Mi a DORA, és mióta hatályos
A pénzügyi ágazat digitális működési ellenálló képességéről szóló (EU) 2022/2554 rendelet, röviden a DORA, egységes követelményeket határoz meg a hálózatok és információs rendszerek biztonságára az uniós pénzügyi szektorban. 2025. január 17-től kell alkalmazni. Mivel rendeletről van szó, közvetlenül hatályos, nemzeti jogba való átültetés nélkül. A részleteket szabályozási és végrehajtási technikai standardok (RTS és ITS) határozzák meg, amelyeket az európai felügyeleti hatóságok, az EBA, az EIOPA és az ESMA készítettek elő.
A rendelet célja, hogy a pénzügyi szervezet ellenálljon az IKT-zavaroknak, reagáljon rájuk, és felépüljön belőlük, függetlenül attól, hogy kibertámadás, rendszerhiba vagy egy szolgáltató kiesése okozza őket. Ennek felelőssége az irányító testületet terheli, nem csak az IT-osztályt.
Hogy vonatkozik-e Önre a DORA, és milyen módon, gyorsan ellenőrizheti az oldalon található eszközzel. Az alábbiakban összefoglaljuk a legfontosabb követelményeket.
Kikre vonatkozik
A rendelet 2. cikke húsznál több típusú pénzügyi szervezetet sorol fel. Ezek közé tartoznak a hitelintézetek, a fizetési intézmények és az elektronikuspénz-kibocsátó intézmények, a befektetési vállalkozások, az alapkezelők és az alternatívbefektetésialap-kezelők, a biztosítók és a viszontbiztosítók, a biztosításközvetítők, a foglalkoztatói nyugdíjszolgáltató intézmények, a kriptoeszköz-szolgáltatók, a pénzügyi piaci infrastruktúrák (kereskedési helyszínek, központi értéktárak, központi szerződő felek), valamint a hitelminősítő intézetek. Egyes kisebb szervezetekre, például a kisebb biztosításközvetítőkre kivételek vonatkoznak.
A kötelezettségek arányosak a szervezet méretével, jellegével és kockázati profiljával (4. cikk). Egyes kisebb szervezetek, például a kis és nem összekapcsolt befektetési vállalkozások, valamint a mentesített fizetési intézmények és elektronikuspénz-kibocsátó intézmények az 5–15. cikk helyett a 16. cikk szerinti egyszerűsített keretrendszert alkalmazzák. A mikrovállalkozásokra is vonatkoznak könnyítések.
Különleges szerepük van a harmadik fél IKT-szolgáltatóknak: felhő, adatközpontok, menedzselt IT- és biztonsági szolgáltatások, szoftverek. Nem pénzügyi szervezetek, a DORA mégis az ügyfeleikkel kötött szerződéseiken keresztül érinti őket. Azokat a szolgáltatókat, amelyek a pénzügyi rendszer számára kulcsfontosságúak, az európai felügyeleti hatóságok kritikusnak (CTPP) jelölik ki, és közvetlenül felügyelik őket.
Magyarországon az illetékes hatóság a szervezet típusától függ: a pénzügyi szektor felügyeletét főszabályként a Magyar Nemzeti Bank (MNB) látja el. A pontos hatáskört a saját szervezettípusára vonatkozóan mindig ellenőrizze a hatályos magyar jogszabályokban és a felügyeleti hatóságnál.
A DORA öt pillére
A rendelet követelményeit általában öt pillérbe foglalják össze. Az eszközben szereplő értékelés is ugyanezekre a pillérekre épül.
| Pillér | Cikkek | Kulcsfontosságú követelmények |
|---|---|---|
| IKT-kockázatkezelés | 5–16. | az irányító testület által jóváhagyott és felügyelt keretrendszer; az eszközök és függőségek nyilvántartása; védelem, észlelés, reagálás és helyreállítás; IKT-üzletmenet-folytonossági és adatmentési szabályzat |
| IKT-incidensek | 17–23. | incidenskezelési eljárás; osztályozás egységes kritériumok szerint; a súlyos incidensek jelentése az illetékes hatóságnak; az ügyfelek értesítése |
| Az ellenálló képesség tesztelése | 24–27. | kockázatalapú tesztelési program; a kritikus vagy fontos funkciókat támogató rendszerek legalább éves tesztjei; TLPT legalább háromévente a hatóság által kijelölt szervezeteknél |
| Harmadik fél IKT-szolgáltatók kockázatai | 28–30. | a harmadik felek kockázataira vonatkozó stratégia és szabályzat; információs nyilvántartás; a koncentrációs kockázat értékelése; kötelező szerződéses rendelkezések; kilépési stratégiák |
| Információmegosztás | 45. | önkéntes információmegosztás a kiberfenyegetésekről a pénzügyi szervezetek között; az illetékes hatóság értesítése a részvételről |
A kockázatkezelésben alapvető, hogy a helyreállítási tervek is dokumentáltak és tesztelték őket. Az RTO- és RPO-céloknak az üzleti funkciók kritikusságából kell kiindulniuk, nem a meglévő eszközök teljesítményéből. Hogyan állíthatja be és számíthatja át őket, azt az Adatmentés: RPO, RTO és katasztrófa-helyreállítás útmutató mutatja be.
A súlyos incidensek jelentése
A pénzügyi szervezetnek minden IKT-val kapcsolatos incidenst rögzítenie és osztályoznia kell az (EU) 2024/1772 felhatalmazáson alapuló rendelet kritériumai szerint, például az érintett ügyfelek száma, az időtartam, a földrajzi kiterjedés, az adatvesztés, a szolgáltatások kritikussága és a gazdasági hatás alapján. Amikor az incidens eléri a súlyos incidens küszöbét, elkezdenek futni az illetékes hatóságnak való jelentés határidői. A határidőket az (EU) 2025/301 felhatalmazáson alapuló rendelet határozza meg.
| Jelentés | Határidő | Tartalma röviden |
|---|---|---|
| Kezdeti értesítés | az incidens súlyosként való minősítésétől számított 4 órán belül, de legkésőbb attól a pillanattól számított 24 órán belül, hogy a szervezet tudomást szerzett az incidensről | az incidens alapvető adatai és a hatás első becslése |
| Közbenső jelentés | a kezdeti értesítéstől számított 72 órán belül; frissítések jelentős változásoknál | részletesebb leírás, okok, hatás és megtett intézkedések |
| Zárójelentés | legkésőbb az utolsó közbenső jelentés után egy hónappal | a kiváltó ok elemzése, a tényleges hatás és a tartós intézkedések |
Egyes szervezetekre külön szabályok vonatkoznak, ha a határidő hétvégére vagy ünnepnapra esik. A pontos feltételeket ellenőrizze a rendeletben és a felügyelőjénél. Mivel a határidőket órákban mérik, a jelentés csak 24 órás észleléssel, előre meghatározott szerepekkel és elkészített sablonokkal kivitelezhető. A jelentős kiberfenyegetéseket a szervezet önkéntesen is jelentheti az illetékes hatóságnak.
IKT-szolgáltatók, információs nyilvántartás és kilépési stratégiák
A harmadik felek pillére a gyakorlatban gyakran a legtöbb munkát igényli. A pénzügyi szervezet akkor is teljes mértékben felelős a megfelelésért, ha az IKT-szolgáltatásokat külső szolgáltatóra bízza.
- Információs nyilvántartás. Az IKT-szolgáltatásokra vonatkozó összes szerződéses megállapodás jegyzéke a szolgáltatókra, a szolgáltatásokra, a helyszínekre és az alvállalkozókra vonatkozó kötelező adatokkal. A formátumot az (EU) 2024/2956 végrehajtási rendelet határozza meg, a felügyeletek pedig rendszeresen begyűjtik a nyilvántartást.
- Szerződéses rendelkezések. A 30. cikk meghatározza a szerződések minimális tartalmát: a szolgáltatások leírása, az adatfeldolgozás helyszínei, szolgáltatási szintek, segítségnyújtás incidensek esetén, együttműködés a hatóságokkal, felmondási jogok. A kritikus vagy fontos funkciókat támogató szolgáltatásokra kibővített követelmények vonatkoznak, többek között a hozzáférési és auditjogok, a TLPT-ben való együttműködés és a kilépéskori átmeneti időszak.
- Kilépési stratégiák. A kritikus vagy fontos funkciókat támogató szolgáltatásokra a szervezetnek kilépési stratégiával és tesztelt átállási tervvel kell rendelkeznie egy másik szolgáltatóhoz vagy vissza a saját környezetbe.
- Koncentrációs kockázat. A szervezetnek értékelnie kell, hogy nem függ-e túlzottan egyetlen szolgáltatótól vagy nehezen helyettesíthető szolgáltatásoktól.
Az IKT-szolgáltatók számára ez az ügyfelek új elvárásait jelenti: szabványos DORA-melléklet a szerződésekhez, adatok a nyilvántartáshoz, megállapodott incidensértesítési eljárás, igazolások a tesztelésről és az üzletmenet-folytonosságról, valamint egyértelműen meghatározott kilépés.
DORA és NIS2: mi vonatkozik kire
A NIS2-irányelvet Magyarországon a 2024. évi LXIX. törvény ültette át, és az többek között a bankszektort és a pénzügyi piaci infrastruktúrát is lefedi. A pénzügyi szervezetek számára a DORA különös szabály (lex specialis), ezért az IKT-kockázatkezelési és az incidensjelentési követelményeknek a DORA szerint felelnek meg. Az IKT-szolgáltatókra egyszerre mindkét keretrendszer vonatkozhat.
| Terület | DORA | NIS2 / 2024. évi LXIX. törvény |
|---|---|---|
| Jogi forma | rendelet, közvetlenül hatályos | irányelv, nemzeti törvénnyel átültetve |
| Kötelezettek | pénzügyi szervezetek; az uniós felügyelet alatt álló kritikus IKT-szolgáltatók | közepes és nagy szervezetek 18 ágazatban, valamint egyesek mérettől függetlenül |
| Felügyelet Magyarországon | főszabályként az MNB, a szervezet típusától függően | a törvény szerinti felügyeleti szerv (SZTFH) |
| Incidensjelentés | 4 óra a minősítéstől (legkésőbb 24 óra), 72 óra, 1 hónap | 24 óra, 72 óra, 1 hónap |
| Tesztelés | tesztelési program, egyes szervezeteknél TLPT | az intézkedések hatékonyságának értékelése |
| Ellátási lánc | információs nyilvántartás, kötelező szerződéses rendelkezések, kilépési stratégiák | az ellátási lánc biztonsága az egyik intézkedésként |
Hogy a NIS2 szerint hová sorolják, azt a NIS2 és a kiberbiztonsági törvény: érintett az Ön szervezete? útmutatóban ellenőrizheti.
Hogyan kezdjen hozzá: az értékeléstől a bizonyítható megfelelésig
- Hatály és arányosság. A fenti eszközzel állapítsa meg, melyik rendszer vonatkozik Önre, és erősítse meg a jogi osztállyal vagy a felügyelővel.
- Kritikus funkciók. Határozza meg a kritikus vagy fontos funkciókat, valamint azokat a rendszereket, adatokat és szolgáltatókat, amelyektől függenek.
- Hiányelemzés. Minden pillérnél hasonlítsa össze a meglévő állapotot a rendelet és a technikai standardok követelményeivel, és gyűjtsön igazolásokat.
- Szolgáltatók és nyilvántartás. Egészítse ki az információs nyilvántartást, tekintse át a szerződéseket a 30. cikk szerint, és készítsen kilépési stratégiákat.
- Kipróbálás a gyakorlatban. Tartson incidensjelentési gyakorlatot, helyreállítási tesztet, és ahol szükséges, TLPT-előkészítést.
A Humanfrog a pénzügyi szervezeteknek segít az IKT-szolgáltatások nyilvántartásában az információs nyilvántartáshoz, a kilépési stratégiák elkészítésében és az ellenálló képesség tesztelésében, a TIER III adatközpontokban lévő Veeam-mentésekből végzett helyreállítási tesztekkel együtt. Menedzselt biztonsági felügyelettel támogatjuk az incidensek korai észlelését. IKT-szolgáltatóként készen állunk arra, hogy a pénzügyi ügyfeleinknek biztosítsuk a DORA által megkövetelt adatokat és szerződéses rendelkezéseket. Ha ellenőriztetni szeretné a kiindulópontját, beszéljen velünk.
