מהי רגולציית DORA? חוק החוסן התפעולי הדיגיטלי של האיחוד האירופי

רגולציית DORA — חוק החוסן התפעולי הדיגיטלי — היא חוק האיחוד האירופי בנושא חוסן סייבר במגזר הפיננסי. היא מגדירה למוסדות פיננסיים כיצד לנהל סיכוני אבטחת סייבר ו-IT. במילים פשוטות, כל בנק, חברת תשלומים, חברת השקעות, מבטח ובורסת קריפטו באיחוד האירופי חייבים להיות מסוגלים להמשיך לפעול בעת פריצה, השבתת ענן או עדכון תוכנה כושל, ולפקח על ספקי ה-IT שבהם הם תלויים.

מדריך זה מיועד למי שאין להם רקע משפטי או טכנולוגי. הוא מסביר על מי חלה DORA, מה היא דורשת, תוך כמה זמן יש לדווח על אירוע, במה היא שונה מ-NIS2 ומ-GDPR, מהן הסנקציות, מה משמעות הדרישות עבור חברות פינטק וקריפטו, ומסתיים ברשימת בדיקה קצרה לעמידה ב-DORA.

מהי DORA במילים פשוטות?

DORA — המכונה לעיתים EU DORA או חוק DORA — היא תקנה (EU) 2022/2554 בנושא חוסן תפעולי דיגיטלי במגזר הפיננסי. “חוסן תפעולי דיגיטלי” נשמע מורכב, אך משמעותו שאלה אחת: האם החברה שלכם יכולה להמשיך לשרת את לקוחותיה כאשר מערכות ה-IT שלה משתבשות? אם האקר חודר למערכת, עדכון נכשל או ספק אינו זמין — האם התשלומים עדיין מבוצעים, האם לקוחות עדיין יכולים להתחבר, והאם הנתונים שלהם עדיין בטוחים? DORA הופכת שאלה זו מנוהג מומלץ לחובה חוקית.

לפני DORA, לכל מדינה באיחוד האירופי ולכל חלק במגזר הפיננסי היו כללי אבטחת IT וטפסי דיווח אירועים משלו. DORA מחליפה את הפסיפס הזה בספר כללים אחיד לכל המגזר הפיננסי באיחוד. מאחר שזוהי תקנה ולא דירקטיבה, היא חלה מילה במילה בכל מדינה חברה — ואין צורך בחוק לאומי כדי להחיל אותה.

המועד לעמידה בדרישות DORA כבר חלף. תקופת ההיערכות בת השנתיים לאחר אימוץ התקנה הסתיימה, כל חובות DORA בתוקף, והרגולטורים הפיננסיים הלאומיים בודקים את יישומן. מסגרת DORA נשענת על חמישה נדבכים, והמשך המדריך מפרט כל אחד מהם:

• ניהול סיכוני ICT — תוכנית כתובה לסיכוני IT, שבאחריות גוף הניהול (הדירקטוריון);
• ניהול ודיווח על אירועים הקשורים ל-ICT — איתור, תיעוד ודיווח על אירועי IT למפקח;
• בדיקות חוסן תפעולי דיגיטלי — מסריקות שגרתיות לאיתור חולשות ועד הדמיות תקיפה מלאות של “צוות אדום”;
• ניהול סיכוני צד שלישי בתחום ICT — בקרה על ספקי ה-IT שהחברה תלויה בהם, באמצעות מרשם של כולם;
• שיתוף מידע — החלפה וולונטרית של מודיעין איומים בין גופים פיננסיים.

מונחי מפתח ב-DORA

קומץ מונחים מוגדרים מופיע בכל סעיף בתקנת DORA, בכל טופס פיקוח ובכל חוזה ספק. לאחר שמכירים אותם, קל הרבה יותר להבין את היתר.

על מי חלה DORA?

תחולת DORA נקבעת בסעיף 2, המונה עשרים קטגוריות של ישויות פיננסיות. אם מוסד פיננסי מחזיק באחד מרישיונות אלה במקום כלשהו באיחוד האירופי, הוא נכלל בתחולה — ללא קשר לגודלו — אלא אם חל פטור מסוים. הקבוצות העיקריות מפורטות להלן.

ומה לגבי חברות ה-IT עצמן? פלטפורמות ענן, מרכזי נתונים, ספקי תוכנה וחברות אבטחה מנוהלת אינם ישויות פיננסיות, אך DORA מגיעה אליהם בשתי דרכים. ראשית, כל ישות פיננסית חייבת לכלול בחוזים איתם תנאים בסגנון DORA, ולכן ספק שמסרב עלול לאבד את הלקוח. שנית, הספקים הגדולים ביותר — ספקי ענן, מרכזי נתונים, תקשורת ותוכנה פיננסית גדולים — מוגדרים ספקי ICT צד שלישי קריטיים ומפוקחים ישירות ברמת האיחוד האירופי; הרשימה מתעדכנת מדי שנה.

האם DORA חלה על חברות שאינן מהאיחוד האירופי? במישרין, רק על חברות בעלות רישיון באיחוד — כולל חברות בנות וסניפים באיחוד של קבוצות מבריטניה, מארה”ב או מאסיה. בעקיפין, היא חלה על כל ספק זר המשרת חברה פיננסית באיחוד, מכיוון שסעיפי החוזה המחייבים חלים ללא קשר למיקום הספק. ספק מחוץ לאיחוד שיוגדר קריטי חייב להקים חברה בת באיחוד בתוך שנים-עשר חודשים.

לבסוף, DORA מידתית: החובות גדלות בהתאם לגודלו ולמורכבותו של המוסד הפיננסי. מיקרו-מיזמים — פחות מעשרה עובדים ומחזור או מאזן של פחות משני מיליון אירו — פטורים מכמה דרישות, לרבות מבחני חדירה מונחי איום וחלק מחובות הממשל והדיווח. קבוצה מוגדרת של חברות קטנות יותר, כגון חברות השקעות קטנות ולא מקושרות ומוסדות תשלומים וכסף אלקטרוני מסוימים הפטורים מדרישות, פועלת לפי מסגרת פשוטה לניהול סיכוני ICT לפי סעיף 16. גודל קטן אינו מוציא חברה מורשית מתחולת DORA; הוא רק מקל את הנטל.

דרישות DORA: חמשת הנדבכים

דרישות העמידה ב-DORA נחלקות לחמש קבוצות. יחד הן יוצרות מחזור אחד — מניעה, איתור, תגובה, התאוששות ולמידה — והרגולטור מצפה לראיות לכל שלב.

מסגרת לניהול סיכוני ICT (סעיפים 5–16)

במילים פשוטות: לדעת אילו מערכות IT יש לכם, מה עלול להשתבש בהן, ולהחזיק תוכנית כתובה להגנה עליהן ולהשבתן לפעולה. המסגרת חייבת למנות נכסי IT ותלויות, לפרט כיצד החברה מונעת ומאתרת בעיות, כיצד היא מגיבה ומתאוששת, וכיצד היא לומדת מאירועים. היא נבדקת לפחות פעם בשנה ולאחר כל אירוע משמעותי. גוף הניהול מאשר אותה, מחליט איזה סיכון מקובל ומקצה תקציב. יש למפות פונקציות קריטיות, לבדוק בפועל גיבויים ולקיים תוכנית המשכיות IT לצד תוכנית ההמשכיות הכללית של החברה.

דיווח על אירועים: מועדי 4 שעות, 72 שעות וחודש

כל אירוע הקשור ל-ICT חייב להירשם ולהיות מדורג לפי אותם מדדים בכל האיחוד האירופי: מספר הלקוחות שנפגעו, חומרת הפגיעה במוניטין החברה, משכו, היקף התפשטותו, הנתונים שאבדו, קריטיות השירות והסכום הכספי שבסיכון. אירוע החוצה את הספים הוא “משמעותי” ויש לדווח עליו למפקח בשלושה שלבים: הודעה ראשונה בתוך ארבע שעות מההחלטה שהוא משמעותי (ולעולם לא יאוחר מ-24 שעות מהרגע שבו החברה ידעה עליו), דוח ביניים בתוך 72 שעות מההודעה הראשונה, ודוח סופי בתוך חודש מדוח הביניים. יש ליידע ללא דיחוי לקוחות שכספם או נתוניהם נפגעו. ניתן לדווח מרצון על איומי סייבר חמורים שטרם הפכו לאירועים.

בדיקות חוסן ומבחני חדירה מונחי איום (TLPT)

בדיקת חוסן תפעולי דיגיטלי היא תוכנית שנתית: כל מערכת התומכת בפונקציה קריטית או חשובה חייבת לעבור סריקות חולשות, ניתוחי פערים, סקירות קוד מקור, בדיקות תרחישים, בדיקות ביצועים ומבחני חדירה. חברות שהמפקח רואה כמשמעותיות — בשל גודלן או השפעת כשל שלהן — חייבות בנוסף לבצע TLPT לפחות אחת לשלוש שנים. זוהי תקיפה מבוקרת של מערכות פעילות בידי האקרים אתיים מוסמכים ובהתאם למסגרת מוכרת. מיקרו-מיזמים וחברות הכפופות למסגרת הפשוטה פטורים מ-TLPT ונבדקים בלוח זמנים מקל ומבוסס סיכון.

סיכון צד שלישי, מיקור חוץ ומרשם המידע

מיקור חוץ של IT — לספק שירותי ענן או לכל גורם אחר — אינו מוציא את האחריות למיקור חוץ. ניהול סיכוני ICT צד שלישי מתחיל באסטרטגיה כתובה לסיכון ספקים; חברה חייבת לבדוק ספקים לפני חתימה, להימנע מתלות כבדה מדי בספק יחיד, ולהחזיק מרשם מידע — רשימה מובנית של כל חוזה IT — שנשלח למפקח לפחות פעם בשנה. החוזים עצמם חייבים לכלול סט קבוע של סעיפים: מהו השירות ומהי רמת השירות המובטחת, היכן מאוחסנים הנתונים, זכות בדיקה וביקורת, החובה לסייע במהלך אירועים, אופן סיום החוזה והאופן שבו החברה תעבור לספק אחר אם תידרש לכך. החברה נותרת אחראית במלואה גם כשהספק הוא ספק קריטי המפוקח ברמת האיחוד האירופי.

שיתוף מידע על איומי סייבר

ישויות פיננסיות רשאיות להחליף מודיעין איומים — דפוסי תקיפה ומדדי פשרה — בקבוצות מהימנות. איש אינו מחויב להצטרף, אך חברה שבוחרת בכך חייבת ליידע את המפקח שלה, וההחלפה חייבת לכבד את כללי הסודיות והגנת הנתונים.

DORA לעומת NIS2 לעומת GDPR: כיצד הכללים משתלבים?

שלושה חוקי איחוד אירופי חופפים בתחום חוסן הסייבר ודיווח אירועים, ומוסדות פיננסיים רבים כפופים ליותר מאחד מהם. הטבלה מציגה את מי מכסה כל אחד מהם וכיצד שונים מועדי הדיווח.

בפועל, חברה פיננסית מדווחת על אירועי IT למפקח הפיננסי שלה, ולא לסוכנות הסייבר הלאומית. GDPR חלה במקביל: אם מתקפת סייבר חושפת נתוני לקוחות, החברה מדווחת עליה פעמיים — לפי DORA למפקח הפיננסי ולפי GDPR לרשות הגנת הנתונים — בשני לוחות זמנים נפרדים.

DORA וקריפטו: משמעותה עבור CASPs ומנפיקי אסימונים

לעסקי קריפטו, רגולציית DORA ומסגרת MiCA פועלות כצמד. MiCA קובעת מי רשאי לספק שירותי קריפטו או להנפיק אסימונים באיחוד האירופי; DORA קובעת כיצד יש להפעיל את הטכנולוגיה שמאחורי שירותים אלה. ספק שירותי נכסי קריפטו המורשה לפי MiCA הוא ישות פיננסית לפי DORA מרגע הענקת הרישיון, וכך גם כל מנפיק של אסימונים מגובי נכסים. MiCA עצמה מפנה ל-DORA לגבי דרישות IT ואבטחה, ולכן כל מפקח קורא את השתיים יחד.

בפועל, החוסן נבדק כבר במסגרת הליך הרישוי, ולא רק לאחר מכן. כאשר מפקח בוחן בקשה של CASP, מסגרת סיכוני ה-IT, תוכנית המשכיות עסקית, נהלי אירועים והסדרי מיקור חוץ הם חלק מהתיק, ו-DORA היא אמת המידה שלפיה הם נבחנים. בורסת קריפטו או משמורן אינם יכולים לקבל — או לשמור — על רישיונם עם תוכנית חוסן הקיימת על הנייר בלבד.

לחברות קריפטו יש גם תלויות IT שאין לבנק: משמורת על מפתחות פרטיים, ספקי צמתי בלוקצ’יין, תשתיות ארנקים של צד שלישי, רכיבי חוזים חכמים ושווקים הסוחרים סביב השעון ללא חלון תחזוקה. לפי DORA, כל אחד מאלה הוא נכס IT או יחסי ספק שיש לרשום, לדרג, להסדיר בחוזה ולבדוק. כך גם ספקים לא מורשים של אירוח, ניהול מפתחות או תשתיות בלוקצ’יין נדרשים בפועל לעמוד ב-DORA: דרך חוזי לקוחותיהם.

עיצומים, קנסות וסנקציות DORA בגין אי-עמידה

אין טבלת סנקציות אחת כלל-אירופית ל-DORA. במקום זאת, סעיף 50 מחייב כל מדינה חברה לקבוע עיצומים “יעילים, מידתיים ומרתיעים”, ומעניק למפקחים סמכות לדרוש מסמכים, לבצע בדיקות, להורות על תיקונים ולפרסם אזהרות. הרשות המוסמכת הלאומית בכל מדינה חברה מיישמת אותם לפי דיני הרישוי של המגזר, ולכן בנק, חברת תשלומים ובורסת קריפטו כפופים כל אחד למדרג הסנקציות של מגזרו.

ייתכן שנתקלתם ב”קנס DORA” של אחוז אחד מהמחזור היומי העולמי הממוצע. נתון זה אמיתי, אך הוא מיועד לגורם אחר: זהו קנס יומי שרשויות הפיקוח האירופיות יכולות להטיל על ספק ICT צד שלישי קריטי המתעלם מהחלטת פיקוח, למשך עד שישה חודשים. זה אינו קנס לבנקים או לחברות קריפטו. גם הנתון של “2% מהמחזור השנתי”, המצוטט לעיתים לצדו, אינו מופיע ב-DORA: מקורו ב-NIS2, שבה הוא התקרה המינימלית שמדינות חייבות לקבוע לישויות חיוניות. עבור חברה פיננסית, ההשלכות המעשיות הן:

• אמצעי פיקוח — הוראות לתקן ליקויים, מגבלות פעילות ובמקרים חמורים השעיה או שלילת הרישיון;
• קנסות מנהליים לפי הדין הלאומי של המגזר;
• אחריות אישית של חברי הדירקטוריון, משום ש-DORA מטילה על הדירקטוריון אחריות למסגרת ה-IT;
• אחריות פלילית במדינות שבחרו להוסיף אותה, כפי שסעיף 52 מאפשר;
• פגיעה במוניטין ובפעילות המסחרית — אובדן לקוחות, שותפים בנקאיים ומשקיעים.

מי מפקח על DORA? רגולטורים ברמה הלאומית והאירופית

הפיקוח היומיומי על DORA נותר בידי הרגולטור שכבר מעניק רישיון לחברה — הבנק המרכזי או רשות הפיקוח הפיננסית במדינת הבית שלה. הרשות המוסמכת מקבלת את דיווחי האירועים ומרשמי המידע, קובעת מי חייב לבצע TLPT ובודקת את מסגרת סיכוני ה-IT כחלק מפיקוח שוטף. רובן מפרסמות באתריהן הנחיות, תבניות ומועדים של DORA.

ברמת האיחוד האירופי, שלושה גופים חולקים בעבודה: הרשות האירופית לניירות ערך ולשווקים, רשות הבנקאות האירופית וEIOPA, רשות הביטוח והפנסיה. הם כותבים את התקנים הטכניים הממלאים את הפרטים ומייעדים יחד ספקי ICT צד שלישי קריטיים, שכל אחד מהם מפוקח לאחר מכן בידי אחד משלושת הגופים כמפקח מוביל.

רשימת בדיקה לעמידה ב-DORA: כיצד לציית

בין שהחברה מגישה בקשה לרישיון ובין שהיא כבר מפוקחת, אותה מערכת מסמכים מוכיחה עמידה ב-DORA במהלך ביקורת. נקודת פתיחה מעשית לתוכנית יישום DORA או לניתוח פערים:

• אשרו את תחולתכם: לאיזו קטגוריה בסעיף 2 אתם משתייכים והאם חלה המסגרת הפשוטה או פטור למיקרו-מיזם.
• מפו כל נכס IT, מערכת וזרימת נתונים התומכים בפונקציה קריטית או חשובה.
• אמצו מדיניות ניהול סיכוני ICT שאושרה בידי הדירקטוריון, עם בעלי אחריות נקובים ובחינה שנתית.
• הקימו מנגנון דירוג אירועים, יומן אירועים ותבניות דיווח התואמות למועדים הקבועים בחוק.
• בנו לוח בדיקות שנתי ובדקו אם המפקח כלל אתכם ברשימת TLPT.
• ערכו את מרשם המידע לכל ספקי ה-IT ועדכנו את חוזיהם בסעיפים המחייבים.
• בדקו סיכון ריכוזיות וכתבו תוכניות יציאה עבור ספקים התומכים בפונקציות קריטיות.
• בדקו גיבויים, שחזור ותוכנית המשכיות IT לפחות פעם בשנה.
• הכשירו את הדירקטוריון ושמרו הוכחה שההכשרה התקיימה.

Eesti Firma מייעצת לחברות פינטק וקריפטו בהיבטים המשפטיים של DORA: זיהוי החובות החלות, התאמת מסגרת ה-IT לדרישות הרישוי של MiCA, בחינת חוזי ספקים והכנת המסמכים שמפקח מצפה לראות. צרו איתנו קשר כדי לדון באופן שבו התקנה חלה על העסק שלכם.

בקשת ייעוץ

שאלות נפוצות על DORA