DORA-asetus eli Digital Operational Resilience Act on EU:n rahoitusalan kyberresilienssiä koskeva säädös. Se kertoo rahoituslaitoksille, miten kyberturvallisuus- ja IT-riskejä hallitaan. Yksinkertaisesti: jokaisen EU:n pankin, maksuyrityksen, sijoituspalveluyrityksen, vakuuttajan ja kryptopörssin on kyettävä jatkamaan toimintaansa hakkeroinnin, pilvipalvelukatkon tai epäonnistuneen ohjelmistopäivityksen aikana sekä valvottava käyttämiään IT-toimittajia.
Tämä opas on kirjoitettu henkilöille, joilla ei ole oikeudellista tai IT-taustaa. Se käsittelee, keihin DORA soveltuu, mitä se edellyttää, kuinka nopeasti vaaratilanteesta on ilmoitettava, miten se eroaa NIS2:sta ja GDPR:stä, mitä seuraamuksia rikkomuksista aiheutuu sekä mitä DORA-vaatimukset tarkoittavat fintech- ja kryptoyrityksille. Lopussa on lyhyt DORA-vaatimustenmukaisuuden tarkistuslista.
Mikä DORA on yksinkertaisesti?
DORA, josta käytetään myös nimiä EU DORA ja DORA Act, on rahoitusalan digitaalista toiminnallista häiriönsietokykyä koskeva asetus (EU) 2022/2554. Ilmaus kuulostaa monimutkaiselta, mutta tarkoittaa yhtä asiaa: pystyykö yrityksesi palvelemaan asiakkaitaan, kun IT-järjestelmissä ilmenee ongelmia? Jos hakkeri pääsee sisään, päivitys epäonnistuu tai toimittaja menee offline-tilaan, kulkevatko maksut edelleen, pääsevätkö asiakkaat kirjautumaan sisään ja ovatko heidän tietonsa turvassa? DORA muuttaa tämän kysymyksen hyvästä käytännöstä lakisääteiseksi velvollisuudeksi.
Ennen DORAa jokaisella EU-maalla ja rahoitusalan osalla oli omat IT-turvallisuussääntönsä ja vaaratilanneilmoituslomakkeensa. DORA korvaa tämän tilkkutäkin yhdellä sääntökirjalla koko EU:n rahoitusalalle. Koska kyseessä on asetus eikä direktiivi, sitä sovelletaan sanasta sanaan jokaisessa jäsenvaltiossa ilman erillistä kansallista täytäntöönpanolakia.
DORA-vaatimustenmukaisuuden määräaika on jo umpeutunut. Hyväksymistä seurannut kahden vuoden valmistelujakso on päättynyt, kaikki DORA-velvoitteet ovat voimassa ja kansalliset rahoitusvalvojat tarkastavat niiden noudattamista. DORA-kehys perustuu viiteen pilariin, jotka tämä opas käy läpi:
- ICT-riskienhallinta — hallintoelimen (hallituksen) vastuulla oleva kirjallinen IT-riskisuunnitelma;
- ICT:hen liittyvien vaaratilanteiden hallinta ja ilmoittaminen — IT-vaaratilanteiden havaitseminen, kirjaaminen ja ilmoittaminen valvojalle;
- digitaalisen toiminnallisen häiriönsietokyvyn testaus — rutiininomaisista haavoittuvuusskannauksista täysimittaisiin red team -hyökkäyssimulaatioihin;
- ICT-kolmansien osapuolten riskienhallinta — yrityksen käyttämien IT-toimittajien hallinta ja niitä koskevan rekisterin ylläpito;
- tietojenvaihto — vapaaehtoinen uhkatiedustelun vaihto rahoitusyhteisöjen välillä.
Tulokset, eivät teknologiat
DORA ei kerro, mitä ohjelmistoa tai toimittajaa sinun on käytettävä. Se asettaa tavoitetulokset: ole häiriönsietokykyinen, havaitse ongelmat, palaudu nopeasti ja hallitse toimittajiasi. Hallitus vastaa näiden tulosten toteutumisen osoittamisesta, ja jäsenten on pidettävä IT-riskejä koskeva osaamisensa ajan tasalla (asetuksessa mainitaan nimenomaisesti koulutus). Kaiken luovuttaminen IT-osastolle ja asian unohtaminen on juuri sitä, minkä DORA kieltää.
DORAn keskeiset käsitteet selitettyinä
Useita määriteltyjä käsitteitä esiintyy DORA-asetuksen jokaisessa artiklassa, jokaisessa valvontalomakkeessa ja jokaisessa toimittajasopimuksessa. Kun tunnet ne, muu teksti on huomattavasti helpompi lukea.
| Rahoitusyhteisö | Asetuksen nimitys toimiluvan saaneelle rahoitusalan yritykselle — mille tahansa 2 artiklassa luetelluista kahdestakymmenestä tyypistä. Jos sinulla on jokin näistä toimiluvista, DORA koskee sinua. |
|---|---|
| ICT-kolmannen osapuolen palveluntarjoaja | Mikä tahansa rahoitusyhteisölle IT-palveluja tarjoava yritys: pilvipalvelut, ohjelmistot, datasyötteet, hallinnoitu tietoturva tai maksunkäsittely. |
| Kriittinen ICT-kolmannen osapuolen palveluntarjoaja (CTPP) | Erittäin suuri palveluntarjoaja — esimerkiksi merkittävä pilvialusta — jonka EU:n viranomaiset ovat nimenneet päävalvojan suoraan valvottavaksi, koska niin monet yritykset ovat siitä riippuvaisia. |
| Kriittinen tai tärkeä toiminto | Liiketoimintatoiminto, jonka keskeytyminen vahingoittaisi vakavasti yrityksen taloutta, estäisi lakisääteisten velvollisuuksien täyttämisen tai keskeyttäisi toimiluvan mukaiset palvelut. Maksut ja asiakastilit ovat tyypillisiä esimerkkejä. |
| Laaja ICT:hen liittyvä vaaratilanne | IT-vaaratilanne, joka on vaikutuksiltaan — asiakkaiden määrän, keston, menetettyjen tietojen tai rahallisen panoksen vuoksi — niin merkittävä, että siitä on ilmoitettava pakollisesti valvojalle. |
| Uhkalähtöinen tunkeutumistestaus (TLPT) | Edistynyt testi, jossa eettiset hakkerit hyökkäävät tuotantojärjestelmiin kuten todellinen hyökkääjä. Se vaaditaan vähintään kolmen vuoden välein yrityksiltä, jotka valvoja on siihen määritellyt; valvoja voi vaatia sitä useamminkin. |
| Tietorekisteri | Jäsennelty luettelo yrityksen kaikista IT-sopimuksista; se pidetään ajan tasalla ja toimitetaan valvojalle vähintään kerran vuodessa. |
| Tekniset sääntelystandardit (RTS) | Yksityiskohtaiset toteutusohjeet — mallit, kynnysarvot ja menetelmät — joita EU:n viranomaiset antavat asetuksen täydentämiseksi. |
Keihin DORA soveltuu?
DORAn soveltamisala määritellään 2 artiklassa, jossa luetellaan kaksikymmentä rahoitusyhteisöjen luokkaa. Jos rahoituslaitoksella on jokin näistä toimiluvista missä tahansa EU:ssa, se kuuluu soveltamisalaan koosta riippumatta, ellei erityistä poikkeusta sovelleta. Tärkeimmät ryhmät ovat seuraavat.
| Sektori | Soveltamisalaan kuuluvat | Hyvä tietää |
|---|---|---|
| Pankkitoiminta ja maksut | Pankit, maksulaitokset, sähköisen rahan liikkeeseenlaskijalaitokset, tilitietopalvelujen tarjoajat | MiCAn mukaiset sähköisen rahan rahakkeiden liikkeeseenlaskijat kuuluvat soveltamisalaan, koska niiden on oltava pankkeja tai sähköisen rahan laitoksia |
| Sijoitukset ja rahastot | Sijoituspalveluyritykset, rahastojen hoitajat (AIFM:t ja UCITS-rahastot), kaupankäyntipaikat, keskusvastapuolet, arvopaperikeskukset | Pieniin ja toisiinsa kytkeytymättömiin sijoituspalveluyrityksiin sovelletaan kevennettyä kehystä |
| Kryptovarat | Kryptovarapalvelun tarjoajat ja omaisuusreferenssiksi sidottujen rahakkeiden liikkeeseenlaskijat | Molemmat saavat toimiluvan MiCAn nojalla; soveltamisala alkaa toimiluvan myöntämispäivästä |
| Vakuutus ja eläkkeet | Vakuutusyhtiöt, jälleenvakuuttajat, vakuutusedustajat, lisäeläkerahastot | Mikro-, pienet ja keskisuuret välittäjät on vapautettu |
| Markkinadata ja infrastruktuuri | Luottoluokituslaitokset, raportointipalvelujen tarjoajat, kauppatietorekisterit ja arvopaperistamisrekisterit, kriittisten vertailuarvojen ylläpitäjät | Useita näistä valvotaan suoraan EU-tasolla |
| Muut | Joukkorahoitusalustat, ICT-kolmannen osapuolen palveluntarjoajat | Katso alta, miten IT-palveluntarjoajat kuuluvat soveltamisalaan |
Miten IT-yritysten käy? Pilvialustat, datakeskukset, ohjelmistotoimittajat ja hallinnoidun tietoturvan yritykset eivät ole rahoitusyhteisöjä, mutta DORA ulottuu niihin kahdella tavalla. Ensinnäkin jokaisen rahoitusyhteisön on sisällytettävä DORAn mukaiset ehdot niiden kanssa tehtäviin sopimuksiin, joten kieltäytyvä toimittaja voi menettää asiakkaan. Toiseksi suurimmat palveluntarjoajat — merkittävät pilvi-, datakeskus-, tele- ja rahoitusohjelmistotoimittajat — nimetään kriittisiksi ICT-kolmannen osapuolen palveluntarjoajiksi ja niitä valvotaan suoraan EU-tasolla; luettelo päivitetään vuosittain.
Sovelletaanko DORAa EU:n ulkopuolisiin yrityksiin? Suoraan vain EU:ssa toimiluvan saaneisiin yrityksiin, mukaan lukien Yhdistyneen kuningaskunnan, Yhdysvaltojen tai Aasian konsernien EU-tytäryhtiöt ja sivuliikkeet. Välillisesti se ulottuu kaikkiin EU:n rahoitusyritystä palveleviin ulkomaisiin toimittajiin, koska pakollisia sopimuslausekkeita sovelletaan toimittajan sijaintipaikasta riippumatta. Kriittiseksi nimetty EU:n ulkopuolinen palveluntarjoaja joutuu perustamaan EU-tytäryhtiön kahdentoista kuukauden kuluessa.
Lopuksi DORA on suhteellisuusperiaatteen mukainen: velvoitteet kasvavat rahoituslaitoksen koon ja monimutkaisuuden mukana. Mikroyritykset — alle kymmenen työntekijää ja alle kaksi miljoonaa euroa liikevaihtoa tai taseen loppusummaa — vapautetaan useista vaatimuksista, mukaan lukien uhkalähtöisestä tunkeutumistestauksesta sekä osasta hallinto- ja raportointivelvoitteita. Määritelty ryhmä pienempiä yrityksiä, kuten pienet ja toisiinsa kytkeytymättömät sijoituspalveluyritykset sekä tietyt vapautetut maksulaitokset ja sähköisen rahan laitokset, noudattaa 16 artiklan mukaista yksinkertaistettua ICT-riskienhallintakehystä. Pieni koko ei poista toimiluvan saanutta yritystä DORAn piiristä, vaan keventää vain velvoitteita.
DORA-vaatimukset: viisi pilaria selitettyinä
DORA-vaatimustenmukaisuus jakautuu viiteen ryhmään. Yhdessä ne muodostavat yhden kierron — ehkäise, havaitse, reagoi, palaudu, opi — ja valvoja odottaa näyttöä jokaisesta vaiheesta.
ICT-riskienhallintakehys (5–16 artikla)
Selkokielellä: tiedä, mitä IT-järjestelmiä sinulla on, mitä niissä voi mennä pieleen, ja laadi kirjallinen suunnitelma niiden suojaamiseksi ja palauttamiseksi. Kehyksessä on lueteltava IT-omaisuus ja riippuvuudet sekä kuvattava, miten yritys ehkäisee ja havaitsee ongelmia, reagoi niihin, palautuu niistä ja oppii vaaratilanteista. Se tarkistetaan vähintään kerran vuodessa ja jokaisen laajan vaaratilanteen jälkeen. Hallintoelin hyväksyy sen, päättää hyväksyttävästä riskitasosta ja järjestää budjetin. Kriittiset toiminnot on kartoitettava, varmuuskopioita on aidosti testattava, ja yleisen jatkuvuussuunnitelman rinnalla on oltava IT-jatkuvuussuunnitelma.
Vaaratilanneilmoitukset: 4 tunnin, 72 tunnin ja yhden kuukauden määräajat
Jokainen ICT:hen liittyvä vaaratilanne on kirjattava ja luokiteltava samoin perustein kaikkialla EU:ssa: kuinka monta asiakasta vaikutus koski, kuinka paljon yrityksen maine kärsi, kuinka kauan tilanne kesti, kuinka laajalle se levisi, mitä tietoja menetettiin, kuinka kriittinen palvelu oli ja kuinka paljon rahaa oli vaarassa. Kynnysarvot ylittävä vaaratilanne on laaja, ja siitä on ilmoitettava valvojalle kolmessa vaiheessa: ensitiedote neljän tunnin kuluessa siitä, kun se on päätetty luokitella laajaksi (eikä koskaan myöhemmin kuin 24 tuntia siitä, kun yritys sai siitä tiedon), väliraportti 72 tunnin kuluessa ensitiedotteesta ja loppuraportti kuukauden kuluessa väliraportista. Asiakkaille, joiden rahoihin tai tietoihin vaikutus kohdistuu, on ilmoitettava ilman aiheetonta viivytystä. Vakavista kyberuhkista, jotka eivät ole muuttuneet vaaratilanteiksi, voi ilmoittaa vapaaehtoisesti.
Häiriönsietokyvyn testaus ja uhkalähtöinen tunkeutumistestaus (TLPT)
Digitaalisen toiminnallisen häiriönsietokyvyn testaus on vuosittainen ohjelma: jokaiselle kriittistä tai tärkeää toimintoa tukevalle järjestelmälle tehdään haavoittuvuusskannauksia, puuteanalyysejä, lähdekoodikatselmointeja, skenaariotestejä, suorituskykytestejä ja tunkeutumistestejä. Yritysten, joita valvoja pitää merkittävinä niiden koon tai toimintahäiriön vaikutusten vuoksi, on lisäksi tehtävä uhkalähtöinen tunkeutumistestaus vähintään kolmen vuoden välein. Kyseessä on pätevien eettisten hakkereiden valvottu hyökkäys tuotantojärjestelmiin tunnustettua kehystä noudattaen. Mikroyritykset ja yksinkertaistetun kehyksen yritykset on vapautettu TLPT:stä, ja niiden testaus on kevyempää sekä riskiperusteista.
Kolmansien osapuolten riski, ulkoistaminen ja tietorekisteri
IT:n ulkoistaminen — pilvipalveluntarjoajalle tai kenelle tahansa muulle — ei ulkoista vastuuta. ICT-kolmansien osapuolten riskienhallinta alkaa kirjallisesta toimittajariskistrategiasta; yrityksen on arvioitava toimittajat ennen sopimuksen tekemistä, vältettävä liiallista riippuvuutta yhdestä palveluntarjoajasta ja pidettävä tietorekisteriä — jäsenneltyä luetteloa kaikista IT-sopimuksista — joka toimitetaan valvojalle vähintään vuosittain. Sopimuksissa on oltava ennalta määrätty joukko lausekkeita: palvelun sisältö ja luvattu taso, tietojen säilytyspaikka, tarkastus- ja auditointioikeus, velvollisuus avustaa vaaratilanteissa, sopimuksen päättämistapa sekä se, miten yritys siirtyisi tarvittaessa toiselle palveluntarjoajalle. Yritys säilyy täysimääräisesti vastuussa, vaikka toimittaja olisi EU-tasolla valvottu kriittinen palveluntarjoaja.
Kyberuhkia koskeva tietojenvaihto
Rahoitusyhteisöt voivat vaihtaa uhkatiedustelua — hyökkäysmalleja ja kompromettoitumisen indikaattoreita — luotetuissa ryhmissä. Liittyminen ei ole pakollista, mutta liittyvän yrityksen on ilmoitettava siitä valvojalle, ja tietojenvaihdossa on noudatettava luottamuksellisuus- ja tietosuojasääntöjä.
DORA vs. NIS2 vs. GDPR: miten säännöt liittyvät toisiinsa
Kolme EU-säädöstä menee osittain päällekkäin kyberresilienssin ja vaaratilanteista ilmoittamisen osalta, ja monet rahoituslaitokset kuuluvat useamman kuin yhden piiriin. Taulukko näyttää, keitä kukin säädös koskee ja miten ilmoitusaikataulut eroavat.
| Näkökulma | DORA | NIS2-direktiivi | GDPR |
|---|---|---|---|
| Keitä se koskee | Rahoitusalan yrityksiä ja niiden IT-palveluntarjoajia | Keskeisillä aloilla toimivia olennaisia ja tärkeitä toimijoita, pankkiala mukaan lukien | Kaikkia henkilötietoja käsitteleviä |
| Mitä se suojaa | Rahoituspalvelujen ja niiden IT:n jatkuvuutta | Kriittisten alojen verkko- ja tietoturvaa | Luonnollisten henkilöiden henkilötietoja |
| Ensimmäisen ilmoituksen määräaika | 4 tunnin kuluessa luokittelusta, enintään 24 tuntia tiedoksisaannista | Varhaisvaroitus 24 tunnin kuluessa | 72 tunnin kuluessa tietosuojaviranomaiselle |
| Jatkoraportit | Väliraportti 72 tunnissa; loppuraportti kuukaudessa | Ilmoitus 72 tunnissa; loppuraportti kuukaudessa | Vaiheittain, kun tosiseikat selviävät |
| Säädösmuoto | Asetus — sovelletaan suoraan | Direktiivi — kukin maa säätää oman lakinsa | Asetus — sovelletaan suoraan |
| Keskinäinen suhde | Erityissäädös: syrjäyttää NIS2:n rahoitusyritysten osalta | Soveltuu rahoitusyrityksiin vain, kun DORA ei sääntele asiaa | Sovelletaan rinnakkain; yksi vaaratilanne voi laukaista molemmat |
Käytännössä rahoitusalan yritys ilmoittaa IT-vaaratilanteista rahoitusvalvojalleen, ei kansalliselle kyberturvallisuusvirastolle. GDPR soveltuu rinnakkain: jos kyberhyökkäys vuotaa asiakastietoja, yritys tekee kaksi ilmoitusta — DORAn nojalla rahoitusvalvojalle ja GDPR:n nojalla tietosuojaviranomaiselle — kahden eri aikataulun mukaisesti.
DORA ja kryptovarat: mitä se tarkoittaa CASP:ille ja tokenien liikkeeseenlaskijoille
Kryptoalan yrityksille DORA-asetus ja MiCA-kehys muodostavat parin. MiCA määrittää, kuka saa tarjota kryptopalveluja tai laskea liikkeeseen tokeneita EU:ssa; DORA määrittää, miten näiden palvelujen taustalla olevaa teknologiaa on hallittava. MiCAn nojalla toimiluvan saanut kryptovarapalvelun tarjoaja on DORAn mukainen rahoitusyhteisö siitä hetkestä lähtien, kun toimilupa myönnetään, samoin kuin omaisuusreferenssiksi sidottujen rahakkeiden liikkeeseenlaskija. MiCA viittaa itse DORAan IT- ja tietoturvavaatimuksissa, joten jokainen valvoja tulkitsee niitä yhdessä.
Käytännössä häiriönsietokyky tarkastetaan jo toimilupaprosessissa, ei vain jälkikäteen. Kun valvoja käsittelee CASP-hakemusta, asiakirjoihin kuuluvat IT-riskikehys, liiketoiminnan jatkuvuussuunnitelma, vaaratilannemenettelyt ja ulkoistamisjärjestelyt, ja niitä arvioidaan DORAn perusteella. Kryptopörssi tai säilytyspalvelu ei voi saada — eikä säilyttää — toimilupaansa häiriönsietokykysuunnitelmalla, joka on vain paperilla.
Kryptoyrityksillä on myös IT-riippuvuuksia, joita pankilla ei ole: yksityisavainten säilytys, lohkoketjusolmujen palveluntarjoajat, kolmannen osapuolen lompakkoinfrastruktuuri, älysopimuskomponentit sekä markkinat, jotka käyvät kauppaa ympäri vuorokauden ilman huoltoikkunaa. DORAn mukaan jokainen näistä on IT-omaisuuserä tai toimittajasuhde, joka on luetteloitava, luokiteltava, sopimuksellisesti hallittava ja testattava. Näin myös toimiluvattomat hosting-, avaintenhallinta- tai lohkoketjuinfrastruktuurin toimittajat päätyvät noudattamaan DORAa: asiakkaidensa sopimusten kautta.
DORAn seuraamukset, sakot ja rangaistukset laiminlyönneistä
DORA-seuraamuksille ei ole yhtä koko EU:n kattavaa taulukkoa. Sen sijaan 50 artikla velvoittaa jokaisen jäsenvaltion säätämään seuraamuksista, jotka ovat ”tehokkaita, oikeasuhteisia ja varoittavia”, ja antaa valvojille toimivallan vaatia asiakirjoja, tehdä tarkastuksia, määrätä korjauksia ja julkaista varoituksia. Kunkin jäsenvaltion kansallinen toimivaltainen viranomainen soveltaa niitä sektorin oman toimilupalainsäädännön nojalla, joten pankkia, maksuyritystä ja kryptopörssiä koskee kunkin oman sektorin seuraamusasteikko.
Olet ehkä nähnyt DORA-sakon, joka on yksi prosentti keskimääräisestä maailmanlaajuisesta päivittäisestä liikevaihdosta. Luku on todellinen, mutta se kohdistuu toiseen tahoon: se on päivittäinen seuraamusmaksu, jonka Euroopan valvontaviranomaiset voivat määrätä kriittiselle ICT-kolmannen osapuolen palveluntarjoajalle, joka jättää noudattamatta valvontapäätöstä, enintään kuuden kuukauden ajan. Se ei ole pankkien tai kryptoyritysten sakko. Sen yhteydessä toisinaan mainittu ”2 % vuotuisesta liikevaihdosta” ei myöskään ole DORAsta, vaan NIS2:sta, jossa se on vähimmäiskatto, joka maiden on asetettava olennaisille toimijoille. Rahoitusalan yritykselle realistisia seurauksia ovat:
- valvontatoimet — korjausmääräykset, toiminnan rajoitukset ja vakavissa tapauksissa toimiluvan keskeyttäminen tai menetys;
- hallinnolliset sakot sektorin kansallisen lainsäädännön nojalla;
- hallituksen jäsenten henkilökohtainen vastuu, koska DORA asettaa hallituksen vastuuseen IT-kehyksestä;
- rikosoikeudellinen vastuu maissa, jotka ovat päättäneet lisätä sen, kuten 52 artikla sallii;
- maine- ja liiketoimintahaitta — asiakkaiden, pankkikumppaneiden ja sijoittajien menettäminen.
MiCA-toimiluvan saaneiden yritysten toimilupuriski
Kryptovarapalvelun tarjoajalle suurin riski on itse toimilupa. Hyvä IT-hallinto on MiCA-toimiluvan saamisen edellytys, joten toistuvia DORA-laiminlyöntejä voidaan pitää tilanteena, jossa toimiluvan edellytykset eivät enää täyty — ei vain yksittäisenä vaatimustenmukaisuusrikkomuksena.
Kuka valvoo DORAa? Kansalliset ja EU-tason viranomaiset
Päivittäinen DORA-valvonta kuuluu edelleen yritykselle toimiluvan myöntäneelle valvojalle — kotijäsenvaltion keskuspankille tai rahoitusvalvontaviranomaiselle. Toimivaltainen viranomainen vastaanottaa vaaratilanneilmoitukset ja tietorekisterit, päättää TLPT:n suorittamiseen velvollisista ja tarkastaa ICT-riskikehyksen osana tavanomaista valvontaa. Useimmat julkaisevat verkkosivuillaan DORA-ohjeita, malleja ja määräaikoja.
EU-tasolla työ jakautuu kolmelle elimelle: Euroopan arvopaperimarkkinaviranomaiselle, Euroopan pankkiviranomaiselle ja vakuutus- ja lisäeläkeviranomaiselle EIOPA. Ne laativat yksityiskohtia täydentävät tekniset standardit ja nimeävät yhdessä kriittiset ICT-kolmannen osapuolen palveluntarjoajat, joista kutakin valvoo päävalvojana yksi näistä kolmesta.
DORA-vaatimustenmukaisuuden tarkistuslista: näin noudatat DORAa
Olipa yritys hakemassa toimilupaa tai jo valvonnassa, sama asiakirjakokonaisuus osoittaa DORA-vaatimustenmukaisuuden auditoinnissa. Käytännöllinen lähtökohta DORA-toteutussuunnitelmalle tai puuteanalyysille:
- Vahvista soveltamisalasi: mihin 2 artiklan luokkaan kuulut ja sovelletaanko yksinkertaistettua kehystä tai mikroyrityspoikkeusta.
- Kartoita kaikki kriittistä tai tärkeää toimintoa tukevat IT-omaisuuserät, järjestelmät ja tietovirrat.
- Hyväksy hallituksen vahvistama ICT-riskienhallintapolitiikka, jossa on nimetyt vastuuhenkilöt ja vuosittainen tarkistus.
- Ota käyttöön vaaratilanteiden luokittelu, vaaratilanneloki ja lakisääteisiä määräaikoja vastaavat ilmoitusmallit.
- Laadi vuosittainen testauskalenteri ja tarkista, onko valvoja lisännyt sinut TLPT-luetteloon.
- Laadi kaikkia IT-palveluntarjoajia koskeva tietorekisteri ja päivitä niiden sopimukset pakollisilla lausekkeilla.
- Arvioi keskittymäriski ja laadi poistumissuunnitelmat kriittisiä toimintoja tukeville palveluntarjoajille.
- Testaa varmuuskopiot, palauttaminen ja IT-jatkuvuussuunnitelma vähintään kerran vuodessa.
- Kouluta hallitus ja säilytä todisteet koulutuksen toteutumisesta.
Eesti Firma neuvoo fintech- ja kryptoyrityksiä DORAn oikeudellisissa kysymyksissä: selvitämme, mitä velvoitteita sovelletaan, sovitamme IT-kehyksen MiCA-toimilupavaatimuksiin, tarkastamme toimittajasopimukset ja valmistelemme asiakirjat, jotka valvoja odottaa näkevänsä. Ota yhteyttä keskustellaksesi siitä, miten asetus soveltuu liiketoimintaasi.
Usein kysytyt kysymykset DORAsta
DORA tarkoittaa Digital Operational Resilience Actia, EU-asetusta, joka sisältää yhdenmukaiset säännöt rahoitusalan ICT-riskienhallinnasta, vaaratilanteista ilmoittamisesta, häiriönsietokyvyn testauksesta ja kolmansien osapuolten riskistä. Sitä sovelletaan suoraan kaikissa jäsenvaltioissa, ja se on täysimääräisesti voimassa.
Kahteenkymmeneen EU:ssa toimiluvan saaneiden rahoituslaitosten luokkaan — pankkeihin, maksu- ja sähköisen rahan laitoksiin, sijoituspalveluyrityksiin, rahastojen hoitajiin, vakuuttajiin, kryptovarapalvelun tarjoajiin ja markkinainfrastruktuureihin — sekä sopimusten ja EU-valvonnan kautta niitä palveleviin IT-palveluntarjoajiin.
Kyllä. Hyväksymistä seurannut valmistelujakso on päättynyt, ja kaikkia velvoitteita sovelletaan täysimääräisesti. Valvojat käsittelevät DORAa nyt osana tavanomaista toimilupa- ja tarkastustoimintaa, eivät tulevana hankkeena.
Vain niiden EU:ssa toimiluvan saaneisiin tytäryhtiöihin ja sivuliikkeisiin. EU:n rahoitusyrityksiä palvelevia EU:n ulkopuolisia toimittajia sitovat välillisesti pakolliset sopimusehdot, ja kriittiseksi nimetty EU:n ulkopuolinen palveluntarjoaja joutuu perustamaan EU-tytäryhtiön kahdentoista kuukauden kuluessa.
NIS2 on kriittisiä aloja koskeva yleinen kyberturvallisuusdirektiivi; DORA on rahoitusalaa koskeva erityisasetus. Kun molemmat voisivat soveltua, DORA on ensisijainen ICT-riskienhallinnassa ja vaaratilanteista ilmoittamisessa, ja rahoitusalan yritykset ilmoittavat rahoitusvalvojalleen kansallisen kyberturvallisuusviraston sijaan.
Kyllä. MiCAn nojalla toimiluvan saaneet kryptovarapalvelun tarjoajat ja omaisuusreferenssiksi sidottujen rahakkeiden liikkeeseenlaskijat ovat DORAn mukaisia rahoitusyhteisöjä. Sähköisen rahan rahakkeiden liikkeeseenlaskijat kuuluvat soveltamisalaan pankkeina tai sähköisen rahan laitoksina. Näitä yrityksiä palvelevat toimiluvattomat toimittajat noudattavat DORAa välillisesti sopimusehtojen kautta.
Kolmessa vaiheessa: ensitiedote neljän tunnin kuluessa vaaratilanteen luokittelusta laajaksi ja viimeistään 24 tuntia siitä, kun siitä saatiin tieto, väliraportti 72 tunnin kuluessa ensitiedotteesta ja loppuraportti kuukauden kuluessa väliraportista.
Rahoitusalan yritysten seuraamuksista säädetään 50 artiklan mukaisessa kansallisessa lainsäädännössä ja kansallinen valvoja panee ne täytäntöön. Seuraukset vaihtelevat korjausmääräyksistä sakkoihin ja toimiluvan menettämiseen. Yksi prosentti keskimääräisestä maailmanlaajuisesta päivittäisestä liikevaihdosta on EU-valvonnassa oleville kriittisille ICT-kolmannen osapuolen palveluntarjoajille tarkoitettu seuraamus, ei rahoitusalan yrityksille.
Kyllä, mutta suhteellisesti. Mikroyritykset vapautetaan uhkalähtöisestä tunkeutumistestauksesta, kiinteästä vuosittaisesta testausvaatimuksesta ja osasta hallintovelvoitteita, ja määritelty ryhmä pienempiä yrityksiä noudattaa yksinkertaistettua ICT-riskienhallintakehystä. Pieni koko ei poista toimiluvan saanutta yritystä soveltamisalasta.
