Incidentele majore legate de TIC trebuie raportate folosind șabloane standardizate.
3. Testarea rezilienței operaționale digitale (Capitolul IV)
| Tip entitate | Cerință de testare |
|---|---|
| Toate entitățile | Program anual de testare TIC |
| Entități semnificative | Testare de penetrare condusă de amenințări (TLPT) la fiecare 3 ani |
| Furnizori critici TIC | Pot participa la TLPT în comun |
Testarea trebuie să acopere: evaluări de vulnerabilitate, evaluări de securitate a rețelei, revizuiri de securitate software, revizuiri de cod sursă (acolo unde este fezabil), testare bazată pe scenarii și testare de compatibilitate.
4. Gestionarea riscurilor terților (Capitolul V)[4]
Entitățile financiare trebuie să:
- Mențină un registru al tuturor aranjamentelor terțe TIC
- Efectueze diligența necesară înainte de contractare
- Evalueze riscurile de concentrare
- Include prevederi contractuale obligatorii
- Defină strategii de ieșire
- Raporteze aranjamentele autorităților competente
Termenii contractuali obligatorii includ descrieri ale nivelului serviciilor, obligații privind protecția datelor, drepturi de acces și audit, cerințe de raportare a incidentelor și drepturi de reziliere cu suport pentru tranziție.
5. Schimbul de informații (Capitolul VI)
Entitățile financiare pot face schimb de informații despre amenințările cibernetice în cadrul comunităților de încredere, sub rezerva regulilor de confidențialitate, pentru a spori apărarea colectivă.
Proporționalitate
DORA aplică proporționalitatea în funcție de dimensiunea și profilul de risc al entității, natura, amploarea și complexitatea serviciilor și importanța sistemică.
Cerințe simplificate se aplică firmelor mici și neinterconectate de investiții, instituțiilor de plată și monedă electronică sub anumite praguri și anumitor intermediari de asigurări.
Sancțiuni
Autoritățile competente pot impune:[5]
- Amenzi administrative
- Plăți periodice de penalizare
- Declarații publice
- Retragerea autorizației
- Interdicții temporare pentru funcții de conducere
Sumele specifice sunt determinate de legislația statului membru.
Implicații pentru dezvoltatori și furnizori TIC
Dacă furnizați servicii TIC sectorului financiar:
- Revizuirea contractelor: Asigurați-vă că contractele respectă cerințele DORA
- Raportarea incidentelor: Stabiliți canale de raportare către clienți
- Sprijin pentru testare: Facilitați testarea de penetrare a clienților
- Planificarea ieșirii: Permiteți o tranziție ordonată în cazul încetării contractelor
- Conștientizarea concentrării: Monitorizați dependențele de serviciile dvs.
- Desemnare critică: Pregătiți-vă pentru supravegherea potențială a UE