Ce este Regulamentul DORA? Explicație privind reziliența operațională digitală în UE

Regulamentul DORA — Digital Operational Resilience Act — este legea UE privind reziliența cibernetică a sectorului financiar. Acesta stabilește cum trebuie instituțiile financiare să gestioneze riscurile de securitate cibernetică și IT. Pe scurt, fiecare bancă, companie de plăți, firmă de investiții, asigurător și bursă de criptoactive din UE trebuie să poată continua să funcționeze în cazul unui atac informatic, al unei întreruperi a serviciilor cloud sau al unei actualizări software defectuoase și trebuie să monitorizeze furnizorii IT de care depinde.

Acest ghid este scris pentru persoane fără pregătire juridică sau IT. Explică cui i se aplică DORA, ce impune, cât de repede trebuie raportat un incident, cum diferă de NIS2 și GDPR, care sunt sancțiunile și ce înseamnă cerințele DORA pentru companiile fintech și cripto, apoi se încheie cu o listă scurtă de verificare pentru conformitatea cu DORA.

Ce este DORA, pe înțelesul tuturor?

DORA — uneori denumit EU DORA sau DORA Act — este Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar. „Reziliență operațională digitală” sună complicat, dar înseamnă un singur lucru: poate compania dvs. să își deservească în continuare clienții atunci când IT-ul nu funcționează? Dacă un hacker pătrunde în sisteme, o actualizare eșuează sau un furnizor devine indisponibil, plățile se procesează în continuare, clienții se mai pot autentifica, iar datele lor rămân în siguranță? DORA transformă această întrebare dintr-o bună practică într-o obligație legală.

Înainte de DORA, fiecare țară din UE și fiecare segment al sectorului financiar avea propriile reguli de securitate IT și propriile formulare de raportare a incidentelor. DORA înlocuiește acest mozaic cu un set unic de reguli pentru întregul sector financiar al UE. Fiind un regulament, nu o directivă, se aplică întocmai în fiecare stat membru — fără a fi necesară o lege națională pentru intrarea sa în vigoare.

Termenul pentru conformarea cu DORA a trecut deja. Perioada de pregătire de doi ani de la adoptare s-a încheiat, toate obligațiile DORA sunt în vigoare, iar autoritățile naționale de supraveghere financiară le verifică. Cadrul DORA se bazează pe cinci piloni, explicați în continuarea ghidului:

• gestionarea riscurilor ICT — un plan scris pentru riscurile IT, asumat de organul de conducere (consiliul de administrație);
• gestionarea și raportarea incidentelor legate de ICT — identificarea, înregistrarea și raportarea incidentelor IT către autoritatea de supraveghere;
• testarea rezilienței operaționale digitale — de la scanări de rutină ale vulnerabilităților la simulări complete de atac de tip „red team”;
• gestionarea riscului asociat terților ICT — controlul furnizorilor IT de care depinde firma, printr-un registru al tuturor acestora;
• schimbul de informații — schimbul voluntar de informații despre amenințări între entități financiare.

Explicarea termenilor-cheie din DORA

Câțiva termeni definiți apar în fiecare articol al Regulamentului DORA, în fiecare formular de supraveghere și în fiecare contract cu un furnizor. Odată ce îi cunoașteți, restul devine mult mai ușor de înțeles.

Cui i se aplică DORA?

Domeniul de aplicare al DORA este stabilit de articolul 2, care enumeră douăzeci de categorii de entități financiare. Dacă o instituție financiară deține una dintre aceste licențe oriunde în UE, este acoperită — indiferent de dimensiune — cu excepția cazului în care se aplică o scutire specifică. Principalele grupuri sunt mai jos.

Dar companiile IT? Platformele cloud, centrele de date, furnizorii de software și firmele de securitate administrată nu sunt entități financiare, însă DORA ajunge la ele în două moduri. Mai întâi, fiecare entitate financiară trebuie să introducă în contractele cu acestea clauze conforme cu DORA, astfel încât un furnizor care refuză riscă să își piardă clientul. În al doilea rând, cei mai mari furnizori — marii furnizori de cloud, centre de date, telecomunicații și software financiar — sunt desemnați furnizori terți critici de servicii ICT și supravegheați direct la nivelul UE; lista este actualizată anual.

Se aplică DORA companiilor din afara UE? Direct, numai firmelor licențiate în UE — inclusiv filialelor și sucursalelor din UE ale grupurilor din Regatul Unit, SUA sau Asia. Indirect, se aplică oricărui furnizor străin care deservește o firmă financiară din UE, deoarece clauzele contractuale obligatorii se aplică indiferent de sediul furnizorului. Un furnizor din afara UE desemnat critic trebuie să înființeze o filială în UE în termen de douăsprezece luni.

În final, DORA este proporțional: obligațiile cresc odată cu dimensiunea și complexitatea instituției financiare. Microîntreprinderile — cu mai puțin de zece angajați și o cifră de afaceri sau un bilanț sub două milioane de euro — sunt scutite de mai multe cerințe, inclusiv de TLPT și de anumite obligații de guvernanță și raportare. Un grup definit de firme mai mici, precum firmele de investiții mici și neinterconectate și anumite instituții de plată și de monedă electronică exceptate, urmează cadrul simplificat de gestionare a riscurilor ICT prevăzut la articolul 16. Dimensiunea redusă nu scoate o firmă licențiată de sub incidența DORA; doar reduce sarcina.

Cerințele DORA: explicația celor cinci piloni

Cerințele de conformitate cu DORA se împart în cinci grupuri. Împreună, acestea formează un ciclu — prevenire, detectare, răspuns, recuperare, învățare — iar autoritatea de reglementare se așteaptă la dovezi pentru fiecare etapă.

Cadrul de gestionare a riscurilor ICT (articolele 5–16)

Pe scurt: știți ce IT aveți, ce ar putea merge prost și aveți un plan scris pentru protejarea și restabilirea sa. Cadrul trebuie să inventarieze activele și dependențele IT, să explice cum previne și detectează firma problemele, cum răspunde și se recuperează și cum învață din incidente. Este revizuit cel puțin anual și după fiecare incident major. Organul de conducere îl aprobă, decide nivelul de risc acceptabil și asigură bugetul. Funcțiile critice trebuie cartografiate, copiile de rezervă trebuie testate efectiv, iar un plan de continuitate IT trebuie să completeze planul general de continuitate al firmei.

Raportarea incidentelor: termenele de 4 ore, 72 de ore și o lună

Fiecare incident legat de ICT trebuie înregistrat și clasificat pe baza acelorași criterii în întreaga UE: numărul clienților afectați, prejudiciul reputațional al firmei, durata, extinderea, datele pierdute, caracterul critic al serviciului și sumele implicate. Un incident care depășește pragurile este „major” și trebuie raportat autorității de supraveghere în trei etape: o notificare inițială în patru ore de la decizia că este major (și cel târziu în 24 de ore de când firma a luat cunoștință de el), un raport intermediar în 72 de ore de la prima notificare și un raport final în termen de o lună de la cel intermediar. Clienții ale căror fonduri sau date sunt afectate trebuie informați fără întârziere. Amenințările cibernetice grave care nu au devenit incidente pot fi raportate voluntar.

Testarea rezilienței și testarea de penetrare bazată pe amenințări (TLPT)

Testarea rezilienței operaționale digitale este un program anual: fiecare sistem care susține o funcție critică sau importantă trebuie să treacă prin scanări de vulnerabilități, analize ale lacunelor, revizuiri ale codului-sursă, teste de scenariu, teste de performanță și teste de penetrare. Firmele pe care autoritatea de supraveghere le consideră semnificative — datorită dimensiunii sau impactului unei defecțiuni — trebuie să efectueze suplimentar TLPT cel puțin o dată la trei ani. Acesta este un atac controlat asupra sistemelor active, realizat de hackeri etici calificați, conform unui cadru recunoscut. Microîntreprinderile și firmele din cadrul simplificat sunt scutite de TLPT și efectuează teste conform unui calendar mai ușor, bazat pe risc.

Riscul legat de terți, externalizarea și registrul de informații

Externalizarea IT — către un furnizor de servicii cloud sau către oricine altcineva — nu externalizează răspunderea. Gestionarea riscului legat de terții ICT începe cu o strategie scrisă privind riscul furnizorilor; firma trebuie să verifice furnizorii înainte de semnare, să evite dependența excesivă de un singur furnizor și să păstreze un registru de informații — o listă structurată a fiecărui contract IT — transmis autorității de supraveghere cel puțin o dată pe an. Contractele trebuie să conțină un set fix de clauze: serviciul și nivelul promis, locul stocării datelor, dreptul de inspecție și audit, obligația de asistență în timpul incidentelor, modul de încetare a contractului și modul în care firma ar migra la alt furnizor dacă ar fi necesar. Firma rămâne pe deplin responsabilă chiar și când furnizorul este unul critic, supravegheat la nivelul UE.

Schimbul de informații privind amenințările cibernetice

Entitățile financiare pot face schimb de informații despre amenințări — tipare de atac, indicatori de compromitere — în cadrul unor grupuri de încredere. Nimeni nu este obligat să participe, însă o firmă care participă trebuie să își informeze autoritatea de supraveghere, iar schimbul trebuie să respecte regulile de confidențialitate și protecție a datelor.

DORA vs NIS2 vs GDPR: cum se corelează regulile

Trei acte legislative ale UE se suprapun în materia rezilienței cibernetice și a raportării incidentelor, iar multe instituții financiare intră sub incidența a mai mult de unul. Tabelul arată pe cine acoperă fiecare și cum diferă termenele de raportare.

În practică, o firmă financiară raportează incidentele IT autorității sale de supraveghere financiară, nu agenției naționale de securitate cibernetică. GDPR se aplică în paralel: dacă un atac cibernetic divulgă date ale clienților, firma raportează de două ori — în temeiul DORA către supraveghetorul financiar și în temeiul GDPR către autoritatea pentru protecția datelor — conform a două termene distincte.

DORA și cripto: ce înseamnă pentru CASP și emitenții de tokenuri

Pentru afacerile cripto, Regulamentul DORA și cadrul MiCA funcționează împreună. MiCA stabilește cine poate furniza servicii de criptoactive sau emite tokenuri în UE; DORA stabilește cum trebuie operată tehnologia din spatele acestor servicii. Un furnizor de servicii de criptoactive autorizat în baza MiCA este o entitate financiară în sensul DORA din momentul acordării licenței, la fel ca orice emitent de tokenuri raportate la active. MiCA trimite chiar la DORA pentru cerințele IT și de securitate, astfel că fiecare autoritate de supraveghere le citește împreună.

În practică, reziliența este verificată chiar în cursul procesului de licențiere, nu doar ulterior. Când o autoritate de supraveghere analizează o cerere CASP, cadrul de risc IT, planul de continuitate a activității, procedurile pentru incidente și modalitățile de externalizare fac parte din dosar, iar DORA este criteriul după care sunt evaluate. O bursă de criptoactive sau un custode nu poate obține — sau păstra — licența cu un plan de reziliență care există doar pe hârtie.

Firmele cripto au și dependențe IT pe care o bancă nu le are: custodia cheilor private, furnizori de noduri blockchain, infrastructură de portofele furnizată de terți, componente de contracte inteligente și piețe care tranzacționează non-stop, fără fereastră de mentenanță. În temeiul DORA, fiecare dintre acestea este un activ IT sau o relație cu un furnizor care trebuie inventariată, clasificată, reglementată contractual și testată. Astfel ajung și furnizorii nelicențiați de găzduire, gestionare a cheilor sau infrastructură blockchain să respecte DORA: prin contractele clienților lor.

Sancțiuni, amenzi și penalități DORA pentru neconformitate

Nu există un tabel unic de sancțiuni DORA la nivelul UE. În schimb, articolul 50 impune fiecărui stat membru să stabilească sancțiuni „efective, proporționale și disuasive” și oferă autorităților de supraveghere competența de a solicita documente, a efectua inspecții, a dispune măsuri corective și a publica avertismente. Autoritatea națională competentă din fiecare stat membru le aplică în temeiul legislației de licențiere specifice sectorului, astfel încât o bancă, o companie de plăți și o bursă de criptoactive se confruntă fiecare cu scara de sancțiuni a propriului sector.

Este posibil să fi văzut o „amendă DORA” de unu la sută din cifra de afaceri medie zilnică mondială. Cifra este reală, dar vizează pe altcineva: este penalitatea zilnică pe care Autoritățile Europene de Supraveghere o pot aplica unui furnizor terț critic de servicii ICT care ignoră o decizie de supraveghere, timp de până la șase luni. Nu este o amendă pentru bănci sau companii cripto. „2% din cifra de afaceri anuală”, menționat uneori alături de aceasta, nu apare nici în DORA: provine din NIS2, unde este plafonul minim pe care țările trebuie să îl stabilească pentru entitățile esențiale. Pentru o firmă financiară, consecințele realiste sunt:

• măsuri de supraveghere — ordine de remediere, limitarea activităților și, în cazuri grave, suspendarea sau pierderea licenței;
• amenzi administrative prevăzute de legislația națională a sectorului;
• răspundere personală pentru membrii consiliului de administrație, deoarece DORA îl face responsabil de cadrul IT;
• răspundere penală în țările care au ales să o prevadă, lucru permis de articolul 52;
• prejudicii reputaționale și comerciale — pierderea clienților, a partenerilor bancari și a investitorilor.

Cine supraveghează DORA? Autorități naționale și europene

Supravegherea DORA de zi cu zi rămâne la autoritatea de reglementare care licențiază deja firma — banca centrală sau autoritatea de supraveghere financiară din statul membru de origine. Această autoritate competentă primește rapoartele privind incidentele și registrele de informații, decide cine trebuie să efectueze TLPT și verifică cadrul de risc IT ca parte a supravegherii obișnuite. Majoritatea publică pe site-urile lor ghiduri, modele și termene DORA.

La nivelul UE, trei organisme împart această activitate: Autoritatea Europeană pentru Valori Mobiliare și Piețe, Autoritatea Bancară Europeană și EIOPA, autoritatea pentru asigurări și pensii. Acestea elaborează standardele tehnice care completează detaliile și desemnează împreună furnizorii terți critici de servicii ICT, fiecare fiind apoi supravegheat de unul dintre cele trei organisme în calitate de Lead Overseer.

Listă de verificare DORA: cum vă conformați

Indiferent dacă o firmă solicită o licență sau este deja supravegheată, același set de documente dovedește conformitatea cu DORA în timpul unui audit. Un punct de plecare practic pentru un plan de implementare DORA sau o analiză a lacunelor:

• Confirmați domeniul de aplicare: categoria de la articolul 2 în care vă încadrați și dacă vi se aplică cadrul simplificat sau o scutire pentru microîntreprinderi.
• Cartografiați fiecare activ IT, sistem și flux de date care susține o funcție critică sau importantă.
• Adoptați o politică de gestionare a riscurilor ICT aprobată de consiliul de administrație, cu responsabili desemnați și revizuire anuală.
• Instituiți clasificarea incidentelor, un registru al incidentelor și modele de raportare conforme termenelor legale.
• Elaborați un calendar anual de testare și verificați dacă autoritatea de supraveghere v-a inclus pe lista TLPT.
• Întocmiți registrul de informații despre toți furnizorii IT și actualizați-le contractele cu clauzele obligatorii.
• Verificați riscul de concentrare și redactați planuri de ieșire pentru furnizorii care susțin funcții critice.
• Testați copiile de rezervă, restaurarea și planul de continuitate IT cel puțin o dată pe an.
• Instruiți consiliul de administrație și păstrați dovezi că formarea a avut loc.

Eesti Firma consiliază companii fintech și cripto cu privire la aspectele juridice ale DORA: stabilirea obligațiilor aplicabile, alinierea cadrului IT la cerințele de licențiere MiCA, revizuirea contractelor cu furnizorii și pregătirea documentelor pe care autoritatea de supraveghere se așteaptă să le vadă. Contactați-ne pentru a discuta modul în care regulamentul se aplică activității dvs.

Solicită o consultație

Întrebări frecvente despre DORA