Czym jest DORA?
DORA to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 roku w sprawie operacyjnej odporności cyfrowej sektora finansowego. Jako rozporządzenie obowiązuje bezpośrednio we wszystkich państwach członkowskich, bez konieczności transpozycji do prawa krajowego, i jest stosowane od 17 stycznia 2025 roku.
Celem DORA jest zapewnienie, że sektor finansowy w Unii Europejskiej potrafi utrzymać ciągłość krytycznych usług także podczas poważnych zakłóceń ICT i cyberataków. Rozporządzenie konsoliduje i ujednolica wcześniejsze, rozproszone wytyczne nadzorcze w jeden spójny, egzekwowalny zbiór wymogów. Szczegóły techniczne precyzują regulacyjne i wykonawcze standardy techniczne (RTS/ITS) opracowane przez europejskie urzędy nadzoru (EBA, EIOPA, ESMA).
W Polsce organem nadzoru odpowiedzialnym za egzekwowanie DORA wobec podmiotów finansowych jest Komisja Nadzoru Finansowego (KNF). To do niej trafiają między innymi zgłoszenia poważnych incydentów ICT oraz rejestry informacji o umowach z dostawcami ICT.
Kogo dotyczy?
DORA obejmuje ponad dwadzieścia kategorii podmiotów finansowych działających w Unii Europejskiej: od największych banków po mniejsze instytucje płatnicze. Co istotne, rozporządzenie sięga także poza sam sektor finansowy: kluczowi zewnętrzni dostawcy usług ICT (na przykład dostawcy chmury obliczeniowej), wyznaczeni jako krytyczni, podlegają bezpośredniemu nadzorowi europejskich urzędów nadzoru.
- Instytucje kredytowe (banki) oraz instytucje płatnicze i instytucje pieniądza elektronicznego
- Firmy inwestycyjne, zarządzający alternatywnymi funduszami inwestycyjnymi i spółki zarządzające
- Zakłady ubezpieczeń i reasekuracji oraz pośrednicy ubezpieczeniowi (z wyłączeniem najmniejszych)
- Dostawcy usług w zakresie kryptoaktywów oraz emitenci tokenów powiązanych z aktywami (zgodnie z MiCA)
- Centralne depozyty papierów wartościowych, kontrahenci centralni, systemy obrotu, repozytoria transakcji
- Instytucje pracowniczych programów emerytalnych, agencje ratingowe, dostawcy usług finansowania społecznościowego
- Kluczowi (krytyczni) zewnętrzni dostawcy usług ICT dla sektora finansowego, w tym dostawcy chmury
5 filarów DORA
Wymogi DORA są zorganizowane wokół pięciu filarów, które razem tworzą kompletny system operacyjnej odporności cyfrowej:
- Zarządzanie ryzykiem ICT (art. 5-16): ramy zarządzania ryzykiem ICT z pełną odpowiedzialnością organu zarządzającego: identyfikacja aktywów, ochrona, wykrywanie, reagowanie i odzyskiwanie, kopie zapasowe, ciągłe doskonalenie.
- Zarządzanie incydentami ICT i ich raportowanie (art. 17-23): jednolity proces obsługi i klasyfikacji incydentów oraz obowiązek raportowania poważnych incydentów do nadzorcy (w Polsce: KNF) w trzech etapach: zgłoszenie wstępne, raport pośredni, raport końcowy.
- Testowanie operacyjnej odporności cyfrowej (art. 24-27): coroczny program testów krytycznych systemów, a dla podmiotów wyznaczonych przez nadzorcę zaawansowane testy penetracyjne oparte na analizie zagrożeń (TLPT) co najmniej raz na 3 lata.
- Zarządzanie ryzykiem ze strony zewnętrznych dostawców ICT (art. 28-44): rejestr informacji o wszystkich umowach ICT, obowiązkowe klauzule umowne, ocena ryzyka koncentracji, strategie wyjścia oraz unijny nadzór nad krytycznymi dostawcami ICT.
- Wymiana informacji o cyberzagrożeniach (art. 45): dobrowolne porozumienia o wymianie informacji i analiz o zagrożeniach między podmiotami finansowymi, z poszanowaniem ochrony danych i tajemnicy zawodowej.
Relacja do NIS 2
DORA jest lex specialis wobec dyrektywy NIS 2. Dla podmiotów finansowych objętych DORA jej wymogi dotyczące zarządzania ryzykiem ICT i raportowania incydentów mają pierwszeństwo przed odpowiadającymi im przepisami NIS 2. Podmiot finansowy stosujący DORA nie raportuje więc tych samych incydentów podwójnie według reżimu NIS 2.
W praktyce oznacza to, że bank czy zakład ubezpieczeń realizuje wymogi DORA, natomiast NIS 2 (w Polsce wdrażana nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa) obejmuje pozostałe sektory kluczowe i ważne. Oba reżimy są jednak spójne koncepcyjnie (analiza ryzyka, obsługa incydentów, bezpieczeństwo łańcucha dostaw), dlatego organizacje działające na styku sektorów mogą znaczną część wdrożenia współdzielić.
Jak pomaga Guardiso?
Guardiso zawiera pełny standard DORA jako 45 kontroli odwzorowujących wszystkie pięć filarów rozporządzenia (artykuły 5-45). Każda kontrola ma opis wymogu po polsku i angielsku, status wdrożenia, właściciela oraz miejsce na dowody zgodności, dzięki czemu w każdej chwili widzisz realny poziom przygotowania organizacji.
Moduł zarządzania dostawcami pozwala prowadzić rejestr umów z zewnętrznymi dostawcami usług ICT (kluczowy obowiązek czwartego filaru DORA) wraz z oceną ryzyka dostawców i kompletem informacji wymaganych przez nadzorcę. Moduł incydentów wspiera rejestrowanie, klasyfikację i obsługę incydentów ICT, porządkując materiał potrzebny do raportowania poważnych incydentów do KNF.
Mapowanie wymogów DORA na ISO 27001 pokazuje, które wymogi DORA pokrywasz już istniejącymi zabezpieczeniami systemu zarządzania bezpieczeństwem informacji, więc organizacja z wdrożonym ISO 27001 startuje z wysokiego poziomu i skupia się wyłącznie na lukach specyficznych dla DORA, zamiast budować wszystko od zera.