În acest an, Uniunea Europeană a introdus un regulament special conceput pentru a contracara potențialele amenințări cibernetice care pot afecta companiile ce activează în sectorul financiar.
Așa-numitul Regulament DORA sau Actul privind reziliența operațională digitală (UE) 2022/2554 este un nou regulament al UE conceput, potrivit intenției legiuitorului, pentru a asigura reziliența operațională digitală a sectorului financiar și a organizațiilor asociate acestuia. DORA a fost aprobat la sfârșitul anului 2022, iar pe parcursul anului 2023 a existat o etapă pregătitoare pentru implementarea noilor sale cerințe. Intrarea deplină în vigoare a tuturor dispozițiilor regulamentului a avut loc la 17 ianuarie 2025.
Domeniul de aplicare al Regulamentului DORA
Principalul său obiectiv este stabilirea unor cerințe și standarde uniforme care să permită instituțiilor financiare să se protejeze mai bine împotriva amenințărilor cibernetice, precum și să reacționeze și să se redreseze rapid în cazul incidentelor cibernetice.
Regulamentul se aplică unei game largi de organizații din sectorul financiar sau asociate acestuia, și anume: bănci, societăți de asigurări, fonduri de investiții, servicii de plată, burse de criptomonede etc. Acesta vizează atât întreprinderile mari, cât și întreprinderile mici și mijlocii din sectorul financiar.
Și părțile terțe pot intra sub incidența DORA. Cu alte cuvinte, furnizorii de servicii tehnologice (de exemplu, servicii cloud) care oferă servicii critice organizațiilor financiare ar putea fi supuși cerințelor DORA.
Spre deosebire de abordările care se concentrează în principal pe riscurile financiare și rezervele de capital, DORA impune o strategie sistemică pentru reziliența digitală. Organizațiile financiare trebuie nu numai să își îmbunătățească protecția împotriva amenințărilor cibernetice, ci și să elaboreze planuri pentru detectarea, controlarea și remedierea perturbărilor din tehnologiile informației și comunicațiilor (ICT).
Prin urmare, DORA acordă prioritate riscurilor ICT, stabilind cerințe privind gestionarea riscurilor, raportarea incidentelor, testarea rezilienței și monitorizarea riscurilor asociate furnizorilor externi de servicii IT. Această abordare evidențiază rolul esențial al tehnologiei în sectorul financiar și potențialele riscuri sistemice care pot apărea în urma defecțiunilor ICT.
Sectoarele vizate de Regulamentul DORA
DORA afectează o gamă largă de sectoare din sistemul financiar al UE. Dispozițiile sale vizează diferite tipuri de organizații:
- Instituții financiare și bănci: Companii implicate în acceptarea depozitelor, acordarea de împrumuturi, efectuarea investițiilor, schimbul valutar etc.
- Companii tehnologice care lucrează cu date financiare: Organizații care prelucrează sau stochează informații financiare (inclusiv procesatori de plăți și startup-uri fintech).
- Întreprinderi mari supuse legislației UE: Corporații mari care își desfășoară activitatea în UE și care sunt obligate să respecte norme financiare și de reglementare cuprinzătoare, inclusiv DORA.
- Întreprinderi mici și mijlocii din sectorul financiar: IMM-urile care furnizează produse și servicii financiare sunt supuse acelorași cerințe DORA ca organizațiile mai mari.
Principalele cerințe ale DORA
Cerințele principale ale regulamentului includ:
- Gestionarea riscurilor ICT: Organizațiile trebuie să implementeze și să actualizeze periodic procese pentru identificarea, evaluarea și gestionarea riscurilor cibernetice. Un astfel de sistem trebuie să acopere întregul ciclu de viață ICT — de la proiectare și dezvoltare până la implementare și scoatere din uz.
- Monitorizare și testare obligatorii: Acestea presupun testarea periodică a infrastructurii IT (inclusiv teste de stres și exerciții cibernetice) pentru identificarea promptă a vulnerabilităților. Amploarea testării trebuie să corespundă nivelului de risc al activității respective și poate varia de la verificări de bază până la teste specializate modelate după atacuri cibernetice reale.
- Reziliența la incidente: Organizațiile trebuie să creeze și să mențină planuri de continuitate și de recuperare în cazul incidentelor cibernetice, care să detalieze procedurile interne, rolurile și responsabilitățile în situații de urgență.
- Raportarea incidentelor: Normele unitare privind notificarea autorităților de reglementare cu privire la incidentele de securitate a informațiilor și atacurile cibernetice urmăresc să îmbunătățească transparența și eficacitatea măsurilor de răspuns. Astfel, problemele legate de ICT sunt detectate rapid, documentate temeinic și soluționate prompt pentru a minimiza eventualele prejudicii. Trebuie păstrat un registru detaliat al incidentelor și pus la dispoziția autorităților de reglementare la cerere.
- Interacțiunea cu furnizorii: Organizațiile trebuie să controleze și să monitorizeze riscurile care pot apărea din dependența de partenerii tehnologici externi (de exemplu, furnizorii de servicii cloud). Acestea sunt responsabile pentru a se asigura că furnizorii respectivi pot menține nivelul necesar de reziliență și pentru a verifica dacă activitățile lor respectă cerințele DORA.
Obiective și beneficii
DORA urmărește să unifice și să standardizeze abordarea privind securitatea informațiilor și reziliența operațională în sectorul financiar din întreaga UE. Prin stabilirea unui standard uniform, DORA își propune să îmbunătățească protecția împotriva amenințărilor cibernetice, sporind reziliența la atacurile cibernetice și reducând riscurile asociate pierderilor financiare și daunelor reputaționale.
Normele mai stricte și transparența sporită vor crește, la rândul lor, încrederea clienților în organizațiile financiare. Un set unic de norme simplifică, de asemenea, cadrul de reglementare, deoarece companiile nu vor mai trebui să gestioneze simultan mai multe cerințe naționale.
Astfel, Regulamentul DORA urmărește să sporească reziliența cibernetică și să asigure fiabilitatea serviciilor financiare în întreaga UE, protejând atât organizațiile, cât și clienții acestora împotriva amenințărilor cibernetice contemporane și a riscurilor tehnologice.
Sancțiuni pentru nerespectarea cerințelor
Actul privind reziliența operațională digitală (DORA) prevede sancțiuni semnificative pentru nerespectarea cerințelor. Printre acestea se numără amenzi administrative care pot ajunge până la 1% din cifra de afaceri zilnică medie la nivel mondial. În plus, amenda poate crește pentru fiecare zi de neconformitate, până la remedierea tuturor încălcărilor. Pe lângă amenzi, nerespectarea cerințelor poate afecta reputația unei companii și poate conduce la pierderea încrederii clienților, investitorilor și altor părți interesate.
Încălcarea DORA poate conduce la intensificarea supravegherii din partea autorităților de reglementare. Nerespectarea cerințelor DORA poate provoca, de asemenea, perturbări ale serviciilor și activităților operaționale, afectând negativ satisfacția clienților și reputația. În cazuri excepționale care implică încălcări grave, persoanele responsabile cu luarea deciziilor pot răspunde penal.
Este esențial să se înțeleagă că aceste sancțiuni nu se exclud reciproc. O companie se poate confrunta simultan cu mai multe consecințe: amenzi, daune reputaționale și posibile măsuri penale.
Contactați-ne
Pentru a evita astfel de sancțiuni, instituțiile financiare trebuie să asigure în mod proactiv conformitatea cu DORA. Aceasta include evaluări periodice ale riscurilor, elaborarea planurilor de răspuns la incidente, testarea rezilienței și monitorizarea riscurilor asociate terților.
Eesti Firma este o companie care oferă asistență juridică și consultanță întreprinderilor ce activează pe piața activelor digitale. Luând în considerare caracteristicile individuale ale fiecărui client, Eesti Firma este pregătită să ofere consultanță și clarificări privind modul în care Regulamentul DORA se aplică în practică.
