Kaj je DORA in od kdaj velja
Uredba (EU) 2022/2554 o digitalni operativni odpornosti finančnega sektorja, krajše DORA, določa enotne zahteve za varnost omrežij in informacijskih sistemov v finančnem sektorju EU. Uporablja se od 17. januarja 2025. Ker gre za uredbo, velja neposredno, brez prenosa v nacionalno zakonodajo. Podrobnosti urejajo regulativni in izvedbeni tehnični standardi (RTS in ITS), ki so jih pripravili evropski nadzorni organi EBA, EIOPA in ESMA.
Cilj uredbe je, da finančni subjekt vzdrži, se odzove in si opomore od motenj IKT, ne glede na to, ali jih povzroči kibernetski napad, okvara sistema ali izpad ponudnika. Odgovornost za to nosi upravljalni organ, ne le oddelek IT.
Ali in kako vas DORA zavezuje, hitro preverite z orodjem na tej strani. V nadaljevanju povzemamo ključne zahteve.
Za koga velja
2. člen uredbe našteva več kot dvajset vrst finančnih subjektov. Med njimi so kreditne institucije, plačilne institucije in institucije za izdajo elektronskega denarja, investicijska podjetja, družbe za upravljanje in upravitelji alternativnih investicijskih skladov, zavarovalnice in pozavarovalnice, zavarovalni posredniki, institucije za poklicno pokojninsko zavarovanje, ponudniki storitev v zvezi s kriptosredstvi, infrastruktura finančnega trga (mesta trgovanja, centralne depotne družbe, centralne nasprotne stranke) ter bonitetne agencije. Za nekatere manjše subjekte, na primer manjše zavarovalne posrednike, veljajo izjeme.
Obveznosti so sorazmerne z velikostjo, naravo in profilom tveganja subjekta (4. člen). Nekateri manjši subjekti, na primer mala in nepovezana investicijska podjetja ter izvzete plačilne institucije in institucije za izdajo elektronskega denarja, namesto 5. do 15. člena uporabljajo poenostavljeni okvir iz 16. člena. Olajšave veljajo tudi za mikropodjetja.
Posebno vlogo imajo tretji ponudniki storitev IKT: oblak, podatkovni centri, upravljane IT in varnostne storitve, programska oprema. Niso finančni subjekti, vendar jih DORA zadeva prek pogodb s strankami. Ponudnike, ki so za finančni sistem ključni, evropski nadzorni organi določijo za kritične (CTPP) in jih neposredno nadzirajo.
V Sloveniji je pristojni organ odvisen od vrste subjekta: praviloma Banka Slovenije, Agencija za trg vrednostnih papirjev (ATVP) ali Agencija za zavarovalni nadzor (AZN).
Pet stebrov DORA
Zahteve uredbe se običajno povzemajo v pet stebrov. Na enakih stebrih temelji tudi ocena v orodju.
| Steber | Členi | Ključne zahteve |
|---|---|---|
| Obvladovanje tveganj IKT | 5. do 16. | okvir, ki ga potrdi in nadzira upravljalni organ; popis sredstev in odvisnosti; zaščita, zaznavanje, odziv in obnova; politika neprekinjenega poslovanja IKT in varnostnih kopij |
| Incidenti IKT | 17. do 23. | postopek upravljanja incidentov; razvrščanje po enotnih merilih; poročanje o večjih incidentih pristojnemu organu; obveščanje strank |
| Testiranje odpornosti | 24. do 27. | program testiranja na podlagi tveganj; vsaj letni testi sistemov, ki podpirajo kritične ali pomembne funkcije; TLPT najmanj vsake tri leta za subjekte, ki jih določi organ |
| Tveganja tretjih ponudnikov IKT | 28. do 30. | strategija in politika za tveganja tretjih ponudnikov; register informacij; ocena tveganja koncentracije; obvezne pogodbene določbe; izhodne strategije |
| Izmenjava informacij | 45. | prostovoljna izmenjava informacij o kibernetskih grožnjah med finančnimi subjekti; obvestilo pristojnemu organu o sodelovanju |
Pri obvladovanju tveganj je bistveno, da so dokumentirani in preizkušeni tudi načrti obnove. Cilji RTO in RPO morajo izhajati iz kritičnosti poslovnih funkcij, ne iz zmogljivosti obstoječe opreme. Kako jih postaviti in preračunati, prikazuje vodnik Varnostno kopiranje: RPO in RTO.
Poročanje o večjih incidentih
Finančni subjekt mora vse incidente, povezane z IKT, beležiti in razvrščati po merilih iz delegirane uredbe (EU) 2024/1772, na primer po številu prizadetih strank, trajanju, geografski razširjenosti, izgubi podatkov, kritičnosti storitev in gospodarskem vplivu. Ko incident doseže prag večjega incidenta, začnejo teči roki za poročanje pristojnemu organu. Roke določa delegirana uredba (EU) 2025/301.
| Poročilo | Rok | Vsebina na kratko |
|---|---|---|
| Začetno obvestilo | v 4 urah od razvrstitve incidenta kot večjega, vendar najpozneje v 24 urah od trenutka, ko je subjekt za incident izvedel | osnovni podatki o incidentu in prvi oceni vpliva |
| Vmesno poročilo | v 72 urah od začetnega obvestila; posodobitve ob pomembnih spremembah | podrobnejši opis, vzroki, vpliv in sprejeti ukrepi |
| Končno poročilo | najpozneje en mesec po zadnjem vmesnem poročilu | analiza temeljnega vzroka, dejanski vpliv in trajni ukrepi |
Za nekatere subjekte veljajo posebna pravila, kadar rok pade na vikend ali praznik. Natančne pogoje preverite v uredbi in pri svojem nadzorniku. Ker se roki merijo v urah, je poročanje izvedljivo le s 24-urnim zaznavanjem, vnaprej določenimi vlogami in pripravljenimi predlogami. Pomembne kibernetske grožnje lahko subjekt pristojnemu organu sporoči tudi prostovoljno.
Ponudniki IKT, register informacij in izhodne strategije
Steber tretjih ponudnikov v praksi pogosto zahteva največ dela. Finančni subjekt ostaja v celoti odgovoren za skladnost tudi takrat, ko storitve IKT prepusti zunanjemu ponudniku.
- Register informacij. Popis vseh pogodbenih dogovorov za storitve IKT z obveznimi podatki o ponudnikih, storitvah, lokacijah in podizvajalcih. Obliko določa izvedbena uredba (EU) 2024/2956, nadzorniki pa register redno zbirajo.
- Pogodbene določbe. 30. člen določa najmanjšo vsebino pogodb: opis storitev, lokacije obdelave podatkov, ravni storitev, pomoč ob incidentih, sodelovanje z organi, pravice odpovedi. Za storitve, ki podpirajo kritične ali pomembne funkcije, veljajo razširjene zahteve, med drugim pravice dostopa in revizije, sodelovanje pri TLPT in prehodno obdobje ob izhodu.
- Izhodne strategije. Za storitve, ki podpirajo kritične ali pomembne funkcije, mora subjekt imeti izhodno strategijo in preizkušen načrt prehoda k drugemu ponudniku ali nazaj v lastno okolje.
- Tveganje koncentracije. Subjekt mora oceniti, ali je preveč odvisen od posameznega ponudnika ali od težko nadomestljivih storitev.
Za ponudnike IKT to pomeni nova pričakovanja strank: standardni aneks DORA k pogodbam, podatke za register, dogovorjen postopek obveščanja o incidentih, dokazila o testiranju in neprekinjenem poslovanju ter jasno opredeljen izhod.
DORA in NIS2: kaj velja za koga
Direktiva NIS2 je v Sloveniji prenesena z ZInfV-1 in med drugim zajema bančništvo in infrastrukturo finančnega trga. Za finančne subjekte je DORA posebni predpis (lex specialis), zato zahteve glede obvladovanja tveganj IKT in poročanja o incidentih izpolnjujejo po DORA. Za ponudnike IKT lahko veljata oba okvira hkrati.
| Področje | DORA | NIS2 / ZInfV-1 |
|---|---|---|
| Pravna oblika | uredba, velja neposredno | direktiva, prenesena z nacionalnim zakonom |
| Zavezanci | finančni subjekti; kritični ponudniki IKT pod nadzorom EU | srednji in veliki subjekti v 18 sektorjih ter nekateri ne glede na velikost |
| Nadzor v Sloveniji | Banka Slovenije, ATVP ali AZN, glede na vrsto subjekta | Urad Vlade RS za informacijsko varnost (URSIV) |
| Poročanje o incidentih | 4 ure od razvrstitve (najpozneje 24 ur), 72 ur, 1 mesec | 24 ur, 72 ur, 1 mesec |
| Testiranje | program testiranja, za določene subjekte TLPT | ocenjevanje učinkovitosti ukrepov |
| Dobavna veriga | register informacij, obvezne pogodbene določbe, izhodne strategije | varnost dobavne verige kot eden od ukrepov |
Kako se razvrstite po NIS2, preverite v vodniku ZInfV-1 in NIS2: ali je vaša organizacija zavezanec.
Kako začeti: od ocene do dokazljive skladnosti
- Obseg in sorazmernost. Z orodjem zgoraj določite, kateri režim velja za vas, in ga potrdite s pravno službo ali nadzornikom.
- Kritične funkcije. Določite kritične ali pomembne funkcije ter sisteme, podatke in ponudnike, od katerih so odvisne.
- Analiza vrzeli. Za vsak steber primerjajte obstoječe stanje z zahtevami uredbe in tehničnih standardov ter zberite dokazila.
- Ponudniki in register. Dopolnite register informacij, pregledajte pogodbe po 30. členu in pripravite izhodne strategije.
- Preizkus v praksi. Izvedite vajo poročanja o incidentu, preizkus obnove in, kjer je potrebno, pripravo na TLPT.
Humanfrog finančnim subjektom pomaga pri popisu storitev IKT za register informacij, pripravi izhodnih strategij in testiranju odpornosti, vključno s preizkusi obnove iz varnostnih kopij Veeam v podatkovnih centrih TIER III. Z upravljanim spremljanjem varnosti podpiramo zgodnje zaznavanje incidentov. Kot ponudnik storitev IKT smo finančnim strankam pripravljeni zagotoviti podatke in pogodbene določbe, ki jih DORA zahteva. Če želite preveriti svoje izhodišče, se pogovorite z nami.
