A DORA rendelet — a digitális működési rezilienciáról szóló jogszabály — az EU pénzügyi szektorának kiberrezilienciára vonatkozó joga. Meghatározza, hogyan kezeljék a pénzügyi intézmények a kiberbiztonsági és IT-kockázatokat. Egyszerűen fogalmazva: minden uniós banknak, pénzforgalmi vállalatnak, befektetési cégnek, biztosítónak és kriptotőzsdének működőképesnek kell maradnia kibertámadás, felhőszolgáltatási kiesés vagy hibás szoftverfrissítés esetén, és figyelemmel kell kísérnie az igénybe vett IT-szolgáltatóit.
Ez az útmutató jogi vagy IT-háttérrel nem rendelkezőknek készült. Bemutatja, kikre vonatkozik a DORA, mit követel meg, milyen gyorsan kell incidensről jelentést tenni, miben különbözik a NIS2-től és a GDPR-től, milyen szankciók alkalmazhatók, mit jelentenek a DORA-követelmények a fintech- és kriptovállalatoknak, végül pedig rövid DORA megfelelőségi ellenőrzőlistát ad.
Mi a DORA egyszerűen?
A DORA — amelyet olykor EU DORA-ként vagy DORA Actként írnak — a pénzügyi szektor digitális működési rezilienciájáról szóló (EU) 2022/2554 rendelet. A „digitális működési reziliencia” bonyolultan hangzik, de egy dolgot jelent: képes-e vállalata kiszolgálni ügyfeleit, amikor az IT-rendszere meghibásodik? Bejut egy hacker, meghiúsul egy frissítés, leáll egy szolgáltató — a fizetések továbbra is teljesülnek, az ügyfelek be tudnak jelentkezni, az adataik biztonságban vannak? A DORA ezt a kérdést bevált gyakorlatból jogi kötelezettséggé teszi.
A DORA előtt minden EU-tagállamnak és a pénzügyi szektor minden részének saját IT-biztonsági szabályai és incidensűrlapjai voltak. A DORA ezt a mozaikot az egész uniós pénzügyi szektorra vonatkozó egységes szabálykönyvvel váltja fel. Mivel rendelet, nem pedig irányelv, minden tagállamban szó szerint alkalmazandó — nincs szükség nemzeti jogszabályra a hatálybalépéséhez.
A DORA-megfelelés határideje már lejárt. Az elfogadást követő kétéves felkészülési időszak véget ért, minden DORA-kötelezettség hatályban van, és a nemzeti pénzügyi felügyeletek ellenőrzik azokat. A DORA keretrendszere öt pilléren nyugszik, amelyeket az útmutató sorban bemutat:
- ICT-kockázatkezelés — írásos IT-kockázati terv, amelyért az irányító testület (az igazgatótanács) felel;
- ICT-vel kapcsolatos incidenskezelés és jelentéstétel — IT-incidensek felismerése, nyilvántartása és jelentése a felügyeletnek;
- digitális működési reziliencia tesztelése — a rendszeres sérülékenységi vizsgálatoktól a teljes „red team” támadásszimulációkig;
- ICT-harmadik fél kockázatkezelése — a vállalat által igénybe vett IT-szolgáltatók ellenőrzése, valamennyiük nyilvántartásával;
- információmegosztás — fenyegetettségi információk önkéntes cseréje pénzügyi szervezetek között.
Eredmények, nem technológiák
A DORA nem mondja meg, mely szoftvert vagy szolgáltatót használja. Eredményeket ír elő: legyen ellenálló, észlelje a problémákat, gyorsan álljon helyre, tartsa ellenőrzés alatt beszállítóit. Az igazgatótanács felel annak igazolásáért, hogy ezek az eredmények megvalósulnak, a vezetőknek pedig naprakészen kell tartaniuk IT-kockázati ismereteiket (a rendelet kifejezetten említi a képzést). Az, hogy mindent az IT-osztályra bíznak, majd megfeledkeznek róla, pontosan az, amit a DORA tilt.
A DORA kulcsfogalmai
Néhány meghatározott fogalom a DORA rendelet minden cikkében, minden felügyeleti űrlapon és minden szolgáltatói szerződésben előfordul. Ha ezeket ismeri, a többi sokkal könnyebben érthető.
| Pénzügyi szervezet | A rendelet kifejezése engedéllyel rendelkező pénzügyi vállalkozásra — a 2. cikkben felsorolt húsz típus bármelyikére. Ha ilyen engedéllyel rendelkezik, a DORA Önre vonatkozik. |
|---|---|
| ICT-harmadik fél szolgáltató | Bármely vállalat, amely IT-szolgáltatást nyújt pénzügyi szervezetnek: felhőtárhely, szoftver, adatfolyamok, menedzselt biztonság, fizetésfeldolgozás. |
| Kritikus ICT-harmadik fél szolgáltató (CTPP) | Nagyon nagy szolgáltató — például jelentős felhőplatform —, amelyet az EU hatóságai közvetlen felügyeletre jelöltek ki vezető felügyelő mellett, mert sok vállalat függ tőle. |
| Kritikus vagy fontos funkció | Olyan üzleti funkció, amelynek leállása súlyosan károsítaná a vállalat pénzügyeit, jogi kötelezettségeinek teljesítését vagy engedélyköteles szolgáltatásait. Jellemző példa a fizetés és az ügyfélszámlák kezelése. |
| Jelentős ICT-vel kapcsolatos incidens | Olyan jelentős IT-incidens — az érintett ügyfelek száma, időtartama, elveszett adatok vagy a kockán forgó összeg alapján —, amely kötelező felügyeleti jelentést vált ki. |
| Fenyegetésvezérelt behatolási tesztelés (TLPT) | Fejlett teszt, amelyben etikus hackerek úgy támadják az éles rendszereket, ahogyan valódi támadó tenné. Legalább háromévente kötelező az erre a felügyelet által kijelölt cégeknek; a felügyelet gyakrabban is kérheti. |
| Információs nyilvántartás | A vállalat minden IT-szerződésének strukturált, naprakész listája, amelyet legalább évente egyszer megküldenek a felügyeletnek. |
| Szabályozástechnikai standardok (RTS) | Az EU hatóságai által kiadott részletes végrehajtási szabályok — sablonok, küszöbértékek és módszerek —, amelyek kitöltik a rendelet részleteit. |
Kikre vonatkozik a DORA?
A DORA hatályát a 2. cikk határozza meg, amely a pénzügyi szervezetek húsz kategóriáját sorolja fel. Ha egy pénzügyi intézmény az EU-ban e kategóriák valamelyikébe tartozó engedéllyel rendelkezik, a DORA hatálya alá esik — méretétől függetlenül —, kivéve, ha külön mentesség alkalmazható. A fő csoportok alább láthatók.
| Szektor | A hatály alá tartozók | Jó tudni |
|---|---|---|
| Banki szolgáltatások és fizetések | Bankok, pénzforgalmi intézmények, elektronikus pénzt kibocsátó intézmények, számlainformációs szolgáltatók | A MiCA szerinti elektronikus pénz-tokenek kibocsátói hatály alá tartoznak, mert banknak vagy elektronikus pénzt kibocsátó intézménynek kell lenniük |
| Befektetések és alapok | Befektetési vállalkozások, alapkezelők (AIFM-ek és UCITS-ek), kereskedési helyszínek, központi szerződő felek, központi értéktárak | A kis és nem összekapcsolt befektetési vállalkozások enyhébb keretrendszert követnek |
| Kriptoeszközök | Kriptoeszköz-szolgáltatók és eszközalapú tokenek kibocsátói | Mindkettő a MiCA alapján engedélyezett; az engedély megadásának napjától hatály alá tartozik |
| Biztosítás és nyugdíjak | Biztosítók, viszontbiztosítók, biztosításközvetítők, foglalkoztatói nyugdíjalapok | A mikro-, kis- és közepes méretű közvetítők mentesülnek |
| Piaci adatok és infrastruktúra | Hitelminősítő intézetek, adatszolgáltatók, kereskedési és értékpapírosítási adattárak, kritikus referenciamutató-adminisztrátorok | Ezek közül többet közvetlenül uniós szinten felügyelnek |
| Egyéb | Közösségi finanszírozási platformok, ICT-harmadik fél szolgáltatók | Az IT-szolgáltatók hatályáról lásd alább |
És maguk az IT-vállalatok? A felhőplatformok, adatközpontok, szoftverszolgáltatók és menedzselt biztonsági cégek nem pénzügyi szervezetek, de a DORA két módon is eléri őket. Először is minden pénzügyi szervezetnek DORA-szerű feltételeket kell szerződéseibe foglalnia, ezért az elutasító szolgáltató elveszítheti ügyfelét. Másodszor a legnagyobb szolgáltatókat — jelentős felhő-, adatközponti, távközlési és pénzügyi szoftverszolgáltatókat — kritikus ICT-harmadik fél szolgáltatóvá nevezik ki, és közvetlenül uniós szinten felügyelik; a lista évente frissül.
Vonatkozik a DORA nem uniós vállalatokra? Közvetlenül csak az EU-ban engedéllyel rendelkező cégekre — ideértve brit, amerikai vagy ázsiai csoportok uniós leányvállalatait és fióktelepeit. Közvetve minden külföldi szolgáltatót elér, amely uniós pénzügyi vállalatot szolgál ki, mert a kötelező szerződéses kikötések a szolgáltató székhelyétől függetlenül érvényesek. Kritikusnak kijelölt nem uniós szolgáltatónak tizenkét hónapon belül uniós leányvállalatot kell létrehoznia.
Végül a DORA arányos: a kötelezettségek a pénzügyi intézmény méretével és összetettségével nőnek. A mikrovállalkozások — tíznél kevesebb alkalmazottal, valamint kétmillió eurónál kisebb árbevétellel vagy mérlegfőösszeggel — több követelmény alól mentesülnek, köztük a fenyegetésvezérelt behatolási tesztelés, valamint egyes irányítási és jelentéstételi kötelezettségek alól. A kisebb cégek meghatározott csoportja, például a kis és nem összekapcsolt befektetési vállalkozások, valamint egyes mentesített pénzforgalmi és elektronikus pénzt kibocsátó intézmények a 16. cikk szerinti egyszerűsített ICT-kockázatkezelési keretrendszert követik. A kis méret nem vonja ki az engedéllyel rendelkező céget a DORA hatálya alól; csak csökkenti a terheit.
DORA-követelmények: az öt pillér
A DORA-megfelelési követelmények öt csoportba sorolhatók. Együtt egyetlen ciklust alkotnak — megelőzés, észlelés, reagálás, helyreállítás, tanulás —, és a szabályozó minden lépéshez bizonyítékot vár.
ICT-kockázatkezelési keretrendszer (5–16. cikk)
Egyszerűen: tudja, milyen IT-eszközei vannak, tudja, mi romolhat el velük, és rendelkezzen írásos tervvel védelmükre és helyreállításukra. A keretrendszernek fel kell sorolnia az IT-eszközöket és függőségeket, meg kell határoznia, hogyan előzi meg és észleli a vállalat a problémákat, hogyan reagál és áll helyre, valamint hogyan tanul az incidensekből. Évente legalább egyszer és minden jelentős incidens után felül kell vizsgálni. Az irányító testület hagyja jóvá, meghatározza az elfogadható kockázatot és biztosítja a költségvetést. A kritikus funkciókat fel kell térképezni, a biztonsági mentéseket ténylegesen tesztelni kell, és olyan IT-üzletmenet-folytonossági tervre van szükség, amely kiegészíti a vállalat általános folytonossági tervét.
Incidensjelentés: a 4 órás, 72 órás és egyhónapos határidők
Minden ICT-vel kapcsolatos incidenst az EU-ban azonos szempontok szerint kell nyilvántartani és besorolni: hány ügyfelet érintett, mennyire sérült a vállalat hírneve, meddig tartott, milyen messzire terjedt, milyen adat veszett el, mennyire volt kritikus a szolgáltatás, és mekkora összeg forgott kockán. A küszöbértékeket átlépő incidens „jelentős”, és három lépésben jelentendő a felügyeletnek: első értesítés a jelentőssé minősítéstől számított négy órán belül (de legkésőbb a tudomásszerzéstől számított 24 órán belül), időközi jelentés az első értesítéstől számított 72 órán belül, valamint végleges jelentés az időközi jelentéstől számított egy hónapon belül. Azokat az ügyfeleket, akiknek pénzét vagy adatait érinti, késedelem nélkül tájékoztatni kell. A még incidenst nem okozó súlyos kiberfenyegetések önkéntesen jelenthetők.
Rezilienciatesztelés és fenyegetésvezérelt behatolási tesztelés (TLPT)
A digitális működési reziliencia tesztelése éves program: minden kritikus vagy fontos funkciót támogató rendszeren sérülékenységi vizsgálatot, hiányelemzést, forráskód-felülvizsgálatot, forgatókönyvtesztet, teljesítménytesztet és behatolási tesztet kell végezni. Azoknak a cégeknek, amelyeket a felügyelet jelentősnek tekint — méretük vagy meghibásodásuk hatása miatt —, legalább háromévente fenyegetésvezérelt behatolási tesztelést is kell végezniük. Ez képzett etikus hackerek ellenőrzött támadása éles rendszerek ellen, elismert keretrendszer szerint. A mikrovállalkozások és az egyszerűsített keretrendszerbe tartozó cégek mentesülnek a TLPT alól, és enyhébb, kockázatalapú ütemezés szerint tesztelnek.
Harmadik fél kockázata, kiszervezés és az információs nyilvántartás
Az IT kiszervezése — felhőszolgáltatónak vagy bárki másnak — nem szervezi ki a felelősséget. Az ICT-harmadik fél kockázatkezelése a szolgáltatói kockázatokra vonatkozó írásos stratégiával kezdődik; a vállalatnak szerződéskötés előtt ellenőriznie kell a szolgáltatókat, kerülnie kell az egyetlen szolgáltatótól való túlzott függést, és információs nyilvántartást kell vezetnie — minden IT-szerződés strukturált listáját —, amelyet legalább évente egyszer megküld a felügyeletnek. Maguknak a szerződéseknek rögzített kikötéskészletet kell tartalmazniuk: mi a szolgáltatás és milyen szintet ígérnek, hol tárolják az adatokat, az ellenőrzéshez és audithoz való jogot, az incidensek alatti segítségnyújtási kötelezettséget, a szerződés megszüntetésének módját, valamint azt, hogyan váltana a vállalat más szolgáltatóra, ha erre kényszerülne. A vállalat akkor is teljes felelősséggel tartozik, ha a szolgáltató uniós szinten felügyelt kritikus szolgáltató.
Kiberfenyegetésekkel kapcsolatos információmegosztás
A pénzügyi szervezetek megbízható csoportokon belül cserélhetnek fenyegetettségi információkat — támadási mintákat, kompromittálódási indikátorokat. Senki sem köteles csatlakozni, de aki részt vesz, annak értesítenie kell felügyeletét, és a cserének tiszteletben kell tartania a titoktartási és adatvédelmi szabályokat.
DORA kontra NIS2 kontra GDPR: hogyan illeszkednek a szabályok?
Három uniós jogszabály fedi át egymást a kiberreziliencia és incidensjelentés terén, és sok pénzügyi intézményre több is vonatkozik. A táblázat bemutatja, kit fed le mindegyik, és hogyan különböznek a jelentési határidők.
| Szempont | DORA | NIS2 irányelv | GDPR |
|---|---|---|---|
| Kikre vonatkozik | Pénzügyi vállalatokra és IT-szolgáltatóikra | Tizennyolc kritikus ágazat — köztük a banki szektor — alapvető és fontos szervezeteire | Mindenkire, aki személyes adatot kezel |
| Mit véd | A pénzügyi szolgáltatások és IT-jük folytonosságát | A kritikus ágazatok hálózat- és információbiztonságát | Az egyének személyes adatait |
| Első jelentés határideje | A besorolástól 4 órán belül, legfeljebb a tudomásszerzéstől 24 órán belül | Korai figyelmeztetés 24 órán belül | 72 órán belül az adatvédelmi hatóságnak |
| Utólagos jelentések | Időközi 72 órán belül; végleges egy hónapon belül | Értesítés 72 órán belül; végleges egy hónapon belül | Szakaszosan, ahogy a tények ismertté válnak |
| Jogi forma | Rendelet — közvetlenül alkalmazandó | Irányelv — minden ország saját jogszabályt alkot | Rendelet — közvetlenül alkalmazandó |
| Kapcsolatuk | Speciális szabály: a pénzügyi vállalatoknál elsőbbséget élvez a NIS2-vel szemben | Pénzügyi vállalatokra csak ott alkalmazandó, ahol a DORA nem rendelkezik | Párhuzamosan alkalmazandó; egy incidens mindkettőt kiválthatja |
A gyakorlatban a pénzügyi vállalat az IT-incidenseket pénzügyi felügyeletének jelenti, nem a nemzeti kiberbiztonsági ügynökségnek. A GDPR párhuzamosan alkalmazandó: ha egy kibertámadás ügyféladatokat szivárogtat ki, a vállalat kétszer jelent — DORA alapján a pénzügyi felügyeletnek, GDPR alapján az adatvédelmi hatóságnak — két külön határidő szerint.
DORA és kripto: mit jelent a CASP-eknek és tokenkibocsátóknak?
A kriptovállalkozások számára a DORA rendelet és a MiCA keretrendszer együtt működik. A MiCA dönti el, ki nyújthat kriptoszolgáltatást vagy bocsáthat ki tokent az EU-ban; a DORA azt szabja meg, hogyan kell üzemeltetni az e szolgáltatások mögötti technológiát. A MiCA alapján engedélyezett kriptoeszköz-szolgáltató az engedély megadásának pillanatától pénzügyi szervezetnek minősül a DORA szerint, ahogyan az eszközalapú tokenek minden kibocsátója is. Maga a MiCA is a DORA-ra utal az IT- és biztonsági követelményeknél, ezért minden felügyelet együtt értelmezi a kettőt.
A gyakorlatban a rezilienciát már az engedélyezési eljárásban ellenőrzik, nem csak utólag. Amikor a felügyelet CASP-kérelmet vizsgál, az IT-kockázatkezelési keretrendszer, az üzletmenet-folytonossági terv, az incidenseljárások és a kiszervezési megállapodások az ügyirat részét képezik, és a DORA az értékelés mércéje. Egy kriptotőzsde vagy letétkezelő nem kaphatja meg — és nem tarthatja meg — engedélyét, ha rezilienciaterve csak papíron létezik.
A kriptovállalatoknak olyan IT-függőségeik is vannak, amelyek egy banknak nincsenek: privátkulcs-letétkezelés, blokklánccsomópont-szolgáltatók, harmadik fél által biztosított pénztárca-infrastruktúra, intelligensszerződés-komponensek, valamint éjjel-nappal, karbantartási időablak nélkül működő piacok. A DORA alapján mindegyik IT-eszköz vagy szolgáltatói kapcsolat, amelyet fel kell venni a listára, minősíteni, szerződésben szabályozni és tesztelni kell. A tárhely-, kulcskezelési vagy blokklánc-infrastruktúra engedély nélküli szállítói így felelnek meg közvetve a DORA-nak: ügyfeleik szerződései révén.
DORA-szankciók, bírságok és jogkövetkezmények nem megfelelés esetén
Nincs egységes, egész EU-ra kiterjedő DORA-szankciós táblázat. Ehelyett az 50. cikk minden tagállamra bízza a „hatékony, arányos és visszatartó erejű” szankciók megállapítását, és felhatalmazza a felügyeleteket dokumentumok bekérésére, helyszíni vizsgálatokra, korrekciók elrendelésére és figyelmeztetések közzétételére. Ezeket minden tagállam illetékes nemzeti hatósága az adott ágazat engedélyezési joga szerint alkalmazza, így egy bank, pénzforgalmi vállalat és kriptotőzsde egyaránt saját ágazatának szankciórendszerével néz szembe.
Talán találkozott az átlagos napi globális árbevétel egy százalékát kitevő „DORA-bírsággal”. Ez a szám valós, de másnak szól: az európai felügyeleti hatóságok napi bírságot szabhatnak ki olyan kritikus ICT-harmadik fél szolgáltatóra, amely figyelmen kívül hagy egy felügyeleti határozatot, legfeljebb hat hónapig. Ez nem bankok vagy kriptovállalatok bírsága. A vele együtt olykor idézett „éves árbevétel 2%-a” sem a DORA-ból ered: a NIS2-ből származik, ahol ez az alapvető szervezetek esetében előírandó minimális felső határ. Egy pénzügyi vállalat számára a reális következmények:
- felügyeleti intézkedések — korrekciós kötelezések, tevékenységi korlátozások, súlyos esetben az engedély felfüggesztése vagy elvesztése;
- az ágazat nemzeti joga szerinti közigazgatási bírságok;
- az igazgatótanács tagjainak személyes felelőssége, mert a DORA az igazgatótanácsot teszi felelőssé az IT-keretrendszerért;
- büntetőjogi felelősség azokban az országokban, amelyek ezt bevezették, amit az 52. cikk megenged;
- hírnév- és üzleti kár — elveszített ügyfelek, banki partnerek és befektetők.
Engedélykockázat a MiCA alapján engedélyezett cégeknél
Kriptoeszköz-szolgáltató esetében a legnagyobb kockázat maga az engedély. A megbízható IT-irányítás a MiCA-engedély megszerzésének feltétele, ezért az ismétlődő DORA-megsértések úgy kezelhetők, hogy a vállalat már nem felel meg az engedélyezés feltételeinek — nem csupán egyszeri megfelelési hiányosságként.
Ki felügyeli a DORA-t? Nemzeti és uniós szabályozók
A DORA mindennapi felügyelete annál a szabályozónál marad, amely a vállalatot már engedélyezte — a székhely szerinti tagállam központi bankjánál vagy pénzügyi felügyeleti hatóságánál. Ez az illetékes hatóság kapja az incidensjelentéseket és az információs nyilvántartásokat, eldönti, kinek kell TLPT-t végeznie, és a rendes felügyelet részeként ellenőrzi az IT-kockázatkezelési keretrendszert. A legtöbb hatóság honlapján DORA-iránymutatást, sablonokat és határidőket tesz közzé.
Uniós szinten három szerv osztja meg a feladatot: az Európai Értékpapírpiaci Hatóság, az Európai Bankhatóság és az EIOPA, a biztosítási és foglalkoztatói nyugdíjhatóság. Ezek kidolgozzák a részleteket rögzítő technikai standardokat, és közösen jelölik ki a kritikus ICT-harmadik fél szolgáltatókat; ezután mindegyiket a három szerv egyike felügyeli vezető felügyelőként.
DORA megfelelőségi ellenőrzőlista: hogyan feleljen meg?
Akár engedélyért folyamodik egy vállalat, akár már felügyelet alatt áll, audit során ugyanaz a dokumentumkészlet igazolja a DORA-megfelelést. Gyakorlati kiindulópont DORA-bevezetési tervhez vagy hiányelemzéshez:
- Erősítse meg hatályát: a 2. cikk mely kategóriájába esik, és alkalmazható-e az egyszerűsített keretrendszer vagy a mikrovállalkozási mentesség.
- Térképezzen fel minden olyan IT-eszközt, rendszert és adatáramlást, amely kritikus vagy fontos funkciót támogat.
- Fogadjon el az igazgatótanács által jóváhagyott ICT-kockázatkezelési szabályzatot kijelölt felelősökkel és éves felülvizsgálattal.
- Hozzon létre incidensbesorolást, incidensnaplót és a jogszabályi határidőknek megfelelő jelentési sablonokat.
- Állítson össze éves tesztelési naptárt, és ellenőrizze, hogy a felügyelet felvette-e a TLPT-listára.
- Állítsa össze az összes IT-szolgáltató információs nyilvántartását, és frissítse szerződéseiket a kötelező kikötésekkel.
- Ellenőrizze a koncentrációs kockázatot, és készítsen kilépési terveket a kritikus funkciókat támogató szolgáltatókra.
- Évente legalább egyszer tesztelje a biztonsági mentéseket, a helyreállítást és az IT-üzletmenet-folytonossági tervet.
- Képezze az igazgatótanácsot, és őrizze meg a képzés megtörténtének bizonyítékát.
Az Eesti Firma a DORA jogi oldalában tanácsot ad fintech- és kriptovállalatoknak: meghatározza az alkalmazandó kötelezettségeket, összehangolja az IT-keretrendszert a MiCA engedélyezési követelményeivel, felülvizsgálja a szolgáltatói szerződéseket, és elkészíti azokat a dokumentumokat, amelyeket a felügyelet vár. Vegye fel velünk a kapcsolatot, hogy megbeszéljük, miként vonatkozik a rendelet az Ön vállalkozására.
Gyakran ismételt kérdések a DORA-ról
A DORA a Digital Operational Resilience Act rövidítése, egy uniós rendelet, amely egységes szabályokat állapít meg az ICT-kockázatkezelésre, incidensjelentésre, rezilienciatesztelésre és harmadik fél kockázataira a pénzügyi szektorban. Minden tagállamban közvetlenül alkalmazandó és teljes körűen hatályban van.
Az EU-ban engedélyezett pénzügyi intézmények húsz kategóriájára — bankokra, pénzforgalmi és elektronikus pénzt kibocsátó intézményekre, befektetési vállalkozásokra, alapkezelőkre, biztosítókra, kriptoeszköz-szolgáltatókra és piaci infrastruktúrákra —, valamint szerződéseken és uniós felügyeleten keresztül az őket kiszolgáló IT-szolgáltatókra.
Igen. Az elfogadást követő felkészülési időszak véget ért, és minden kötelezettség teljes körűen alkalmazandó. A felügyeletek a DORA-t ma már a rendes engedélyezés és ellenőrzés részeként kezelik, nem jövőbeli projektként.
Csak az EU-ban engedélyezett leányvállalataikra és fióktelepeikre. Az uniós pénzügyi cégeket kiszolgáló nem uniós szolgáltatókat kötelező szerződéses feltételek közvetve kötik, a kritikusnak kijelölt nem uniós szolgáltatónak pedig tizenkét hónapon belül uniós leányvállalatot kell létrehoznia.
A NIS2 a kritikus ágazatok általános kiberbiztonsági irányelve; a DORA a pénzügyi szektor speciális rendelete. Ahol mindkettő alkalmazható, a DORA elsőbbséget élvez az IT-kockázatkezelésben és incidensjelentésben, a pénzügyi vállalatok pedig pénzügyi felügyeletüknek, nem a nemzeti kiberbiztonsági ügynökségnek jelentenek.
Igen. A MiCA alapján engedélyezett kriptoeszköz-szolgáltatók és eszközalapú tokenek kibocsátói a DORA szerint pénzügyi szervezetek. Az elektronikus pénz-tokenek kibocsátói bankként vagy elektronikus pénzt kibocsátó intézményként tartoznak a hatály alá. Az e cégeket kiszolgáló engedély nélküli szolgáltatók szerződéses feltételeken keresztül közvetve felelnek meg a DORA-nak.
Három lépésben: első értesítés az incidens jelentőssé minősítésétől számított négy órán belül, de legkésőbb a tudomásszerzéstől számított 24 órán belül; időközi jelentés az elsőtől számított 72 órán belül; végleges jelentés pedig az időközi jelentéstől számított egy hónapon belül.
A pénzügyi vállalatokra vonatkozó szankciókat az 50. cikk alapján a nemzeti jog állapítja meg, és a nemzeti felügyelet hajtja végre; a hiányosságok megszüntetésére kötelezéstől a bírságon át az engedély elvesztéséig terjedhetnek. A napi globális árbevétel egy százalékára vonatkozó összeg az uniós felügyelet alá tartozó kritikus ICT-harmadik fél szolgáltatók szankciója, nem pénzügyi vállalatoké.
Igen, de arányosan. A mikrovállalkozások mentesülnek a fenyegetésvezérelt behatolási tesztelés, a kötött éves tesztelési követelmény és egyes irányítási kötelezettségek alól, a kisebb cégek meghatározott csoportja pedig egyszerűsített ICT-kockázatkezelési keretrendszert követ. A kis méret nem vonja ki az engedéllyel rendelkező vállalatot a hatály alól.
