Što je DORA i od kada se primjenjuje
Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor, kraće DORA, propisuje jedinstvene zahtjeve za sigurnost mrežnih i informacijskih sustava u financijskom sektoru EU-a. Primjenjuje se od 17. siječnja 2025. Budući da je riječ o uredbi, vrijedi izravno, bez prenošenja u nacionalno zakonodavstvo. Pojedinosti uređuju regulatorni i provedbeni tehnički standardi (RTS i ITS), koje su pripremila europska nadzorna tijela EBA, EIOPA i ESMA.
Cilj uredbe je da financijski subjekt izdrži poremećaje povezane s IKT-om, odgovori na njih i oporavi se od njih, neovisno o tome uzrokuje li ih kibernetički napad, kvar sustava ili ispad pružatelja usluga. Odgovornost za to snosi upravljačko tijelo, a ne samo IT odjel.
Obvezuje li vas DORA i na koji način, brzo provjerite alatom na ovoj stranici. U nastavku sažimamo ključne zahtjeve.
Na koga se primjenjuje
Članak 2. uredbe navodi više od dvadeset vrsta financijskih subjekata. Među njima su kreditne institucije, platne institucije i institucije za elektronički novac, investicijska društva, društva za upravljanje i upravitelji alternativnih investicijskih fondova, društva za osiguranje i reosiguranje, posrednici u osiguranju, institucije za strukovno mirovinsko osiguranje, pružatelji usluga povezanih s kriptoimovinom, infrastruktura financijskog tržišta (mjesta trgovanja, središnji depozitoriji vrijednosnih papira, središnje druge ugovorne strane) te agencije za kreditni rejting. Za neke manje subjekte, primjerice manje posrednike u osiguranju, vrijede iznimke.
Obveze su razmjerne veličini, prirodi i profilu rizika subjekta (članak 4.). Neki manji subjekti, primjerice mala i nepovezana investicijska društva te izuzete platne institucije i institucije za elektronički novac, umjesto članaka 5. do 15. primjenjuju pojednostavnjeni okvir iz članka 16. Olakšice vrijede i za mikropoduzeća.
Posebnu ulogu imaju treće strane pružatelji usluga IKT-a: oblak, podatkovni centri, upravljane IT i sigurnosne usluge, softver. Oni nisu financijski subjekti, ali DORA se na njih odnosi preko ugovora s klijentima. Pružatelje koji su ključni za financijski sustav europska nadzorna tijela određuju kao ključne (CTPP) i izravno ih nadziru.
U Hrvatskoj nadležno tijelo ovisi o vrsti subjekta: u pravilu je to Hrvatska narodna banka (HNB) za kreditne institucije, platne institucije i institucije za elektronički novac, a Hrvatska agencija za nadzor financijskih usluga (HANFA) za investicijska društva, tržište kapitala, osiguranje i mirovinske fondove. Nadležnost za svoju vrstu subjekta potvrdite kod nadzornog tijela.
Pet stupova DORA-e
Zahtjevi uredbe obično se sažimaju u pet stupova. Na istim se stupovima temelji i procjena u alatu.
| Stup | Članci | Ključni zahtjevi |
|---|---|---|
| Upravljanje rizicima povezanima s IKT-om | 5. do 16. | okvir koji odobrava i nadzire upravljačko tijelo; popis imovine i međuovisnosti; zaštita, otkrivanje, odgovor i oporavak; politika kontinuiteta poslovanja u području IKT-a i sigurnosnih kopija |
| Incidenti povezani s IKT-om | 17. do 23. | postupak upravljanja incidentima; klasifikacija prema jedinstvenim kriterijima; izvješćivanje nadležnog tijela o velikim incidentima; obavještavanje klijenata |
| Testiranje otpornosti | 24. do 27. | program testiranja na temelju rizika; najmanje godišnji testovi sustava koji podupiru kritične ili važne funkcije; TLPT najmanje svake tri godine za subjekte koje odredi tijelo |
| Rizici povezani s trećim stranama pružateljima usluga IKT-a | 28. do 30. | strategija i politika za rizike trećih strana; registar informacija; procjena rizika koncentracije; obvezne ugovorne odredbe; strategije izlaska |
| Razmjena informacija | 45. | dobrovoljna razmjena informacija o kibernetičkim prijetnjama među financijskim subjektima; obavijest nadležnom tijelu o sudjelovanju |
Kod upravljanja rizicima bitno je da su i planovi oporavka dokumentirani i testirani. Ciljevi RTO i RPO moraju proizlaziti iz kritičnosti poslovnih funkcija, a ne iz mogućnosti postojeće opreme. Kako ih postaviti i preračunati, prikazuje vodič Sigurnosne kopije: RPO i RTO.
Izvješćivanje o velikim incidentima
Financijski subjekt mora sve incidente povezane s IKT-om bilježiti i klasificirati prema kriterijima iz Delegirane uredbe (EU) 2024/1772, primjerice prema broju pogođenih klijenata, trajanju, zemljopisnoj rasprostranjenosti, gubitku podataka, kritičnosti usluga i gospodarskom učinku. Kad incident dosegne prag velikog incidenta, počinju teći rokovi za izvješćivanje nadležnog tijela. Rokove propisuje Delegirana uredba (EU) 2025/301.
| Izvješće | Rok | Sadržaj ukratko |
|---|---|---|
| Početna obavijest | u roku od 4 sata od klasifikacije incidenta kao velikog, ali najkasnije 24 sata od trenutka kad je subjekt saznao za incident | osnovni podaci o incidentu i prva procjena učinka |
| Međuizvješće | u roku od 72 sata od početne obavijesti; ažuriranja pri važnim promjenama | detaljniji opis, uzroci, učinak i poduzete mjere |
| Završno izvješće | najkasnije mjesec dana nakon posljednjeg međuizvješća | analiza temeljnog uzroka, stvarni učinak i trajne mjere |
Za neke subjekte vrijede posebna pravila kad rok pada na vikend ili blagdan. Točne uvjete provjerite u uredbi i kod svojeg nadzornog tijela. Budući da se rokovi mjere u satima, izvješćivanje je izvedivo samo uz otkrivanje 24 sata dnevno, unaprijed određene uloge i pripremljene predloške. Značajne kibernetičke prijetnje subjekt može nadležnom tijelu prijaviti i dobrovoljno.
Pružatelji usluga IKT-a, registar informacija i strategije izlaska
Stup trećih strana u praksi često zahtijeva najviše rada. Financijski subjekt ostaje u potpunosti odgovoran za usklađenost i kad usluge IKT-a prepusti vanjskom pružatelju.
- Registar informacija. Popis svih ugovornih aranžmana za usluge IKT-a s obveznim podacima o pružateljima, uslugama, lokacijama i podizvođačima. Oblik propisuje Provedbena uredba (EU) 2024/2956, a nadzorna tijela registar redovito prikupljaju.
- Ugovorne odredbe. Članak 30. propisuje najmanji sadržaj ugovora: opis usluga, lokacije obrade podataka, razine usluga, pomoć pri incidentima, suradnju s tijelima, prava raskida. Za usluge koje podupiru kritične ili važne funkcije vrijede prošireni zahtjevi, među ostalim prava pristupa i revizije, sudjelovanje u TLPT-u i prijelazno razdoblje pri izlasku.
- Strategije izlaska. Za usluge koje podupiru kritične ili važne funkcije subjekt mora imati strategiju izlaska i testirani plan prijelaza drugom pružatelju ili natrag u vlastito okruženje.
- Rizik koncentracije. Subjekt mora procijeniti je li previše ovisan o pojedinom pružatelju ili o teško zamjenjivim uslugama.
Za pružatelje usluga IKT-a to znači nova očekivanja klijenata: standardni DORA dodatak ugovorima, podatke za registar, dogovoreni postupak obavještavanja o incidentima, dokaze o testiranju i kontinuitetu poslovanja te jasno definiran izlazak.
DORA i NIS2: što vrijedi za koga
Direktiva NIS2 u Hrvatskoj je prenesena Zakonom o kibernetičkoj sigurnosti i među ostalim obuhvaća bankarstvo i infrastrukturu financijskog tržišta. Za financijske subjekte DORA je poseban propis (lex specialis), pa zahtjeve za upravljanje rizicima povezanima s IKT-om i izvješćivanje o incidentima ispunjavaju prema DORA-i. Za pružatelje usluga IKT-a mogu istodobno vrijediti oba okvira.
| Područje | DORA | NIS2 / Zakon o kibernetičkoj sigurnosti |
|---|---|---|
| Pravni oblik | uredba, vrijedi izravno | direktiva, prenesena nacionalnim zakonom |
| Obveznici | financijski subjekti; ključni pružatelji usluga IKT-a pod nadzorom EU-a | srednji i veliki subjekti u 18 sektora te neki neovisno o veličini |
| Nadzor u Hrvatskoj | HNB ili HANFA, ovisno o vrsti subjekta | nadležna tijela prema Zakonu o kibernetičkoj sigurnosti (središnje državno tijelo i sektorska tijela) |
| Izvješćivanje o incidentima | 4 sata od klasifikacije (najkasnije 24 sata), 72 sata, 1 mjesec | 24 sata, 72 sata, 1 mjesec |
| Testiranje | program testiranja, za određene subjekte TLPT | procjena učinkovitosti mjera |
| Lanac opskrbe | registar informacija, obvezne ugovorne odredbe, strategije izlaska | sigurnost lanca opskrbe kao jedna od mjera |
Kako se kategorizirate prema NIS2, provjerite u vodiču Zakon o kibernetičkoj sigurnosti i NIS2: je li vaša organizacija obveznik.
Kako početi: od procjene do dokazive usklađenosti
- Opseg i proporcionalnost. Alatom iznad utvrdite koji režim vrijedi za vas i potvrdite ga s pravnom službom ili nadzornim tijelom.
- Kritične funkcije. Odredite kritične ili važne funkcije te sustave, podatke i pružatelje o kojima ovise.
- Analiza nedostataka. Za svaki stup usporedite postojeće stanje sa zahtjevima uredbe i tehničkih standarda te prikupite dokaze.
- Pružatelji i registar. Dopunite registar informacija, pregledajte ugovore prema članku 30. i pripremite strategije izlaska.
- Provjera u praksi. Provedite vježbu izvješćivanja o incidentu, test oporavka i, gdje je potrebno, pripremu za TLPT.
Humanfrog financijskim subjektima pomaže pri popisu usluga IKT-a za registar informacija, pripremi strategija izlaska i testiranju otpornosti, uključujući testove oporavka iz Veeam sigurnosnih kopija u podatkovnim centrima razine TIER III. Upravljanim praćenjem sigurnosti podupiremo rano otkrivanje incidenata. Kao pružatelj usluga IKT-a spremni smo financijskim klijentima osigurati podatke i ugovorne odredbe koje DORA zahtijeva. Ako želite provjeriti svoje polazište, razgovarajte s nama.
