השנה הנהיג האיחוד האירופי רגולציה מיוחדת שנועדה להתמודד עם איומי סייבר פוטנציאליים העלולים להשפיע על חברות הפועלות במגזר הפיננסי.
מה שמכונה רגולציית DORA, או חוק החוסן התפעולי הדיגיטלי (EU) 2022/2554, הוא רגולציה חדשה של האיחוד האירופי שנועדה, בהתאם לכוונת המחוקק, להבטיח את החוסן התפעולי הדיגיטלי של המגזר הפיננסי ושל הארגונים הקשורים אליו. DORA אושרה בסוף שנת 2022, ובמהלך 2023 התקיים שלב הכנה ליישום דרישותיה החדשות. כניסתן המלאה לתוקף של כל הוראות הרגולציה התרחשה ב-17 בינואר 2025.
תחולת רגולציית DORA
מטרתה העיקרית היא לקבוע דרישות ותקנים אחידים שיאפשרו למוסדות פיננסיים להתגונן טוב יותר מפני איומי סייבר, וכן להגיב במהירות ולהתאושש במקרה של אירועי סייבר.
הרגולציה חלה על מגוון רחב של ארגונים המשתייכים למגזר הפיננסי או קשורים אליו, ובהם בנקים, חברות ביטוח, קרנות השקעה, ספקי שירותי תשלום, בורסות קריפטו ועוד. היא חלה הן על תאגידים גדולים והן על עסקים קטנים ובינוניים במגזר הפיננסי.
גם צדדים שלישיים עשויים להיכלל בתחולת DORA. במילים אחרות, ספקי שירותים טכנולוגיים (לדוגמה, שירותי ענן) המציעים שירותים חיוניים לארגונים פיננסיים עשויים להיות כפופים לדרישות DORA.
בניגוד לגישות המתמקדות בעיקר בסיכונים פיננסיים ובעתודות הון, DORA מחייבת אסטרטגיה מערכתית לחוסן דיגיטלי. ארגונים פיננסיים נדרשים לא רק לשפר את הגנתם מפני איומי סייבר, אלא גם לפתח תוכניות לאיתור שיבושים בטכנולוגיות המידע והתקשורת (ICT), לשליטה בהם ולהתאוששות מהם.
לפיכך, DORA מעניקה עדיפות לסיכוני ICT וקובעת דרישות לניהול סיכונים, לדיווח על אירועים, לבדיקת חוסן ולניטור סיכונים הקשורים לספקי שירותי IT חיצוניים. גישה זו מדגישה את תפקידה הקריטי של הטכנולוגיה במגזר הפיננסי ואת הסיכונים המערכתיים הפוטנציאליים העלולים להיווצר כתוצאה מכשלי ICT.
המגזרים שעליהם חלה רגולציית DORA
DORA משפיעה על מגוון רחב של מגזרים במערכת הפיננסית של האיחוד האירופי. הוראותיה חלות על סוגים שונים של ארגונים:
- מוסדות פיננסיים ובנקים: חברות העוסקות בקבלת פיקדונות, במתן הלוואות, בביצוע השקעות, בהמרת מטבע ועוד.
- חברות טכנולוגיה העובדות עם נתונים פיננסיים: ארגונים המעבדים או מאחסנים מידע פיננסי (לרבות מעבדי תשלומים וחברות הזנק בתחום הפינטק).
- תאגידים גדולים הכפופים לחקיקת האיחוד האירופי: תאגידים גדולים הפועלים באיחוד האירופי ומחויבים לעמוד בנורמות פיננסיות ורגולטוריות מקיפות, לרבות DORA.
- עסקים קטנים ובינוניים במגזר הפיננסי: עסקים קטנים ובינוניים המספקים מוצרים ושירותים פיננסיים כפופים לאותן דרישות DORA החלות על ארגונים גדולים יותר.
הדרישות העיקריות של DORA
דרישות הליבה של הרגולציה כוללות:
- ניהול סיכוני ICT: ארגונים נדרשים ליישם ולעדכן באופן שוטף תהליכים לזיהוי, להערכה ולניהול של סיכוני סייבר. מערכת כזו צריכה לכסות את כל מחזור החיים של ICT — החל מהתכנון והפיתוח, דרך היישום ועד להוצאה משימוש.
- ניטור ובדיקות חובה: דרישה זו כוללת בדיקות שוטפות של תשתיות IT (לרבות מבחני מאמץ ותרגילי סייבר), כדי לזהות נקודות תורפה במהירות. היקף הבדיקות צריך להתאים לרמת הסיכון של העסק המסוים, והוא עשוי לנוע מבדיקות בסיסיות ועד למבחנים ייעודיים המדמים מתקפות סייבר אמיתיות.
- חוסן בפני אירועים: ארגונים נדרשים ליצור ולתחזק תוכניות להמשכיות עסקית ולהתאוששות מאירועי סייבר, המפרטות נהלים פנימיים, תפקידים ותחומי אחריות במצבי חירום.
- דיווח על אירועים: כללים אחידים לדיווח לרשויות הרגולטוריות על אירועי אבטחת מידע ועל מתקפות סייבר נועדו לשפר את השקיפות ואת יעילות אמצעי התגובה. כך מובטח כי בעיות הקשורות ל-ICT יאותרו במהירות, יתועדו באופן יסודי ויטופלו ללא דיחוי כדי לצמצם נזק אפשרי. יש לנהל יומן אירועים מפורט ולהעמידו לרשות הרגולטורים לפי דרישה.
- עבודה מול ספקים: ארגונים נדרשים לשלוט בסיכונים העלולים לנבוע מתלות בשותפים טכנולוגיים חיצוניים (לדוגמה, ספקי ענן) ולנטר אותם. הם אחראים לוודא שספקים אלה מסוגלים לשמור על רמת החוסן הנדרשת, וכן לוודא שפעילותם עומדת בדרישות DORA.
מטרות ויתרונות
DORA שואפת לאחד ולתקנן את הגישה לאבטחת מידע ולחוסן תפעולי במגזר הפיננסי ברחבי האיחוד האירופי. באמצעות קביעת תקן אחיד, DORA נועדה לשפר את ההגנה מפני איומי סייבר, להגביר את החוסן בפני מתקפות סייבר ולהפחית סיכונים הקשורים להפסדים כספיים ולפגיעה במוניטין.
כללים מחמירים יותר ושקיפות רבה יותר יגבירו, בתורם, את אמון הלקוחות בארגונים פיננסיים. מערכת כללים אחידה גם מפשטת את הסביבה הרגולטורית, שכן חברות לא יידרשו להתמודד במקביל עם דרישות לאומיות מרובות.
לפיכך, רגולציית DORA נועדה לחזק את חוסן הסייבר ולהבטיח את אמינותם של השירותים הפיננסיים ברחבי האיחוד האירופי, תוך הגנה הן על ארגונים והן על לקוחותיהם מפני איומי סייבר עכשוויים וסיכונים טכנולוגיים.
סנקציות בגין אי-ציות
חוק החוסן התפעולי הדיגיטלי (DORA) קובע סנקציות משמעותיות בגין אי-ציות. אלה כוללות קנסות מנהליים שעשויים להגיע עד ל-1% מהמחזור היומי העולמי הממוצע. יתרה מזאת, הקנס עשוי לגדול עבור כל יום של אי-ציות עד לתיקון כל ההפרות. מלבד קנסות, אי-ציות עלול לפגוע במוניטין של החברה ולהוביל לאובדן אמון מצד לקוחות, משקיעים ובעלי עניין אחרים.
הפרות של DORA עלולות להוביל להידוק הפיקוח מצד הרגולטורים. אי-עמידה בדרישות DORA עלולה גם לגרום לשיבושים בשירותים ובפעילות התפעולית, ולהשפיע לרעה על שביעות רצון הלקוחות ועל המוניטין. במקרים חריגים הכוללים הפרות חמורות, האחראים לקבלת החלטות עשויים לשאת באחריות פלילית.
חשוב להבין שסנקציות אלה אינן מוציאות זו את זו. חברה עשויה להתמודד במקביל עם כמה השלכות: קנסות, פגיעה במוניטין ואמצעים פליליים אפשריים.
צרו איתנו קשר
כדי להימנע מעונשים כאלה, מוסדות פיננסיים נדרשים לפעול באופן יזום להבטחת ציות ל-DORA. הדבר כולל הערכות סיכונים שוטפות, פיתוח תוכניות תגובה לאירועים, בדיקות חוסן וניטור סיכונים מצדדים שלישיים.
Eesti Firma היא חברה העוסקת בתמיכה משפטית ובייעוץ לעסקים הפועלים בשוק הנכסים הדיגיטליים. תוך התחשבות במאפיינים הייחודיים של כל לקוח, Eesti Firma ערוכה לספק ייעוץ והבהרות בנוגע לאופן שבו רגולציית DORA מיושמת בפועל.
