Kas ir DORA regula? ES Digitālās darbības noturības akts skaidrots

DORA regula — Digitālās darbības noturības akts — ir ES tiesību akts par finanšu sektora kibernoturību. Tā nosaka, kā finanšu iestādēm jāpārvalda kiberdrošības un IT risks. Vienkārši sakot, katrai ES bankai, maksājumu uzņēmumam, ieguldījumu sabiedrībai, apdrošinātājam un kriptoaktīvu biržai jāspēj turpināt darbu uzlaušanas, mākoņpakalpojuma darbības pārtraukuma vai neveiksmīga programmatūras atjauninājuma laikā, kā arī jāuzrauga IT piegādātāji, no kuriem tā ir atkarīga.

Šī rokasgrāmata ir paredzēta cilvēkiem bez juridiskas vai IT izglītības. Tajā skaidrots, uz ko DORA attiecas, ko tā prasa, cik ātri jāziņo par incidentu, ar ko tā atšķiras no NIS2 un GDPR, kādi ir sodi un ko DORA prasības nozīmē fintech un kripto uzņēmumiem; noslēgumā ir īss DORA atbilstības kontrolsaraksts.

Kas ir DORA vienkāršiem vārdiem?

DORA — dažkārt dēvēta par ES DORA vai DORA aktu — ir Regula (ES) 2022/2554 par finanšu sektora digitālo darbības noturību. “Digitālā darbības noturība” izklausās sarežģīti, bet nozīmē vienu: vai jūsu uzņēmums var turpināt apkalpot klientus, ja tā IT sistēmās rodas problēma? Ja iekļūst hakeris, neizdodas atjauninājums vai piegādātājs pārtrauc darbu — vai maksājumi joprojām tiek veikti, klienti var pieslēgties un viņu dati ir drošībā? DORA šo jautājumu pārvērš no labās prakses par juridisku pienākumu.

Pirms DORA katrai ES valstij un katrai finanšu sektora daļai bija savi IT drošības noteikumi un incidentu veidlapas. DORA šo sadrumstalotību aizstāj ar vienotu noteikumu kopumu visam ES finanšu sektoram. Tā kā tā ir regula, nevis direktīva, tā ir piemērojama tieši un vienādi katrā dalībvalstī — nav vajadzīgs valsts likums, lai to ieviestu.

DORA atbilstības termiņš jau ir pagājis. Divu gadu sagatavošanās periods pēc pieņemšanas ir beidzies, visi DORA pienākumi ir spēkā, un valstu finanšu uzraugi tos pārbauda. DORA sistēma balstās uz pieciem pīlāriem, kurus šajā rokasgrāmatā aplūkojam pa vienam:

• IKT riska pārvaldība — rakstisks IT riska plāns, par kuru atbild vadības struktūra (valde);
• ar IKT saistītu incidentu pārvaldība un ziņošana — IT incidentu pamanīšana, reģistrēšana un ziņošana uzraugam;
• digitālās darbības noturības testēšana — no regulārām ievainojamību pārbaudēm līdz pilnām “red team” uzbrukumu simulācijām;
• IKT trešo personu riska pārvaldība — uzņēmuma izmantoto IT piegādātāju kontrole un visu piegādātāju reģistrs;
• informācijas apmaiņa — brīvprātīga informācijas par apdraudējumiem apmaiņa starp finanšu iestādēm.

DORA pamatjēdzieni skaidroti

Vairāki definēti jēdzieni parādās katrā DORA regulas pantā, katrā uzraudzības veidlapā un katrā piegādātāja līgumā. Kad tos zināt, pārējo tekstu lasīt ir daudz vieglāk.

Uz ko attiecas DORA?

DORA darbības jomu nosaka 2. pants, kurā uzskaitītas 20 finanšu iestāžu kategorijas. Ja finanšu iestādei ir kāda no šīm licencēm jebkur ES, tā ietilpst regulas darbības jomā neatkarīgi no tās lieluma, ja vien nav piemērojams konkrēts izņēmums. Galvenās grupas ir norādītas turpmāk.

Kā ir ar pašiem IT uzņēmumiem? Mākoņplatformas, datu centri, programmatūras piegādātāji un pārvaldītas drošības uzņēmumi nav finanšu iestādes, bet DORA tos sasniedz divos veidos. Pirmkārt, katrai finanšu iestādei līgumos ar tiem jāiekļauj DORA prasībām atbilstoši noteikumi, tādēļ piegādātājs, kas atsakās, riskē zaudēt klientu. Otrkārt, lielākie pakalpojumu sniedzēji — lielie mākoņpakalpojumu, datu centru, telekomunikāciju un finanšu programmatūras piegādātāji — tiek noteikti par kritiskiem IKT trešo personu pakalpojumu sniedzējiem un tieši uzraudzīti ES līmenī; sarakstu atjaunina katru gadu.

Vai DORA attiecas uz uzņēmumiem ārpus ES? Tieši — tikai uz ES licencētiem uzņēmumiem, tostarp Apvienotās Karalistes, ASV vai Āzijas grupu ES meitasuzņēmumiem un filiālēm. Netieši tā skar ikvienu ārvalstu piegādātāju, kas apkalpo ES finanšu uzņēmumu, jo obligātās līguma klauzulas piemēro neatkarīgi no piegādātāja atrašanās vietas. Ārpus ES esošam piegādātājam, kas noteikts par kritisku, 12 mēnešu laikā jāizveido ES meitasuzņēmums.

Visbeidzot, DORA ir samērīga: pienākumi pieaug līdz ar finanšu iestādes lielumu un sarežģītību. Mikrouzņēmumi — mazāk nekā 10 darbinieku un apgrozījums vai bilances kopsumma zem diviem miljoniem eiro — ir atbrīvoti no vairākām prasībām, tostarp no apdraudējuma vadītas ielaušanās testēšanas un dažiem pārvaldības un ziņošanas pienākumiem. Noteikta mazāku uzņēmumu grupa, piemēram, mazas un savstarpēji nesaistītas ieguldījumu sabiedrības un noteiktas atbrīvotas maksājumu un e-naudas iestādes, ievēro vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar 16. pantu. Mazs apjoms neizslēdz licencētu uzņēmumu no DORA; tas tikai samazina slogu.

DORA prasības: pieci pīlāri skaidroti

DORA atbilstības prasības iedalās piecās grupās. Kopā tās veido vienu ciklu — novērst, atklāt, reaģēt, atjaunot, mācīties —, un regulators katram posmam sagaida pierādījumus.

IKT riska pārvaldības sistēma (5.–16. pants)

Vienkārši sakot: ziniet, kāds IT jums ir, kas ar to var noiet greizi, un izstrādājiet rakstisku plānu tā aizsardzībai un atjaunošanai. Sistēmā jāuzskaita IT aktīvi un atkarības, jāparedz, kā uzņēmums novērš un atklāj problēmas, reaģē un atjaunojas, kā arī mācās no incidentiem. To pārskata vismaz reizi gadā un pēc katra būtiska incidenta. Vadības struktūra to apstiprina, nosaka pieņemamo riska apjomu un nodrošina budžetu. Jāapzina kritiskās funkcijas, faktiski jātestē dublējumi un jābūt IT darbības nepārtrauktības plānam līdzās uzņēmuma vispārējam darbības nepārtrauktības plānam.

Ziņošana par incidentiem: 4 stundu, 72 stundu un viena mēneša termiņi

Katrs ar IKT saistītais incidents jāreģistrē un jāklasificē pēc vienādiem kritērijiem visā ES: cik klientu ietekmēti, cik smagi cietusi uzņēmuma reputācija, cik ilgi tas ilga, cik plaši izplatījās, kādi dati zaudēti, cik kritisks bija pakalpojums un kāda naudas summa bija apdraudēta. Incidents, kas pārsniedz sliekšņus, ir “būtisks”, un par to uzraugam jāziņo trīs posmos: sākotnējais paziņojums četru stundu laikā pēc tā klasificēšanas par būtisku (un ne vēlāk kā 24 stundas pēc tam, kad uzņēmums par to uzzināja), starpposma ziņojums 72 stundu laikā pēc pirmā paziņojuma un galīgais ziņojums viena mēneša laikā pēc starpposma ziņojuma. Klienti, kuru naudu vai datus tas ietekmē, jāinformē bez kavēšanās. Par nopietniem kiberapdraudējumiem, kas vēl nav pārvērtušies incidentos, var ziņot brīvprātīgi.

Noturības testēšana un apdraudējuma vadīta ielaušanās testēšana (TLPT)

Digitālās darbības noturības testēšana ir ikgadēja programma: katrai sistēmai, kas nodrošina kritisku vai svarīgu funkciju, jāveic ievainojamību skenēšana, nepilnību analīze, pirmkoda pārskatīšana, scenāriju testi, veiktspējas testi un ielaušanās testi. Uzņēmumiem, kurus uzraugs uzskata par nozīmīgiem to lieluma vai darbības pārtraukuma ietekmes dēļ, papildus vismaz reizi trijos gados jāveic apdraudējuma vadīta ielaušanās testēšana. Tas ir kvalificētu ētisko hakeru kontrolēts uzbrukums darbībā esošām sistēmām, ievērojot atzītu sistēmu. Mikrouzņēmumi un uzņēmumi ar vienkāršoto sistēmu ir atbrīvoti no TLPT un veic testus pēc vieglāka, uz risku balstīta grafika.

Trešo personu risks, ārpakalpojumi un informācijas reģistrs

IT nodošana ārpakalpojumā — mākoņpakalpojumu sniedzējam vai citam — nenodod ārpakalpojumā atbildību. IKT trešo personu riska pārvaldība sākas ar rakstisku piegādātāju riska stratēģiju; uzņēmumam pirms līguma noslēgšanas jāpārbauda piegādātāji, jāizvairās no pārmērīgas atkarības no viena sniedzēja un jāuztur informācijas reģistrs — strukturēts visu IT līgumu saraksts —, kas vismaz reizi gadā jāiesniedz uzraugam. Līgumos jābūt noteiktam klauzulu kopumam: pakalpojuma veidam un solītajam līmenim, datu glabāšanas vietai, pārbaudes un audita tiesībām, pienākumam palīdzēt incidentu laikā, līguma izbeigšanas kārtībai un tam, kā uzņēmums vajadzības gadījumā pārietu pie cita piegādātāja. Uzņēmums paliek pilnībā atbildīgs arī tad, ja piegādātājs ir ES līmenī uzraudzīts kritisks pakalpojumu sniedzējs.

Informācijas apmaiņa par kiberapdraudējumiem

Finanšu iestādes uzticamās grupās var apmainīties ar informāciju par apdraudējumiem — uzbrukumu modeļiem, kompromitācijas indikatoriem. Nevienam nav pienākuma pievienoties, bet uzņēmumam, kas to dara, jāinformē uzraugs, un apmaiņā jāievēro konfidencialitātes un datu aizsardzības noteikumi.

DORA, NIS2 un GDPR: kā noteikumi sader kopā

Trīs ES tiesību akti pārklājas kibernoturības un ziņošanas par incidentiem jomā, un daudzām finanšu iestādēm piemērojams vairāk nekā viens. Tabulā parādīts, uz ko katrs attiecas un kā atšķiras ziņošanas termiņi.

Praksē finanšu uzņēmums par IT incidentiem ziņo savam finanšu uzraugam, nevis valsts kiberdrošības aģentūrai. GDPR darbojas paralēli: ja kiberuzbrukumā noplūst klientu dati, uzņēmums ziņo divreiz — saskaņā ar DORA finanšu uzraugam un saskaņā ar GDPR datu aizsardzības iestādei — pēc diviem atšķirīgiem termiņiem.

DORA un kripto: ko tā nozīmē CASP un žetonu emitentiem

Kripto uzņēmumiem DORA regula un MiCA sistēma darbojas kā pāris. MiCA nosaka, kurš drīkst sniegt kripto pakalpojumus vai emitēt žetonus ES; DORA nosaka, kā jādarbojas tehnoloģijai, kas šos pakalpojumus nodrošina. Saskaņā ar MiCA licencēts kriptoaktīvu pakalpojumu sniedzējs ir finanšu iestāde DORA izpratnē no licences piešķiršanas brīža, tāpat kā ar aktīviem piesaistītu žetonu emitents. MiCA IT un drošības prasībām tieši norāda uz DORA, tādēļ ikviens uzraugs abus tiesību aktus lasa kopā.

Praksē noturību pārbauda jau licencēšanas procesā, ne tikai pēc tam. Kad uzraugs izskata CASP pieteikumu, lietā ietilpst IT riska sistēma, darbības nepārtrauktības plāns, incidentu procedūras un ārpakalpojumu kārtība, un DORA ir mēraukla, pēc kuras tos vērtē. Kripto birža vai glabātājs nevar saņemt — vai saglabāt — licenci ar noturības plānu, kas pastāv tikai uz papīra.

Kripto uzņēmumiem ir arī IT atkarības, kādu bankām nav: privāto atslēgu glabāšana, blokķēdes mezglu pakalpojumu sniedzēji, trešo personu maku infrastruktūra, viedo līgumu komponenti un tirgi, kas darbojas visu diennakti bez apkopes loga. Saskaņā ar DORA katrs no tiem ir IT aktīvs vai piegādātāja attiecība, kas jāuzskaita, jāklasificē, jānoslēdz līgumā un jātestē. Tā arī nelicencēti mitināšanas, atslēgu pārvaldības vai blokķēdes infrastruktūras piegādātāji netieši ievēro DORA — ar klientu līgumu starpniecību.

DORA sodi, naudas sodi un sankcijas par neatbilstību

Nav vienotas visas ES DORA sankciju tabulas. Tā vietā 50. pants katrai dalībvalstij nosaka paredzēt sodus, kas ir “efektīvi, samērīgi un atturoši”, un piešķir uzraugiem tiesības pieprasīt dokumentus, veikt pārbaudes, uzdot novērst trūkumus un publicēt brīdinājumus. Tos saskaņā ar nozares licencēšanas tiesību aktiem piemēro katras dalībvalsts valsts kompetentā iestāde, tādēļ bankai, maksājumu uzņēmumam un kripto biržai katrai piemēro savas nozares sankciju sistēmu.

Iespējams, esat redzējuši “DORA naudas sodu” viena procenta apmērā no vidējā dienas pasaules apgrozījuma. Šis skaitlis ir reāls, taču tas paredzēts citam subjektam: tas ir dienas sods, ko Eiropas Uzraudzības iestādes līdz sešiem mēnešiem var piemērot kritiskam IKT trešās personas pakalpojumu sniedzējam, kurš ignorē pārraudzības lēmumu. Tas nav sods bankām vai kripto uzņēmumiem. Arī dažkārt minētie “2% no gada apgrozījuma” nav DORA: tie izriet no NIS2, kur tas ir minimālais limits, kas valstīm jānosaka būtiskiem subjektiem. Finanšu uzņēmumam reālās sekas ir:

• uzraudzības pasākumi — rīkojumi novērst trūkumus, darbību ierobežojumi un smagos gadījumos licences apturēšana vai zaudēšana;
• administratīvie naudas sodi saskaņā ar nozares valsts tiesību aktiem;
• valdes locekļu personiskā atbildība, jo DORA par IT sistēmu atbildīgu nosaka valdi;
• kriminālatbildība valstīs, kas izvēlējušās to paredzēt, ko atļauj 52. pants;
• reputācijas un komerciāls kaitējums — zaudēti klienti, banku partneri un investori.

Kas uzrauga DORA? Regulatori valsts un ES līmenī

DORA ikdienas uzraudzību veic regulators, kas jau izsniedz uzņēmuma licenci — tā mītnes dalībvalsts centrālā banka vai finanšu uzraudzības iestāde. Šī kompetentā iestāde saņem incidentu ziņojumus un informācijas reģistrus, nosaka, kam jāveic TLPT, un parastās uzraudzības ietvaros pārbauda IT riska sistēmu. Lielākā daļa savās vietnēs publicē DORA vadlīnijas, veidnes un termiņus.

ES līmenī darbu sadala trīs iestādes: Eiropas Vērtspapīru un tirgu iestāde, Eiropas Banku iestāde un EIOPA, apdrošināšanas un arodpensiju iestāde. Tās izstrādā tehniskos standartus, kas nosaka detaļas, un kopīgi nosaka kritiskos IKT trešo personu pakalpojumu sniedzējus, kurus pēc tam katru uzrauga viena no šīm trim iestādēm kā vadošais pārraugs.

DORA atbilstības kontrolsaraksts: kā nodrošināt atbilstību

Neatkarīgi no tā, vai uzņēmums piesakās licencei vai jau tiek uzraudzīts, viens un tas pats dokumentu kopums auditā pierāda DORA atbilstību. Praktisks sākumpunkts DORA ieviešanas plānam vai nepilnību analīzei:

• Apstipriniet darbības jomu: kurā 2. panta kategorijā ietilpstat un vai piemērojama vienkāršotā sistēma vai mikrouzņēmuma atbrīvojums.
• Apziniet katru IT aktīvu, sistēmu un datu plūsmu, kas nodrošina kritisku vai svarīgu funkciju.
• Pieņemiet valdes apstiprinātu IKT riska pārvaldības politiku ar nosauktiem atbildīgajiem un ikgadēju pārskatīšanu.
• Ieviesiet incidentu klasifikāciju, incidentu žurnālu un ziņošanas veidnes, kas atbilst likumā noteiktajiem termiņiem.
• Izveidojiet ikgadēju testēšanas kalendāru un pārbaudiet, vai uzraugs jūs ir iekļāvis TLPT sarakstā.
• Sagatavojiet informācijas reģistru par visiem IT piegādātājiem un papildiniet to līgumus ar obligātajām klauzulām.
• Pārbaudiet koncentrācijas risku un sagatavojiet izstāšanās plānus piegādātājiem, kas nodrošina kritiskas funkcijas.
• Vismaz reizi gadā testējiet dublējumus, atjaunošanu un IT darbības nepārtrauktības plānu.
• Apmāciet valdi un saglabājiet pierādījumus, ka apmācība ir notikusi.

Eesti Firma konsultē fintech un kripto uzņēmumus par DORA juridisko pusi: nosaka piemērojamos pienākumus, saskaņo IT sistēmu ar MiCA licencēšanas prasībām, pārskata piegādātāju līgumus un sagatavo dokumentus, kurus uzraugs sagaida. Sazinieties ar mums, lai pārrunātu, kā regula attiecas uz jūsu uzņēmumu.

Pieteikt konsultāciju

Biežāk uzdotie jautājumi par DORA