Mis on DORA määrus? ELi digitaalse tegevuskerksuse määrus selgitatud

DORA määrus ehk digitaalse tegevuskerksuse määrus on ELi finantssektori küberkerksuse õigusakt. See sätestab, kuidas finantseerimisasutused peavad haldama küberturbe- ja IT-riske. Lihtsalt öeldes peab iga ELi pank, makseettevõtja, investeerimisühing, kindlustusandja ja krüptobörs suutma jätkata tööd ka häkkeriründe, pilveteenuse katkestuse või ebaõnnestunud tarkvarauuenduse korral ning jälgima IT-teenusepakkujaid, kellest ta sõltub.

See juhend on mõeldud inimestele, kellel puudub juriidiline või IT-taust. See käsitleb, kellele DORA kohaldub, mida see nõuab, kui kiiresti tuleb intsidendist teatada, kuidas see erineb NIS2-st ja GDPR-ist, millised on sanktsioonid ning mida DORA nõuded tähendavad fintech- ja krüptoettevõtjatele. Lõpus on lühike DORA nõuetele vastavuse kontrollnimekiri.

Mis on DORA lihtsas keeles?

DORA ehk vahel ka ELi DORA või DORA õigusakt on määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust. „Digitaalne tegevuskerksus” kõlab keeruliselt, kuid tähendab üht: kas teie ettevõte saab kliente teenindada ka siis, kui IT-s midagi läheb valesti? Kui häkker pääseb sisse, uuendus ebaõnnestub või teenusepakkuja katkestab töö — kas maksed liiguvad, kliendid saavad sisse logida ja nende andmed on kaitstud? DORA muudab selle küsimuse heast tavast õiguslikuks kohustuseks.

Enne DORAt olid igal ELi riigil ja finantssektori osal oma IT-turbe eeskirjad ning intsidendivormid. DORA asendab selle killustatuse kogu ELi finantssektori ühtse reeglistikuga. Kuna see on määrus, mitte direktiiv, kohaldub see igas liikmesriigis sõna-sõnalt — selle jõustamiseks ei ole vaja riigisisest seadust.

DORA nõuetele vastavuse tähtaeg on juba möödunud. Vastuvõtmisele järgnenud kaheaastane ettevalmistusperiood on lõppenud, kõik DORA kohustused kehtivad ning riiklikud finantsjärelevalveasutused kontrollivad nende täitmist. DORA raamistik tugineb viiele sambale, mida ülejäänud juhend ükshaaval selgitab:

• ICT-riskide juhtimine — kirjalik IT-riskide plaan, mille eest vastutab juhtorgan (juhatus);
• ICT-ga seotud intsidentide juhtimine ja neist teatamine — IT-intside ntide tuvastamine, registreerimine ja järelevalveasutusele teatamine;
• digitaalse tegevuskerksuse testimine — tavapärastest haavatavusskannimistest kuni täielike „punase meeskonna” ründesimulatsioonideni;
• ICT-kolmanda osapoole riski juhtimine — ettevõtte sõltuvuses olevate IT-teenusepakkujate kontrollimine ning nende kõigi registri pidamine;
• teabe jagamine — ohuteabe vabatahtlik vahetamine finantsettevõtjate vahel.

DORA põhimõisted

Mitmed määratletud mõisted korduvad DORA määruse igas artiklis, igal järelevalvevormil ja teenusepakkuja lepingus. Kui neid tunnete, on ülejäänut palju lihtsam lugeda.

Kellele DORA kohaldub?

DORA kohaldamisala on sätestatud artiklis 2, kus on loetletud kakskümmend finantsettevõtjate kategooriat. Kui finantseerimisasutusel on ELis mõni neist tegevuslubadest, kuulub ta kohaldamisalasse — olenemata suurusest — välja arvatud juhul, kui kehtib konkreetne erand. Peamised rühmad on järgmised.

Aga IT-ettevõtted ise? Pilveplatvormid, andmekeskused, tarkvaratootjad ja hallatud turvalisuse ettevõtted ei ole finantsettevõtjad, kuid DORA jõuab nendeni kahel viisil. Esiteks peab iga finantsettevõtja lisama lepingutesse DORA-laadsed tingimused, seega võib keelduv teenusepakkuja kliendi kaotada. Teiseks määratakse suurimad teenuseosutajad — suured pilve-, andmekeskuse-, telekommunikatsiooni- ja finantstarkvara pakkujad — kriitilise tähtsusega ICT-kolmandast isikust teenuseosutajateks ning nende üle teostatakse ELi tasandil otsest järelevalvet; loendit ajakohastatakse igal aastal.

Kas DORA kohaldub ELi-välistele ettevõtetele? Otseselt ainult ELis tegevusloaga ettevõtetele — sealhulgas Ühendkuningriigi, USA või Aasia kontsernide ELi tütarettevõtjatele ja filiaalidele. Kaudselt jõuab see iga välismaise teenusepakkujani, kes teenindab ELi finantsettevõtjat, sest kohustuslikud lepingutingimused kehtivad sõltumata teenusepakkuja asukohast. Kriitilise tähtsusega teenuseosutajaks määratud ELi-väline pakkuja peab kaheteistkümne kuu jooksul asutama ELis tütarettevõtja.

Lõpuks on DORA proportsionaalne: kohustused kasvavad koos finantseerimisasutuse suuruse ja keerukusega. Mikroettevõtjad — alla kümne töötaja ning käive või bilansimaht alla kahe miljoni euro — on vabastatud mitmest nõudest, sealhulgas ohuteabel põhinevast sissetungimistestimisest ning mõningatest juhtimis- ja aruandluskohustustest. Määratletud väiksemate ettevõtete rühm, näiteks väikesed ja mitteseotud investeerimisühingud ning teatavad vabastatud makse- ja e-raha asutused, järgib artikli 16 kohast lihtsustatud ICT-riskide juhtimise raamistikku. Väiksus ei jäta tegevusloaga ettevõtet DORA kohaldamisalast välja; see vaid vähendab koormust.

DORA nõuded: viis sammast

DORA nõuetele vastavuse nõuded jagunevad viide rühma. Koos moodustavad need ühe tsükli — ennetamine, tuvastamine, reageerimine, taastumine, õppimine — ning järelevalveasutus ootab tõendeid iga etapi kohta.

ICT-riskide juhtimise raamistik (artiklid 5–16)

Lihtsalt öeldes: teadke, milline IT teil on, mis võib sellega valesti minna, ning omage kirjalikku plaani selle kaitsmiseks ja taastamiseks. Raamistik peab sisaldama IT-varade ja sõltuvuste loetelu, kirjeldama, kuidas ettevõte probleeme ennetab ja tuvastab, kuidas ta reageerib ja taastub ning kuidas intsidentidest õpib. Seda vaadatakse läbi vähemalt kord aastas ja pärast iga olulist intsidenti. Juhtorgan kiidab selle heaks, otsustab vastuvõetava riskitaseme ning tagab eelarve. Kriitilise tähtsusega funktsioonid tuleb kaardistada, varukoopiaid tuleb tegelikult testida ning olemas peab olema IT talitluspidevuse plaan koos ettevõtte üldise talitluspidevuse plaaniga.

Intsidentidest teatamine: 4-tunnine, 72-tunnine ja ühekuuline tähtaeg

Iga ICT-ga seotud intsident tuleb registreerida ja liigitada kogu ELis samade kriteeriumide alusel: kui palju kliente see mõjutas, kui tugev oli mõju ettevõtte mainele, kui kaua see kestis, kui laialt see levis, millised andmed kadusid, kui kriitiline teenus oli ja kui palju raha oli kaalul. Künniseid ületav intsident on „oluline” ning sellest tuleb järelevalveasutusele teatada kolmes etapis: esmane teade nelja tunni jooksul pärast selle oluliseks liigitamist (ning mitte kunagi hiljem kui 24 tundi pärast sellest teada saamist), vahearuanne 72 tunni jooksul esmasest teatest ja lõpparuanne ühe kuu jooksul pärast vahearuannet. Kliente, kelle raha või andmeid see mõjutab, tuleb teavitada viivitamata. Tõsistest küberohtudest, mis ei ole veel intsidendiks muutunud, võib teatada vabatahtlikult.

Kerksuse testimine ja ohuteabel põhinev sissetungimistestimine (TLPT)

Digitaalse tegevuskerksuse testimine on iga-aastane programm: iga kriitilise tähtsusega või olulist funktsiooni toetav süsteem peab läbima haavatavusskannimisi, lüngaanalüüse, lähtekoodi ülevaatusi, stsenaariumiteste, toimivusteste ja sissetungimisteste. Ettevõtted, keda järelevalveasutus peab oluliseks nende suuruse või tõrke mõju tõttu, peavad lisaks tegema vähemalt iga kolme aasta järel ohuteabel põhinevat sissetungimistestimist. See on kvalifitseeritud eetiliste häkkerite kontrollitud rünne töötavate süsteemide vastu, mis järgib tunnustatud raamistikku. Mikroettevõtjad ja lihtsustatud raamistiku ettevõtted on TLPT-st vabastatud ning testivad kergema riskipõhise ajakava järgi.

Kolmanda osapoole risk, allhange ja teaberegister

IT allhankimine — pilveteenuse osutajale või kellelegi teisele — ei anna vastutust ära. ICT-kolmanda osapoole riski juhtimine algab kirjalikust teenusepakkujariski strateegiast; ettevõte peab teenusepakkujaid enne lepingu sõlmimist kontrollima, vältima liigset sõltuvust ühest pakkujast ning pidama teaberegistrit ehk struktureeritud loetelu kõigist IT-lepingutest, mis esitatakse järelevalveasutusele vähemalt kord aastas. Lepingud peavad sisaldama kindlat klauslite kogumit: teenuse ja lubatud taseme kirjeldust, andmete säilitamise asukohta, kontrolli- ja auditeerimisõigust, kohustust abistada intsidentide korral, lepingu lõpetamise korda ning seda, kuidas ettevõte saaks vajadusel teise teenusepakkuja juurde liikuda. Ettevõte jääb täielikult vastutavaks ka siis, kui teenusepakkuja on ELi tasandil järelevalvatav kriitilise tähtsusega pakkuja.

Küberohtusid käsitleva teabe jagamine

Finantsettevõtjad võivad usaldusväärsetes rühmades vahetada ohuteavet — ründemustreid ja kompromiteerimise indikaatoreid. Keegi ei ole kohustatud liituma, kuid liitunud ettevõte peab sellest järelevalveasutusele teatama ning teabevahetus peab järgima konfidentsiaalsuse ja andmekaitse eeskirju.

DORA vs NIS2 vs GDPR: kuidas eeskirjad kokku sobivad

Kolm ELi õigusakti kattuvad küberkerksuse ja intsidentidest teatamise valdkonnas ning paljudele finantseerimisasutustele kohaldub neist rohkem kui üks. Tabel näitab, keda iga õigusakt hõlmab ja kuidas teatamistähtajad erinevad.

Praktikas teatab finantsettevõtja IT-intside ntidest oma finantsjärelevalveasutusele, mitte riiklikule küberturbeasutusele. GDPR kohaldub paralleelselt: kui küberrünne lekib kliendiandmeid, teatab ettevõte sellest kaks korda — DORA alusel finantsjärelevalveasutusele ja GDPR-i alusel andmekaitseasutusele — kahe eri tähtaja järgi.

DORA ja krüptovarad: mida see tähendab CASP-idele ja tokenite emitentidele

Krüptoettevõtjate jaoks toimivad DORA määrus ja MiCA raamistik paarina. MiCA otsustab, kes võib ELis krüptoteenuseid osutada või tokeneid emiteerida; DORA määrab, kuidas nende teenuste taga olevat tehnoloogiat tuleb hallata. MiCA alusel tegevusloa saanud krüptovarateenuse osutaja on DORA mõistes finantsettevõtja alates tegevusloa andmisest, nagu ka varapõhiste tokenite iga emitent. MiCA ise viitab IT- ja turbenõuete puhul DORA-le, seega loeb iga järelevalveasutus neid koos.

Praktikas kontrollitakse kerksust juba tegevusloa menetluses, mitte ainult hiljem. Kui järelevalveasutus vaatab läbi CASP-i taotluse, kuuluvad toimikusse IT-riskide raamistik, talitluspidevuse plaan, intsidentide menetlused ja allhankekorraldus ning DORA on nende hindamise mõõdupuu. Krüptobörs või hoideteenuse osutaja ei saa tegevusluba — ega hoia seda — kerksusplaaniga, mis eksisteerib üksnes paberil.

Krüptoettevõtetel on ka IT-sõltuvusi, mida pangal ei ole: privaatvõtmete hoidmine, plokiahela sõlmede pakkujad, kolmandate osapoolte rahakotitaristu, nutilepingute komponendid ja ööpäevaringselt ilma hooldusaknaga toimivad turud. DORA alusel on igaüks neist IT-vara või teenusepakkujasuhe, mis tuleb loetleda, liigitada, lepinguga reguleerida ja testida. Nii jõuab DORA ka litsentsita majutus-, võtmehaldus- või plokiahelataristu pakkujateni: klientide lepingute kaudu.

DORA sanktsioonid, trahvid ja nõuete rikkumise tagajärjed

DORA sanktsioonide kohta puudub üks üleeuroopaline tabel. Selle asemel kohustab artikkel 50 iga liikmesriiki kehtestama „tõhusad, proportsionaalsed ja hoiatavad” karistused ning annab järelevalveasutustele õiguse nõuda dokumente, teha kontrolle, määrata parandusmeetmeid ja avaldada hoiatusi. Iga liikmesriigi pädev asutus kohaldab neid sektori tegevusloaseaduse alusel, mistõttu pangale, makseettevõtjale ja krüptobörsile kehtib nende enda sektori sanktsioonide süsteem.

Võite olla näinud „DORA trahvi”, mis on üks protsent keskmisest päevasest ülemaailmsest käibest. See arv on reaalne, kuid suunatud kellelegi teisele: Euroopa järelevalveasutused võivad seda päevatrahvina määrata kriitilise tähtsusega ICT-kolmandast isikust teenuseosutajale, kes eirab järelevalveotsust, kuni kuue kuu jooksul. See ei ole pankade või krüptoettevõtjate trahv. Selle kõrval vahel viidatud „2% aastakäibest” ei ole samuti DORA-s: see tuleneb NIS2-st, kus see on oluline üksuste puhul riikide kehtestatava ülempiiri miinimum. Finantsettevõtja tegelikud tagajärjed on:

• järelevalvemeetmed — paranduskorraldused, tegevuspiirangud ning rasketel juhtudel tegevusloa peatamine või kaotus;
• haldustrahvid sektori riigisisese õiguse alusel;
• juhatuse liikmete isiklik vastutus, sest DORA paneb IT-raamistiku eest vastutuse juhatusele;
• kriminaalvastutus riikides, kes on otsustanud selle lisada, mida artikkel 52 võimaldab;
• maine- ja ärikahju — klientide, pangapartnerite ning investorite kaotus.

Kes teostab DORA järelevalvet? Riiklikud ja ELi tasandi asutused

DORA igapäevane järelevalve jääb asutusele, kes ettevõttele juba tegevusloa andis — päritoluliikmesriigi keskpangale või finantsjärelevalveasutusele. See pädev asutus saab intsidenditeated ja teaberegistrid, otsustab, kes peab tegema TLPT-d, ning kontrollib IT-riskide raamistikku tavapärase järelevalve käigus. Enamik avaldab oma veebisaidil DORA juhiseid, vorme ja tähtaegu.

ELi tasandil jagavad tööd kolm asutust: Euroopa Väärtpaberiturujärelevalve, Euroopa Pangandusjärelevalve ning EIOPA, kindlustus- ja pensionide järelevalveasutus. Nad koostavad üksikasju täpsustavad tehnilised standardid ja määravad ühiselt kriitilise tähtsusega ICT-kolmandast isikust teenuseosutajad; igaühe üle teostab juhtiva järelevaatajana järelevalvet üks neist kolmest.

DORA nõuetele vastavuse kontrollnimekiri: kuidas nõudeid täita

Olenemata sellest, kas ettevõte taotleb tegevusluba või on juba järelevalve all, tõendab sama dokumentide kogum auditi käigus DORA nõuetele vastavust. Praktiline lähtepunkt DORA rakenduskava või lüngaanalüüsi jaoks:

• Kinnitage oma kohaldamisala: millisesse artikli 2 kategooriasse kuulute ning kas kohaldub lihtsustatud raamistik või mikroettevõtja erand.
• Kaardistage iga IT-vara, süsteem ja andmevoog, mis toetab kriitilise tähtsusega või olulist funktsiooni.
• Võtke vastu juhatuse kinnitatud ICT-riskide juhtimise poliitika, milles on määratud vastutajad ja iga-aastane ülevaatus.
• Looge intsidentide liigitamine, intsidendilogid ja teatamisvormid, mis vastavad seadusest tulenevatele tähtaegadele.
• Koostage iga-aastane testimiskalender ja kontrollige, kas järelevalveasutus on lisanud teid TLPT loendisse.
• Koostage kõigi IT-teenuseosutajate teaberegister ja ajakohastage nende lepingud kohustuslike klauslitega.
• Hinnake kontsentratsiooniriski ja koostage väljumiskavad kriitilise tähtsusega funktsioone toetavatele teenusepakkujatele.
• Testige varukoopiaid, taastamist ja IT talitluspidevuse plaani vähemalt kord aastas.
• Koolitage juhatust ning säilitage tõend koolituse toimumise kohta.

Eesti Firma nõustab fintech- ja krüptoettevõtjaid DORA õiguslikes küsimustes: selgitame välja kohaldatavad kohustused, viime IT-raamistiku kooskõlla MiCA tegevusloa nõuetega, vaatame läbi teenusepakkujate lepingud ning valmistame ette dokumendid, mida järelevalveasutus eeldab. Võtke meiega ühendust, et arutada, kuidas määrus teie ettevõttele kohaldub.

Taotle konsultatsiooni

Korduma kippuvad küsimused DORA kohta