Uredba DORA — Akt o digitalnoj operativnoj otpornosti — zakon je EU-a o kibernetičkoj otpornosti financijskog sektora. Financijskim institucijama propisuje kako upravljati kibernetičkom sigurnošću i IT rizikom. Jednostavno rečeno, svaka banka, platna tvrtka, investicijsko društvo, osiguravatelj i kripto burza u EU-u moraju moći nastaviti poslovati tijekom hakerskog napada, prekida rada oblaka ili neuspješnog ažuriranja softvera te nadzirati IT dobavljače o kojima ovise.
Ovaj je vodič namijenjen osobama bez pravne ili IT pozadine. Objašnjava na koga se DORA primjenjuje, što zahtijeva, koliko se brzo mora prijaviti incident, po čemu se razlikuje od NIS2 i GDPR-a, koje su kazne te što zahtjevi DORA-e znače za fintech i kripto tvrtke, a završava kratkim popisom za usklađenost s DORA-om.
Što je DORA jednostavnim riječima?
DORA — ponekad se piše EU DORA ili Akt DORA — Uredba je (EU) 2022/2554 o digitalnoj operativnoj otpornosti financijskog sektora. „Digitalna operativna otpornost” zvuči složeno, ali znači jedno: može li vaša tvrtka nastaviti pružati usluge klijentima kada njezin IT zakaže? Haker provali, ažuriranje ne uspije, dobavljač prestane raditi — prolaze li plaćanja i dalje, mogu li se korisnici prijaviti, jesu li njihovi podaci još sigurni? DORA to pitanje pretvara iz dobre prakse u zakonsku obvezu.
Prije DORA-e svaka je država EU-a i svaki dio financijskog sektora imao vlastita pravila IT sigurnosti i obrasce za incidente. DORA taj mozaik zamjenjuje jedinstvenim pravilnikom za cijeli financijski sektor EU-a. Budući da je uredba, a ne direktiva, primjenjuje se doslovno u svakoj državi članici — nije potreban nacionalni zakon da bi stupila na snagu.
Rok za usklađenost s DORA-om već je prošao. Dvogodišnje pripremno razdoblje nakon donošenja je završilo, sve su obveze DORA-e na snazi, a nacionalni financijski regulatori ih provjeravaju. Okvir DORA-e počiva na pet stupova, koje ostatak vodiča objašnjava:
- upravljanje ICT rizicima — pisani plan za IT rizike za koji je odgovorno upravljačko tijelo (odbor);
- upravljanje incidentima povezanima s ICT-om i njihovo prijavljivanje — prepoznavanje, evidentiranje i prijavljivanje IT incidenata nadzornom tijelu;
- testiranje digitalne operativne otpornosti — od redovitih skeniranja ranjivosti do potpunih simulacija napada „crvenog tima”;
- upravljanje ICT rizicima trećih strana — kontrola IT dobavljača o kojima društvo ovisi, uz registar svih njih;
- razmjena informacija — dobrovoljna razmjena obavještajnih podataka o prijetnjama među financijskim subjektima.
Ishodi, a ne tehnologije
DORA vam ne propisuje koji softver ili dobavljača koristiti. Određuje ishode: budite otporni, otkrivajte probleme, brzo se oporavite, kontrolirajte dobavljače. Odbor je odgovoran za dokazivanje ostvarenja tih ishoda, a direktori moraju održavati ažurno znanje o IT rizicima (uredba izričito spominje obuku). Prepustiti sve IT odjelu i potom zaboraviti na to upravo je ono što DORA zabranjuje.
Objašnjenje ključnih pojmova DORA-e
Nekoliko definiranih pojmova pojavljuje se u svakom članku uredbe DORA, svakom nadzornom obrascu i svakom ugovoru s dobavljačem. Kada ih upoznate, ostatak je mnogo lakše razumjeti.
| Financijski subjekt | Pojam uredbe za licencirano financijsko društvo — bilo koju od dvadeset vrsta navedenih u članku 2. Ako imate jednu od tih dozvola, DORA se odnosi na vas. |
|---|---|
| Pružatelj ICT usluga treće strane | Svaka tvrtka koja financijskom subjektu pruža IT: hosting u oblaku, softver, podatkovne kanale, upravljanu sigurnost ili obradu plaćanja. |
| Kritični pružatelj ICT usluga treće strane (CTPP) | Vrlo velik pružatelj — primjerice velike platforme u oblaku — kojeg su tijela EU-a izdvojila za izravan nadzor glavnog nadzornika jer o njemu ovisi velik broj društava. |
| Kritična ili važna funkcija | Poslovna funkcija čiji bi prekid ozbiljno naštetio financijama društva, onemogućio ispunjavanje zakonskih obveza ili prekinuo njegove licencirane usluge. Plaćanja i korisnički računi tipični su primjeri. |
| Veliki incident povezan s ICT-om | IT incident dovoljno velik — prema broju pogođenih klijenata, trajanju, izgubljenim podacima ili izloženom novcu — da zahtijeva obvezno prijavljivanje nadzornom tijelu. |
| Penetracijsko testiranje vođeno prijetnjama (TLPT) | Napredno testiranje u kojem etični hakeri napadaju produkcijske sustave kao stvarni napadač. Obvezno je najmanje svake tri godine za društva koja je nadzorno tijelo za to odredilo; nadzorno tijelo može ga zahtijevati i češće. |
| Registar informacija | Strukturirani popis svih IT ugovora društva, koji se redovito ažurira i najmanje jednom godišnje šalje nadzornom tijelu. |
| Regulatorni tehnički standardi (RTS) | Detaljna pravila „kako postupiti” — predlošci, pragovi i metode — koja tijela EU-a donose radi dopune uredbe. |
Na koga se DORA primjenjuje?
Područje primjene DORA-e utvrđeno je člankom 2., koji navodi dvadeset kategorija financijskih subjekata. Ako financijska institucija ima jednu od tih dozvola bilo gdje u EU-u, obuhvaćena je — bez obzira na veličinu — osim ako vrijedi posebno izuzeće. U nastavku su glavne skupine.
| Sektor | Tko je obuhvaćen | Dobro je znati |
|---|---|---|
| Bankarstvo i plaćanja | Banke, platne institucije, institucije za elektronički novac, pružatelji usluga informiranja o računu | Izdavatelji tokena elektroničkog novca prema MiCA-i obuhvaćeni su jer moraju biti banke ili institucije za elektronički novac |
| Ulaganja i fondovi | Investicijska društva, upravitelji fondova (AIFM-ovi i UCITS), mjesta trgovanja, središnje druge ugovorne strane, središnji depozitoriji vrijednosnih papira | Mala i nepovezana investicijska društva primjenjuju blaži okvir |
| Kriptoimovina | Pružatelji usluga povezanih s kriptoimovinom i izdavatelji tokena vezanih uz imovinu | Oboje su ovlašteni prema MiCA-i; obuhvaćeni su od dana izdavanja dozvole |
| Osiguranje i mirovine | Osiguravatelji, reosiguravatelji, posrednici u osiguranju, fondovi strukovnih mirovina | Mikro, mali i srednji posrednici izuzeti su |
| Tržišni podaci i infrastruktura | Agencije za kreditni rejting, pružatelji izvještavanja o podacima, repozitoriji trgovanja i sekuritizacije, upravitelji kritičnih referentnih vrijednosti | Nekoliko je njih izravno nadzirano na razini EU-a |
| Ostalo | Platforme za skupno financiranje, pružatelji ICT usluga treće strane | U nastavku pogledajte kako su obuhvaćeni IT pružatelji |
A što je sa samim IT tvrtkama? Platforme u oblaku, podatkovni centri, dobavljači softvera i društva za upravljanu sigurnost nisu financijski subjekti, ali DORA do njih dolazi na dva načina. Prvo, svaki financijski subjekt mora u ugovore s njima unijeti uvjete u skladu s DORA-om, pa dobavljač koji odbije riskira gubitak klijenta. Drugo, najveći pružatelji — veliki dobavljači oblaka, podatkovnih centara, telekomunikacija i financijskog softvera — proglašavaju se kritičnim pružateljima ICT usluga treće strane i izravno nadziru na razini EU-a; popis se ažurira svake godine.
Primjenjuje li se DORA na tvrtke izvan EU-a? Izravno samo na društva licencirana u EU-u — uključujući podružnice i poslovnice grupa iz UK-a, SAD-a ili Azije u EU-u. Neizravno obuhvaća svakog stranog dobavljača koji pruža usluge financijskom društvu EU-a, jer se obvezne ugovorne klauzule primjenjuju bez obzira na sjedište dobavljača. Pružatelj izvan EU-a koji bude proglašen kritičnim mora u roku od dvanaest mjeseci osnovati društvo kćer u EU-u.
Naposljetku, DORA je razmjerna: obveze rastu s veličinom i složenošću financijske institucije. Mikropoduzeća — s manje od deset zaposlenika i manje od dva milijuna eura prometa ili bilančne svote — izuzeta su od nekoliko zahtjeva, uključujući penetracijsko testiranje vođeno prijetnjama te neke obveze upravljanja i izvještavanja. Određena skupina manjih društava, poput malih i nepovezanih investicijskih društava te određenih izuzetih platnih institucija i institucija za elektronički novac, slijedi pojednostavljeni okvir upravljanja ICT rizicima prema članku 16. Mala veličina ne izuzima licencirano društvo iz DORA-e; samo smanjuje opterećenje.
Zahtjevi DORA-e: objašnjenje pet stupova
Zahtjevi za usklađenost s DORA-om dijele se u pet skupina. Zajedno čine jedan ciklus — spriječiti, otkriti, odgovoriti, oporaviti se, učiti — a regulator očekuje dokaze za svaki korak.
Okvir upravljanja ICT rizicima (članci 5.–16.)
Jednostavno rečeno: znajte koji IT imate, što s njime može poći po zlu te imajte pisani plan za njegovu zaštitu i obnovu. Okvir mora popisati IT imovinu i ovisnosti, odrediti kako društvo sprječava i otkriva probleme, kako odgovara i oporavlja se te kako uči iz incidenata. Preispituje se najmanje jednom godišnje i nakon svakog velikog incidenta. Upravljačko ga tijelo odobrava, odlučuje o prihvatljivoj razini rizika i osigurava proračun. Kritične funkcije moraju biti mapirane, sigurnosne kopije stvarno testirane, a mora postojati IT plan kontinuiteta koji nadopunjuje opći plan kontinuiteta društva.
Prijavljivanje incidenata: rokovi od 4 sata, 72 sata i jednog mjeseca
Svaki incident povezan s ICT-om mora se evidentirati i ocijeniti prema istim mjerilima u cijelom EU-u: koliko je klijenata pogođeno, koliko je narušen ugled društva, koliko je trajao, koliko se proširio, koji su podaci izgubljeni, koliko je usluga bila kritična i koliko je novca bilo izloženo riziku. Incident koji prijeđe pragove smatra se „velikim” i mora se prijaviti nadzornom tijelu u tri koraka: prva obavijest u roku od četiri sata od odluke da je velik (i najkasnije 24 sata nakon što je društvo za njega saznalo), privremeno izvješće u roku od 72 sata od prve obavijesti te završno izvješće u roku od mjesec dana od privremenog izvješća. Klijenti čiji su novac ili podaci pogođeni moraju se obavijestiti bez odgode. Ozbiljne kibernetičke prijetnje koje se nisu pretvorile u incidente mogu se prijaviti dobrovoljno.
Testiranje otpornosti i penetracijsko testiranje vođeno prijetnjama (TLPT)
Testiranje digitalne operativne otpornosti godišnji je program: svaki sustav koji podržava kritičnu ili važnu funkciju mora proći skeniranje ranjivosti, analizu nedostataka, pregled izvornog koda, testove scenarija, testove performansi i penetracijske testove. Društva koja nadzorno tijelo smatra značajnima — zbog veličine ili učinka njihova neuspjeha — moraju dodatno provoditi TLPT najmanje svake tri godine. To je kontrolirani napad na produkcijske sustave kvalificiranih etičnih hakera prema priznatom okviru. Mikropoduzeća i društva obuhvaćena pojednostavljenim okvirom izuzeta su od TLPT-a i testiraju prema blažem rasporedu temeljenom na riziku.
Rizik trećih strana, izdvajanje poslova i registar informacija
Izdvajanje IT-a — pružatelju usluga u oblaku ili bilo kome drugome — ne izdvaja odgovornost. Upravljanje ICT rizikom treće strane počinje pisanom strategijom za rizik dobavljača; društvo mora provjeriti dobavljače prije sklapanja ugovora, izbjegavati pretjeranu ovisnost o jednom pružatelju i voditi registar informacija — strukturirani popis svih IT ugovora — koji najmanje jednom godišnje dostavlja nadzornom tijelu. Sami ugovori moraju sadržavati utvrđeni skup klauzula: koja se usluga pruža i koja je razina obećana, gdje se podaci pohranjuju, pravo pregleda i revizije, obvezu pomoći tijekom incidenata, način raskida ugovora i način prelaska na drugog pružatelja ako je to potrebno. Društvo ostaje u potpunosti odgovorno čak i kada je dobavljač kritični pružatelj pod nadzorom EU-a.
Razmjena informacija o kibernetičkim prijetnjama
Financijski subjekti mogu razmjenjivati obavještajne podatke o prijetnjama — obrasce napada i pokazatelje kompromitacije — unutar pouzdanih skupina. Nitko nije obvezan pridružiti se, ali društvo koje to učini mora obavijestiti nadzorno tijelo, a razmjena mora poštovati pravila povjerljivosti i zaštite podataka.
DORA nasuprot NIS2 i GDPR-u: kako se pravila uklapaju
Tri zakona EU-a preklapaju se u području kibernetičke otpornosti i prijavljivanja incidenata, a mnoge financijske institucije podliježu više njih. Tablica pokazuje koga svaki obuhvaća i kako se razlikuju rokovi prijavljivanja.
| Aspekt | DORA | Direktiva NIS2 | GDPR |
|---|---|---|---|
| Koga obuhvaća | Financijska društva i njihovi IT pružatelji | Ključne i važne subjekte u osamnaest kritičnih sektora, uključujući bankarstvo | Svakoga tko obrađuje osobne podatke |
| Što štiti | Kontinuitet financijskih usluga i njihova IT-a | Sigurnost mreža i informacijskih sustava kritičnih sektora | Osobne podatke pojedinaca |
| Rok za prvo izvješće | U roku od 4 sata od klasifikacije, najviše 24 sata od saznanja | Rano upozorenje u roku od 24 sata | U roku od 72 sata tijelu za zaštitu podataka |
| Naknadna izvješća | Privremeno u 72 sata; završno u roku od mjesec dana | Obavijest u 72 sata; završno u roku od mjesec dana | U fazama, kako činjenice postaju poznate |
| Pravni oblik | Uredba — izravno se primjenjuje | Direktiva — svaka država donosi vlastiti zakon | Uredba — izravno se primjenjuje |
| Međusobni odnos | Poseban propis: ima prednost pred NIS2 za financijska društva | Primjenjuje se na financijska društva samo kada DORA ne uređuje pitanje | Primjenjuje se usporedno; jedan incident može aktivirati oba propisa |
U praksi financijsko društvo IT incidente prijavljuje svom financijskom nadzornom tijelu, a ne nacionalnoj agenciji za kibernetičku sigurnost. GDPR se primjenjuje usporedno: ako kibernetički napad otkrije podatke klijenata, društvo ga prijavljuje dvaput — prema DORA-i financijskom nadzorniku, a prema GDPR-u tijelu za zaštitu podataka — prema dvama zasebnim rokovima.
DORA i kripto: što znači za CASP-ove i izdavatelje tokena
Za kripto poduzeća uredba DORA i okvir MiCA djeluju u paru. MiCA određuje tko smije pružati kripto usluge ili izdavati tokene u EU-u; DORA određuje kako se mora upravljati tehnologijom iza tih usluga. Pružatelj usluga povezanih s kriptoimovinom ovlašten prema MiCA-i postaje financijski subjekt prema DORA-i od trenutka izdavanja dozvole, kao i svaki izdavatelj tokena vezanih uz imovinu. Sama MiCA upućuje na DORA-u za IT i sigurnosne zahtjeve, pa ih svaki nadzornik tumači zajedno.
U praksi se otpornost provjerava već tijekom postupka licenciranja, a ne tek poslije. Kada nadzorno tijelo razmatra zahtjev CASP-a, okvir IT rizika, plan kontinuiteta poslovanja, postupci za incidente i aranžmani izdvajanja poslova dio su dokumentacije, a DORA je mjerilo prema kojem se ocjenjuju. Kripto burza ili skrbnik ne mogu dobiti — ni zadržati — dozvolu s planom otpornosti koji postoji samo na papiru.
Kripto društva imaju i IT ovisnosti koje banka nema: skrbništvo nad privatnim ključevima, pružatelje blockchain čvorova, infrastrukturu novčanika trećih strana, komponente pametnih ugovora i tržišta koja trguju neprekidno, bez prozora za održavanje. Prema DORA-i, svaka od njih IT je imovina ili odnos s dobavljačem koji se mora navesti, ocijeniti, ugovoriti i testirati. Tako i nelicencirani dobavljači hostinga, upravljanja ključevima ili blockchain infrastrukture neizravno ispunjavaju DORA-u: putem ugovora svojih klijenata.
Kazne, novčane kazne i sankcije DORA-e za neusklađenost
Ne postoji jedinstvena tablica sankcija DORA-e za cijeli EU. Umjesto toga, članak 50. nalaže svakoj državi članici da utvrdi kazne koje su „djelotvorne, proporcionalne i odvraćajuće” te nadzornicima daje ovlast zatražiti dokumente, provoditi inspekcije, naložiti ispravke i objaviti upozorenja. Primjenjuje ih nacionalno nadležno tijelo svake države članice prema vlastitom zakonu o licenciranju sektora, pa se banka, platna tvrtka i kripto burza suočavaju s ljestvicom sankcija vlastitog sektora.
Možda ste vidjeli „kaznu DORA-e” od jedan posto prosječnog dnevnog svjetskog prometa. Ta je brojka stvarna, ali namijenjena je nekome drugome: to je dnevna kazna koju europska nadzorna tijela mogu izreći kritičnom pružatelju ICT usluga treće strane koji ignorira odluku o nadzoru, do šest mjeseci. Nije kazna za banke ni kripto tvrtke. Ni „2 % godišnjeg prometa”, koji se ponekad navodi uz nju, nije u DORA-i: potječe iz NIS2, gdje je to najmanji prag koji države moraju propisati za ključne subjekte. Za financijsko društvo realne posljedice su:
- nadzorne mjere — nalozi za otklanjanje nedostataka, ograničenja aktivnosti te, u ozbiljnim slučajevima, suspenzija ili gubitak dozvole;
- administrativne novčane kazne prema nacionalnom pravu sektora;
- osobna odgovornost članova odbora, jer DORA odbor čini odgovornim za IT okvir;
- kaznena odgovornost u državama koje su je odlučile uvesti, što članak 52. dopušta;
- šteta za ugled i poslovanje — izgubljeni klijenti, bankarski partneri i ulagači.
Rizik za dozvolu društava ovlaštenih prema MiCA-i
Za pružatelja usluga povezanih s kriptoimovinom najveći je rizik sama dozvola. Dobro IT upravljanje uvjet je za dobivanje dozvole MiCA-e, pa se ponovljeni propusti prema DORA-i mogu smatrati neispunjavanjem uvjeta za ovlaštenje — a ne samo jednokratnim kršenjem usklađenosti.
Tko nadzire DORA-u? Regulatori na nacionalnoj razini i razini EU-a
Svakodnevni nadzor DORA-e ostaje kod regulatora koji već izdaje dozvolu društvu — središnje banke ili financijskog nadzornog tijela njegove matične države članice. To nadležno tijelo prima izvješća o incidentima i registre informacija, odlučuje tko mora provoditi TLPT te provjerava okvir IT rizika u sklopu redovitog nadzora. Većina na svojim mrežnim stranicama objavljuje smjernice, predloške i rokove za DORA-u.
Na razini EU-a posao dijele tri tijela: Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala, Europsko nadzorno tijelo za bankarstvo i EIOPA, tijelo za osiguranje i mirovine. Ona izrađuju tehničke standarde koji popunjavaju pojedinosti i zajednički određuju kritične pružatelje ICT usluga treće strane, pri čemu svakoga od njih zatim nadzire jedno od tri tijela kao glavni nadzornik.
Popis za usklađenost s DORA-om: kako se uskladiti
Bilo da društvo podnosi zahtjev za dozvolu ili je već pod nadzorom, isti skup dokumenata tijekom revizije dokazuje usklađenost s DORA-om. Praktična polazišna točka za plan provedbe DORA-e ili analizu nedostataka:
- Potvrdite područje primjene: u koju kategoriju članka 2. spadate te primjenjuju li se pojednostavljeni okvir ili izuzeće za mikropoduzeća.
- Mapirajte svu IT imovinu, sustave i tokove podataka koji podržavaju kritičnu ili važnu funkciju.
- Usvojite politiku upravljanja ICT rizicima koju je odobrio odbor, s imenovanim odgovornim osobama i godišnjim pregledom.
- Uspostavite ocjenjivanje incidenata, zapisnik incidenata i predloške izvješćivanja koji odgovaraju zakonskim rokovima.
- Izradite godišnji kalendar testiranja i provjerite je li vas nadzorno tijelo stavilo na popis za TLPT.
- Sastavite registar informacija o svim IT pružateljima i ažurirajte njihove ugovore obveznim klauzulama.
- Provjerite koncentracijski rizik i izradite izlazne planove za pružatelje koji podržavaju kritične funkcije.
- Najmanje jednom godišnje testirajte sigurnosne kopije, obnovu i IT plan kontinuiteta.
- Obučite odbor i čuvajte dokaz da je obuka provedena.
Eesti Firma savjetuje fintech i kripto tvrtke o pravnoj strani DORA-e: utvrđivanju primjenjivih obveza, usklađivanju IT okvira sa zahtjevima licenciranja MiCA-e, pregledu ugovora s dobavljačima i pripremi dokumenata koje nadzorno tijelo očekuje. Kontaktirajte nas kako bismo razgovarali o primjeni uredbe na vaše poslovanje.
Često postavljana pitanja o DORA-i
DORA znači Akt o digitalnoj operativnoj otpornosti, uredbu EU-a s jedinstvenim pravilima o upravljanju ICT rizicima, prijavljivanju incidenata, testiranju otpornosti i riziku trećih strana u financijskom sektoru. Izravno se primjenjuje u svim državama članicama i u potpunosti je na snazi.
Na dvadeset kategorija financijskih institucija licenciranih u EU-u — banke, platne institucije i institucije za elektronički novac, investicijska društva, upravitelje fondova, osiguravatelje, pružatelje usluga povezanih s kriptoimovinom i tržišnu infrastrukturu — te, putem ugovora i nadzora EU-a, na IT pružatelje koji im pružaju usluge.
Da. Pripremno razdoblje nakon donošenja je završilo i svaka se obveza primjenjuje u cijelosti. Nadzorna tijela sada DORA-u smatraju dijelom redovitog licenciranja i inspekcija, a ne budućim projektom.
Samo na njihove podružnice i poslovnice licencirane u EU-u. Dobavljači izvan EU-a koji pružaju usluge financijskim društvima EU-a neizravno su obvezani obveznim ugovornim uvjetima, a pružatelj izvan EU-a proglašen kritičnim mora u roku od dvanaest mjeseci osnovati društvo kćer u EU-u.
NIS2 je opća direktiva o kibernetičkoj sigurnosti za kritične sektore; DORA je posebna uredba za financije. Kada bi se obje mogle primjenjivati, DORA ima prednost u upravljanju IT rizicima i prijavljivanju incidenata, a financijska društva izvješćuju financijskog nadzornika, a ne nacionalnu agenciju za kibernetičku sigurnost.
Da. Pružatelji usluga povezanih s kriptoimovinom i izdavatelji tokena vezanih uz imovinu licencirani prema MiCA-i financijski su subjekti prema DORA-i. Izdavatelji tokena elektroničkog novca obuhvaćeni su kao banke ili institucije za elektronički novac. Nelicencirani dobavljači tim društvima neizravno ispunjavaju DORA-u putem ugovornih uvjeta.
U tri koraka: prva obavijest u roku od četiri sata od klasifikacije incidenta kao velikog i najkasnije 24 sata nakon saznanja o njemu, privremeno izvješće u roku od 72 sata od prvog te završno izvješće u roku od mjesec dana od privremenog.
Kazne za financijska društva utvrđene su nacionalnim pravom prema članku 50. i provodi ih nacionalni nadzornik; kreću se od naloga za otklanjanje problema, preko novčanih kazni, do gubitka dozvole. Brojka od jedan posto dnevnog svjetskog prometa kazna je za kritične pružatelje ICT usluga treće strane pod nadzorom EU-a, a ne za financijska društva.
Da, ali razmjerno. Mikropoduzeća su izuzeta od penetracijskog testiranja vođenog prijetnjama, utvrđenog godišnjeg zahtjeva za testiranje i nekih obveza upravljanja, a određena skupina manjih društava slijedi pojednostavljeni okvir upravljanja ICT rizicima. Mala veličina ne izuzima licencirano društvo iz područja primjene.
