Kas yra DORA reglamentas? ES skaitmeninio veiklos atsparumo aktas

DORA reglamentas – Skaitmeninio veiklos atsparumo aktas – yra ES teisės aktas dėl finansų sektoriaus kibernetinio atsparumo. Jame nurodoma, kaip finansų įstaigos turi valdyti kibernetinio saugumo ir IT riziką. Paprastai tariant, kiekvienas ES bankas, mokėjimo bendrovė, investicinė įmonė, draudikas ir kriptoturto birža turi gebėti tęsti veiklą įsilaužimo, debesijos paslaugos sutrikimo ar nepavykusio programinės įrangos atnaujinimo metu bei prižiūrėti IT tiekėjus, nuo kurių priklauso.

Šis vadovas skirtas žmonėms, neturintiems teisinio ar IT išsilavinimo. Jame aptariama, kam taikoma DORA, ko ji reikalauja, per kiek laiko reikia pranešti apie incidentą, kuo ji skiriasi nuo NIS2 ir GDPR, kokios taikomos sankcijos, ką DORA reikalavimai reiškia fintech ir kriptoturto bendrovėms, o pabaigoje pateikiamas trumpas DORA atitikties kontrolinis sąrašas.

Kas paprastai yra DORA?

DORA – kartais vadinama ES DORA arba DORA aktu – yra Reglamentas (ES) 2022/2554 dėl finansų sektoriaus skaitmeninės veiklos atsparumo. „Skaitmeninis veiklos atsparumas“ skamba sudėtingai, tačiau reiškia vieną dalyką: ar jūsų įmonė gali toliau teikti paslaugas klientams, kai sutrinka jos IT? Įsilaužia programišius, nepavyksta atnaujinimas, tiekėjas išsijungia – ar mokėjimai vis dar vykdomi, ar klientai gali prisijungti, ar jų duomenys saugūs? DORA šį klausimą iš gerosios praktikos paverčia teisine pareiga.

Iki DORA kiekviena ES šalis ir kiekviena finansų sektoriaus dalis turėjo savas IT saugumo taisykles bei incidentų formas. DORA šią fragmentuotą sistemą pakeičia vienu taisyklių rinkiniu visam ES finansų sektoriui. Kadangi tai reglamentas, o ne direktyva, jis tiesiogiai ir vienodai taikomas kiekvienoje valstybėje narėje – jo įsigaliojimui nereikia nacionalinio įstatymo.

DORA atitikties terminas jau praėjo. Pasibaigė dvejų metų pasirengimo laikotarpis po priėmimo, visos DORA pareigos galioja, o nacionalinės finansų priežiūros institucijos jas tikrina. DORA sistema grindžiama penkiais ramsčiais, kurių kiekvienas aptariamas toliau:

• IRT rizikos valdymas – rašytinis IT rizikos planas, už kurį atsako valdymo organas (valdyba);
• su IRT susijusių incidentų valdymas ir pranešimas – IT incidentų nustatymas, registravimas ir pranešimas priežiūros institucijai;
• skaitmeninio veiklos atsparumo testavimas – nuo įprastų pažeidžiamumų skenavimų iki visapusiškų „raudonosios komandos“ atakų simuliacijų;
• IRT trečiųjų šalių rizikos valdymas – įmonės IT tiekėjų kontrolė ir visų jų registras;
• dalijimasis informacija – savanoriškas finansų subjektų keitimasis informacija apie grėsmes.

Pagrindinės DORA sąvokos

Keli apibrėžti terminai vartojami kiekviename DORA reglamento straipsnyje, kiekvienoje priežiūros formoje ir kiekvienoje sutartyje su tiekėju. Juos supratus, likusį tekstą skaityti daug lengviau.

Kam taikoma DORA?

DORA taikymo sritis nustatyta 2 straipsnyje, kuriame išvardyta dvidešimt finansų subjektų kategorijų. Jei finansų įstaiga turi vieną iš šių licencijų bet kur ES, jai taikoma DORA – nesvarbu, kokio ji dydžio, – išskyrus konkrečiai numatytas išimtis. Pagrindinės grupės nurodytos toliau.

O pačioms IT įmonėms? Debesijos platformos, duomenų centrai, programinės įrangos tiekėjai ir valdomo saugumo įmonės nėra finansų subjektai, tačiau DORA jas pasiekia dviem būdais. Pirma, kiekvienas finansų subjektas privalo įtraukti DORA reikalavimus atitinkančias sąlygas į sutartis su jomis, todėl atsisakantis tiekėjas rizikuoja prarasti klientą. Antra, didžiausi teikėjai – pagrindiniai debesijos, duomenų centrų, telekomunikacijų ir finansinės programinės įrangos tiekėjai – paskiriami ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjais ir tiesiogiai prižiūrimi ES lygmeniu; sąrašas atnaujinamas kasmet.

Ar DORA taikoma ne ES įmonėms? Tiesiogiai – tik ES licencijuotoms įmonėms, įskaitant JK, JAV ar Azijos grupių ES patronuojamąsias įmones ir filialus. Netiesiogiai ji taikoma bet kuriam užsienio tiekėjui, aptarnaujančiam ES finansų įmonę, nes privalomos sutarčių sąlygos taikomos nepriklausomai nuo tiekėjo buveinės. Ypatingos svarbos teikėju paskirtas ne ES paslaugų teikėjas per dvylika mėnesių turi įsteigti ES patronuojamąją įmonę.

Galiausiai DORA yra proporcinga: pareigos didėja kartu su finansų įstaigos dydžiu ir sudėtingumu. Mikroįmonėms – turinčioms mažiau nei dešimt darbuotojų ir mažesnę nei du milijonai eurų apyvartą arba balansą – netaikomi keli reikalavimai, įskaitant grėsmėmis grindžiamą įsiskverbimo testavimą ir kai kurias valdymo bei ataskaitų teikimo pareigas. Apibrėžtai mažesnių įmonių grupei, pavyzdžiui, mažoms ir nesusietoms investicinėms įmonėms bei tam tikroms atleistoms mokėjimo ir elektroninių pinigų įstaigoms, pagal 16 straipsnį taikoma supaprastinta IRT rizikos valdymo sistema. Mažas dydis licencijuotos įmonės iš DORA taikymo srities nepašalina – jis tik sumažina naštą.

DORA reikalavimai: penki paaiškinti ramsčiai

DORA atitikties reikalavimai suskirstyti į penkias grupes. Kartu jie sudaro vieną ciklą – užkirsti kelią, aptikti, reaguoti, atkurti, mokytis – ir reguliuotojas tikisi kiekvieno etapo įrodymų.

IRT rizikos valdymo sistema (5–16 straipsniai)

Paprastai tariant: žinokite, kokią IT turite, žinokite, kas su ja gali nutikti, ir turėkite rašytinį jos apsaugos bei atkūrimo planą. Sistemoje turi būti išvardytas IT turtas ir priklausomybės, aprašyta, kaip įmonė užkerta kelią problemoms ir jas aptinka, kaip reaguoja ir atkuria veiklą bei kaip mokosi iš incidentų. Ji peržiūrima bent kartą per metus ir po kiekvieno didelio incidento. Valdymo organas ją patvirtina, nustato priimtiną rizikos lygį ir skiria biudžetą. Ypatingos svarbos funkcijos turi būti susietos, atsarginės kopijos realiai testuojamos, o IT veiklos tęstinumo planas turi papildyti bendrą įmonės veiklos tęstinumo planą.

Pranešimas apie incidentus: 4 valandų, 72 valandų ir vieno mėnesio terminai

Kiekvienas su IRT susijęs incidentas turi būti registruojamas ir vertinamas pagal vienodus ES kriterijus: kiek klientų nukentėjo, kiek pakenkta įmonės reputacijai, kiek incidentas truko, kaip plačiai išplito, kokie duomenys prarasti, kiek svarbi buvo paslauga ir kokia finansinė rizika kilo. Ribas viršijantis incidentas yra „didelis“ ir apie jį priežiūros institucijai būtina pranešti trimis etapais: pirmasis pranešimas per keturias valandas nuo sprendimo jį priskirti dideliam (ir ne vėliau kaip per 24 valandas nuo tada, kai įmonė apie jį sužinojo), tarpinė ataskaita per 72 valandas nuo pirmojo pranešimo ir galutinė ataskaita per vieną mėnesį nuo tarpinės. Klientai, kurių pinigai ar duomenys paveikti, turi būti informuoti nedelsiant. Apie rimtas kibernetines grėsmes, dar nevirtusias incidentais, galima pranešti savanoriškai.

Atsparumo testavimas ir grėsmėmis grindžiamas įsiskverbimo testavimas (TLPT)

Skaitmeninio veiklos atsparumo testavimas yra metinė programa: kiekvienai sistemai, palaikančiai ypatingos svarbos ar svarbią funkciją, turi būti atliekami pažeidžiamumų skenavimai, spragų analizė, šaltinio kodo peržiūra, scenarijų ir našumo testai bei įsiskverbimo testai. Įmonės, kurias priežiūros institucija laiko reikšmingomis dėl jų dydžio ar sutrikimo poveikio, papildomai privalo bent kas trejus metus atlikti grėsmėmis grindžiamą įsiskverbimo testavimą. Tai kontroliuojama kvalifikuotų etiškų programišių ataka prieš veikiančias sistemas pagal pripažintą sistemą. Mikroįmonės ir įmonės, kurioms taikoma supaprastinta sistema, nuo TLPT atleidžiamos ir testuoja lengvesniu, rizika grindžiamu grafiku.

Trečiųjų šalių rizika, išorės paslaugos ir informacijos registras

IT perdavimas išorės paslaugų teikėjui – debesijos paslaugų teikėjui ar kitam subjektui – nereiškia atsakomybės perdavimo. IRT trečiųjų šalių rizikos valdymas prasideda nuo rašytinės tiekėjų rizikos strategijos; prieš pasirašydama sutartį įmonė privalo patikrinti tiekėjus, vengti pernelyg didelės priklausomybės nuo vieno teikėjo ir turėti informacijos registrą – struktūrizuotą visų IT sutarčių sąrašą, kuris bent kartą per metus pateikiamas priežiūros institucijai. Pačiose sutartyse turi būti nustatytas privalomas sąlygų rinkinys: paslaugos pobūdis ir pažadėtas lygis, duomenų saugojimo vieta, teisė tikrinti ir audituoti, pareiga padėti incidentų metu, sutarties nutraukimo tvarka ir įmonės perėjimas pas kitą tiekėją, jei to prireiktų. Įmonė išlieka visiškai atsakinga net tada, kai tiekėjas yra ES lygmeniu prižiūrimas ypatingos svarbos teikėjas.

Dalijimasis informacija apie kibernetines grėsmes

Finansų subjektai patikimose grupėse gali keistis informacija apie grėsmes – atakų modeliais, kompromitavimo indikatoriais. Niekas neprivalo prisijungti, tačiau tai darantis subjektas turi informuoti priežiūros instituciją, o keitimasis turi atitikti konfidencialumo ir duomenų apsaugos taisykles.

DORA, NIS2 ir GDPR: kaip šios taisyklės dera tarpusavyje

Trys ES teisės aktai persidengia kibernetinio atsparumo ir pranešimo apie incidentus srityse, o daugeliui finansų įstaigų taikomas ne vienas iš jų. Lentelėje parodyta, kam kiekvienas jų taikomas ir kuo skiriasi pranešimų terminai.

Praktiškai finansų įmonė apie IT incidentus praneša finansų priežiūros institucijai, o ne nacionalinei kibernetinio saugumo agentūrai. GDPR taikomas lygiagrečiai: jei per kibernetinę ataką nuteka klientų duomenys, įmonė praneša du kartus – pagal DORA finansų priežiūros institucijai ir pagal GDPR duomenų apsaugos institucijai – laikydamasi dviejų atskirų terminų.

DORA ir kriptoturtas: ką tai reiškia CASP ir žetonų leidėjams

Kriptoturto verslui DORA reglamentas ir MiCA sistema veikia kaip pora. MiCA nustato, kas ES gali teikti kriptoturto paslaugas ar leisti žetonus; DORA nustato, kaip turi būti valdoma šių paslaugų technologija. Pagal MiCA leidimą gavęs kriptoturto paslaugų teikėjas nuo licencijos suteikimo momento yra DORA finansų subjektas, kaip ir turtu susietų žetonų leidėjas. MiCA IT ir saugumo reikalavimams tiesiogiai nurodo DORA, todėl kiekviena priežiūros institucija abu teisės aktus aiškina kartu.

Praktikoje atsparumas tikrinamas jau per licencijavimo procesą, ne tik vėliau. Kai priežiūros institucija nagrinėja CASP paraišką, IT rizikos sistema, veiklos tęstinumo planas, incidentų procedūros ir išorės paslaugų susitarimai yra bylos dalis, o DORA yra vertinimo kriterijus. Kriptoturto birža ar saugotojas negali gauti – ar išlaikyti – licencijos, jei atsparumo planas egzistuoja tik popieriuje.

Kriptoturto įmonės taip pat turi IT priklausomybių, kurių bankas neturi: privačiųjų raktų saugojimą, blokų grandinės mazgų tiekėjus, trečiųjų šalių piniginių infrastruktūrą, išmaniųjų sutarčių komponentus ir visą parą be techninės priežiūros lango veikiančias rinkas. Pagal DORA kiekvienas jų yra IT turtas arba tiekėjo santykis, kurį būtina įtraukti į sąrašą, įvertinti, reglamentuoti sutartimi ir testuoti. Taip nelicencijuoti prieglobos, raktų valdymo ar blokų grandinės infrastruktūros tiekėjai netiesiogiai laikosi DORA – per klientų sutartis.

DORA sankcijos, baudos ir atsakomybė už neatitiktį

Nėra vienos visoje ES galiojančios DORA sankcijų lentelės. Vietoj to 50 straipsnis nurodo kiekvienai valstybei narei nustatyti „veiksmingas, proporcingas ir atgrasomas“ sankcijas bei suteikia priežiūros institucijoms teisę reikalauti dokumentų, atlikti patikrinimus, nurodyti ištaisyti trūkumus ir skelbti įspėjimus. Jas pagal atitinkamo sektoriaus licencijavimo teisę taiko kiekvienos valstybės narės nacionalinė kompetentinga institucija, todėl bankui, mokėjimo įmonei ir kriptoturto biržai taikoma jų sektoriaus sankcijų sistema.

Galbūt esate matę „DORA baudą“, siekiančią vieną procentą vidutinės dienos pasaulinės apyvartos. Šis skaičius realus, tačiau skirtas kitam subjektui: tai dienos bauda, kurią Europos priežiūros institucijos gali skirti ypatingos svarbos IRT trečiosios šalies paslaugų teikėjui, nepaisančiam priežiūros sprendimo, iki šešių mėnesių. Tai nėra bauda bankams ar kriptoturto įmonėms. Kartu kartais minima „2 % metinės apyvartos“ riba taip pat nėra DORA dalis: ji kyla iš NIS2, kur tai yra minimali riba, kurią šalys turi nustatyti esminiams subjektams. Finansų įmonei realios pasekmės yra:

• priežiūros priemonės – nurodymai ištaisyti trūkumus, veiklos ribojimai ir sunkiais atvejais licencijos sustabdymas arba praradimas;
• administracinės baudos pagal sektoriaus nacionalinę teisę;
• asmeninė valdybos narių atsakomybė, nes DORA už IT sistemą atsakinga padaro valdybą;
• baudžiamoji atsakomybė šalyse, nusprendusiose ją nustatyti, kaip leidžia 52 straipsnis;
• reputacinė ir komercinė žala – prarasti klientai, bankų partneriai ir investuotojai.

Kas prižiūri DORA? Nacionaliniai ir ES reguliuotojai

Kasdienę DORA priežiūrą vykdo reguliuotojas, kuris jau licencijuoja įmonę – jos buveinės valstybės narės centrinis bankas arba finansų priežiūros institucija. Ši kompetentinga institucija gauna pranešimus apie incidentus ir informacijos registrus, sprendžia, kas turi atlikti TLPT, ir vykdydama įprastą priežiūrą tikrina IT rizikos sistemą. Dauguma savo svetainėse skelbia DORA gaires, šablonus ir terminus.

ES lygmeniu darbą dalijasi trys institucijos: Europos vertybinių popierių ir rinkų institucija, Europos bankininkystės institucija ir EIOPA, draudimo ir profesinių pensijų institucija. Jos rengia techninius standartus, kuriuose išdėstomos detalės, ir kartu paskiria ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjus, kuriuos vėliau vieną iš trijų institucijų tiesiogiai prižiūri kaip pagrindinis prižiūrėtojas.

DORA atitikties kontrolinis sąrašas: kaip laikytis reikalavimų

Nesvarbu, ar įmonė kreipiasi dėl licencijos, ar jau yra prižiūrima, per auditą DORA atitiktį įrodo tas pats dokumentų rinkinys. Praktinis DORA įgyvendinimo plano arba spragų analizės pradinis taškas:

• Patvirtinkite savo taikymo sritį: kuriai 2 straipsnio kategorijai priklausote ir ar jums taikoma supaprastinta sistema arba mikroįmonės išimtis.
• Susiekite kiekvieną IT turtą, sistemą ir duomenų srautą, palaikantį ypatingos svarbos ar svarbią funkciją.
• Priimkite valdybos patvirtintą IRT rizikos valdymo politiką su paskirtais atsakingais asmenimis ir metine peržiūra.
• Nustatykite incidentų klasifikavimą, incidentų žurnalą ir pranešimų šablonus, atitinkančius įstatymų nustatytus terminus.
• Sudarykite metinį testavimo kalendorių ir patikrinkite, ar priežiūros institucija įtraukė jus į TLPT sąrašą.
• Sudarykite visų IT paslaugų teikėjų informacijos registrą ir atnaujinkite jų sutartis privalomomis sąlygomis.
• Patikrinkite koncentracijos riziką ir parenkite pasitraukimo planus teikėjams, palaikantiems ypatingos svarbos funkcijas.
• Bent kartą per metus testuokite atsargines kopijas, atkūrimą ir IT veiklos tęstinumo planą.
• Apmokykite valdybą ir išsaugokite mokymų įrodymus.

Eesti Firma konsultuoja fintech ir kriptoturto įmones DORA teisiniais klausimais: nustato, kurios pareigos taikomos, suderina IT sistemą su MiCA licencijavimo reikalavimais, peržiūri sutartis su tiekėjais ir rengia dokumentus, kuriuos priežiūros institucija tikisi matyti. Susisiekite su mumis ir aptarkite, kaip reglamentas taikomas jūsų verslui.

Užsisakyti konsultaciją

Dažniausiai užduodami klausimai apie DORA