Sel aastal kehtestas Euroopa Liit erimääruse, mille eesmärk on tõrjuda võimalikke küberohte, mis võivad mõjutada finantssektoris tegutsevaid ettevõtteid.
Niinimetatud DORA määrus ehk digitaalse tegevuskerksuse määrus (EL) 2022/2554 on uus ELi määrus, mille eesmärk on seadusandja kavatsuse kohaselt tagada finantssektori ja sellega seotud organisatsioonide digitaalne tegevuskerksus. DORA kiideti heaks 2022. aasta lõpus ning 2023. aasta jooksul toimus ettevalmistusetapp selle uute nõuete rakendamiseks. Kõik määruse sätted jõustusid täielikult 17. jaanuaril 2025.
DORA määruse kohaldamisala
Selle peamine eesmärk on kehtestada ühtsed nõuded ja standardid, mis võimaldavad finantsasutustel end küberohtude eest paremini kaitsta ning küberintsidentidele kiiresti reageerida ja neist taastuda.
Määrust kohaldatakse paljudele finantssektoris tegutsevatele või sellega seotud organisatsioonidele, sealhulgas pankadele, kindlustusseltsidele, investeerimisfondidele, makseteenuse osutajatele, krüptobörsidele jne. See hõlmab nii suurettevõtteid kui ka finantssektori väikeseid ja keskmise suurusega ettevõtteid.
DORA kohaldamisalasse võivad kuuluda ka kolmandad isikud. Teisisõnu võivad DORA nõuded kehtida tehnoloogiateenuste osutajatele (näiteks pilveteenuste pakkujatele), kes osutavad finantsorganisatsioonidele kriitilise tähtsusega teenuseid.
Erinevalt lähenemisviisidest, mis keskenduvad eelkõige finantsriskidele ja kapitalireservidele, nõuab DORA digitaalse kerksuse tagamiseks süsteemset strateegiat. Finantsorganisatsioonid peavad lisaks küberohtude vastase kaitse parandamisele koostama ka plaanid oma info- ja kommunikatsioonitehnoloogia (ICT) häirete tuvastamiseks, ohjamiseks ning nendest taastumiseks.
Seetõttu seab DORA esikohale ICT-riskid ning kehtestab nõuded riskijuhtimisele, intsidentidest teatamisele, kerksuse testimisele ja väliste IT-teenuse osutajatega seotud riskide jälgimisele. Selline lähenemisviis rõhutab tehnoloogia kriitilist rolli finantssektoris ja võimalikke süsteemseid riske, mis võivad tuleneda ICT-tõrgetest.
DORA määrusega hõlmatud sektorid
DORA mõjutab paljusid ELi finantssüsteemi sektoreid. Selle sätted hõlmavad eri liiki organisatsioone:
- Finantsasutused ja pangad: ettevõtted, mis tegelevad hoiuste vastuvõtmise, laenude väljastamise, investeerimise, valuutavahetuse jne.
- Finantsandmetega tegelevad tehnoloogiaettevõtted: organisatsioonid, mis töötlevad või säilitavad finantsteavet (sealhulgas maksetöötlejad ja fintech-idufirmad).
- ELi õigusaktidele alluvad suurettevõtted: ELis tegutsevad suurkorporatsioonid, kes peavad järgima laiaulatuslikke finants- ja regulatiivseid norme, sealhulgas DORA nõudeid.
- Finantssektori väikesed ja keskmise suurusega ettevõtted: finantstooteid ja -teenuseid pakkuvatele VKEdele kehtivad samad DORA nõuded nagu suurematele organisatsioonidele.
DORA peamised nõuded
Määruse põhinõuded hõlmavad järgmist:
- ICT-riskide juhtimine: organisatsioonid peavad rakendama ja korrapäraselt ajakohastama küberriskide tuvastamise, hindamise ja juhtimise protsesse. Selline süsteem peab hõlmama kogu ICT elutsüklit alates kavandamisest ja arendusest kuni kasutuselevõtu ning kasutuselt kõrvaldamiseni.
- Kohustuslik seire ja testimine: see hõlmab IT-taristu korrapärast testimist (sealhulgas koormusteste ja küberõppusi), et haavatavused kiiresti tuvastada. Testimise ulatus peab vastama konkreetse ettevõtte riskitasemele ning võib ulatuda põhikontrollidest kuni tegelike küberrünnakute põhjal modelleeritud eritestideni.
- Intsidendikerksus: organisatsioonid peavad koostama ja ajakohasena hoidma talitluspidevuse ning küberintsidentidest taastumise plaane, milles kirjeldatakse üksikasjalikult hädaolukordades rakendatavaid sisemenetlusi, rolle ja vastutusalasid.
- Intsidentidest teatamine: ühtsed reeglid, mille alusel teavitatakse järelevalveasutusi infoturbeintsidentidest ja küberrünnakutest, aitavad suurendada läbipaistvust ning reageerimismeetmete tõhusust. See tagab, et ICT-ga seotud probleemid tuvastatakse kiiresti, dokumenteeritakse põhjalikult ja lahendatakse viivitamata, et vähendada võimalikku kahju. Intsidentide kohta tuleb pidada üksikasjalikku registrit ja teha see järelevalveasutustele nõudmisel kättesaadavaks.
- Koostöö tarnijatega: organisatsioonid peavad ohjama ja jälgima riske, mis võivad tuleneda sõltuvusest välistest tehnoloogiapartneritest (nt pilveteenuste pakkujatest). Nad vastutavad selle eest, et need tarnijad suudaksid säilitada vajaliku kerksuse taseme, ning peavad kontrollima, kas tarnijate tegevus vastab DORA nõuetele.
Eesmärgid ja eelised
DORA eesmärk on ühtlustada ja standardida infoturbe ning tegevuskerksuse käsitlust kogu ELi finantssektoris. Ühtse standardi kehtestamisega soovitakse parandada kaitset küberohtude eest, suurendada vastupanuvõimet küberrünnakutele ning vähendada rahalise kahju ja maine kahjustamisega seotud riske.
Rangemad reeglid ja suurem läbipaistvus suurendavad omakorda klientide usaldust finantsorganisatsioonide vastu. Ühtne reeglistik lihtsustab ka regulatiivset keskkonda, sest ettevõtted ei pea enam korraga orienteeruma mitme riigi nõuetes.
Seega on DORA määruse eesmärk suurendada küberkerksust ja tagada finantsteenuste usaldusväärsus kogu ELis, kaitstes nii organisatsioone kui ka nende kliente tänapäevaste küberohtude ning tehnoloogiliste riskide eest.
Nõuete eiramise eest määratavad sanktsioonid
Digitaalse tegevuskerksuse määrus (DORA) näeb nõuete eiramise eest ette märkimisväärsed sanktsioonid. Nende hulka kuuluvad haldustrahvid, mis võivad ulatuda kuni 1%-ni ülemaailmsest keskmisest päevakäibest. Peale selle võib trahv suureneda iga nõuete eiramise päeva eest, kuni kõik rikkumised on kõrvaldatud. Lisaks trahvidele võib nõuete eiramine kahjustada ettevõtte mainet ning põhjustada klientide, investorite ja teiste sidusrühmade usalduse kaotuse.
DORA rikkumised võivad kaasa tuua järelevalveasutuste rangema kontrolli. DORA nõuete täitmata jätmine võib põhjustada ka teenuste ja tegevuse häireid, mõjutades negatiivselt klientide rahulolu ning mainet. Erandjuhtudel, kui tegemist on raskete rikkumistega, võivad otsuste eest vastutavad isikud sattuda kriminaalvastutusele.
Oluline on mõista, et need sanktsioonid ei välista üksteist. Ettevõttele võivad korraga osaks saada mitmed tagajärjed: trahvid, mainekahju ja võimalikud kriminaalõiguslikud meetmed.
Võtke meiega ühendust
Selliste sanktsioonide vältimiseks peavad finantsasutused ennetavalt tagama DORA nõuete järgimise. See hõlmab korrapärast riskide hindamist, intsidentidele reageerimise plaanide koostamist, kerksuse testimist ja kolmandate isikutega seotud riskide jälgimist.
Eesti Firma pakub digivarade turul tegutsevatele ettevõtetele õigusabi ja nõustamisteenuseid. Võttes arvesse iga kliendi eripära, on Eesti Firma valmis nõustama ja selgitama, kuidas DORA määrust praktikas kohaldatakse.
