Kaj je uredba DORA? Pojasnjen Akt EU o digitalni operativni odpornosti

Uredba DORA — Akt o digitalni operativni odpornosti — je zakon EU o kibernetski odpornosti finančnega sektorja. Finančnim institucijam določa, kako obvladovati kibernetska tveganja in tveganja IT. Preprosto povedano: vsaka banka, plačilna družba, investicijsko podjetje, zavarovalnica in kriptoborza v EU mora ostati operativna ob vdoru, izpadu oblaka ali neuspešni posodobitvi programske opreme ter nadzorovati ponudnike IT, od katerih je odvisna.

Ta vodnik je namenjen ljudem brez pravnega ali IT predznanja. Pojasnjuje, za koga velja DORA, kaj zahteva, kako hitro je treba prijaviti incident, kako se razlikuje od NIS2 in GDPR, kakšne so sankcije ter kaj zahteve DORA pomenijo za fintech in kriptodružbe; konča se s kratkim kontrolnim seznamom skladnosti z DORA.

Kaj DORA pomeni preprosto?

DORA — včasih imenovana EU DORA ali akt DORA — je Uredba (EU) 2022/2554 o digitalni operativni odpornosti finančnega sektorja. »Digitalna operativna odpornost« zveni zapleteno, pomeni pa eno: ali lahko podjetje še naprej služi strankam, ko gre z njegovim IT nekaj narobe? Če vdre heker, posodobitev ne uspe ali dobavitelj izpade — ali plačila še potekajo, se stranke še lahko prijavijo in so njihovi podatki varni? DORA to vprašanje iz dobre prakse spremeni v zakonsko dolžnost.

Pred DORA je imela vsaka država EU in vsak del finančnega sektorja lastna pravila IT-varnosti ter obrazce za incidente. DORA ta mozaik nadomešča z enotnim pravilnikom za celoten finančni sektor EU. Ker je uredba in ne direktiva, velja dobesedno v vsaki državi članici — za njen začetek uporabe ni potreben nacionalni zakon.

Rok za skladnost z DORA je že potekel. Dvoletno pripravljalno obdobje po sprejetju se je končalo, vse obveznosti DORA veljajo, nacionalni finančni regulatorji pa jih preverjajo. Okvir DORA temelji na petih stebrih, ki jih pojasnjuje preostanek vodnika:

• upravljanje tveganj IKT — pisni načrt za tveganja IT, za katerega je odgovoren upravljalni organ (uprava oziroma odbor);
• upravljanje in poročanje o incidentih, povezanih z IKT — zaznavanje, beleženje in prijavljanje incidentov IT nadzorniku;
• testiranje digitalne operativne odpornosti — od rednih pregledov ranljivosti do popolnih simulacij napadov »rdeče ekipe«;
• upravljanje tveganj tretjih oseb na področju IKT — nadzor nad ponudniki IT, od katerih je podjetje odvisno, z registrom vseh ponudnikov;
• izmenjava informacij — prostovoljna izmenjava obveščevalnih podatkov o grožnjah med finančnimi subjekti.

Pojasnjeni ključni pojmi DORA

V vsakem členu uredbe DORA, vsakem nadzornem obrazcu in vsaki pogodbi s ponudnikom se pojavlja nekaj opredeljenih izrazov. Ko jih poznate, je preostalo besedilo veliko lažje razumeti.

Za koga velja DORA?

Področje uporabe DORA določa člen 2, ki našteva dvajset kategorij finančnih subjektov. Če ima finančna institucija katero od teh dovoljenj kjer koli v EU, je vključena ne glede na velikost, razen če velja posebna izjema. Glavne skupine so spodaj.

Kaj pa podjetja IT? Platforme v oblaku, podatkovni centri, ponudniki programske opreme in podjetja za upravljano varnost niso finančni subjekti, vendar jih DORA doseže na dva načina. Prvič, vsak finančni subjekt mora v pogodbe z njimi vključiti pogoje v slogu DORA, zato ponudnik, ki to zavrne, tvega izgubo stranke. Drugič, največji ponudniki — večji ponudniki oblaka, podatkovnih centrov, telekomunikacij in finančne programske opreme — so imenovani kritični tretji ponudniki IKT in neposredno nadzorovani na ravni EU; seznam se posodablja vsako leto.

Ali DORA velja za podjetja zunaj EU? Neposredno le za podjetja z dovoljenjem v EU — vključno s podružnicami in hčerinskimi družbami skupin iz Združenega kraljestva, ZDA ali Azije v EU. Posredno doseže vsakega tujega ponudnika, ki služi finančnemu podjetju EU, saj obvezne pogodbene klavzule veljajo ne glede na sedež ponudnika. Ponudnik zunaj EU, imenovan za kritičnega, mora v dvanajstih mesecih ustanoviti hčerinsko družbo v EU.

DORA je sorazmerna: obveznosti rastejo z velikostjo in kompleksnostjo finančne institucije. Mikro podjetja — z manj kot deset zaposlenimi ter manj kot dva milijona evrov prometa ali bilančne vsote — preskočijo več zahtev, vključno s TLPT ter nekaterimi dolžnostmi upravljanja in poročanja. Določena skupina manjših podjetij, kot so majhna in nepovezana investicijska podjetja ter nekatere izvzete plačilne institucije in institucije za elektronski denar, uporablja poenostavljen okvir upravljanja tveganj IKT po členu 16. Majhnost licenciranega podjetja ne izvzame iz DORA; le zmanjša breme.

Zahteve DORA: pojasnjenih pet stebrov

Zahteve za skladnost z DORA spadajo v pet skupin. Skupaj tvorijo en cikel — prepreči, zaznaj, odzovi se, obnovi, uči se — in regulator pričakuje dokaze za vsak korak.

Okvir upravljanja tveganj IKT (členi 5–16)

Preprosto: vedite, katero IT imate, kaj lahko gre narobe, ter imejte pisni načrt za zaščito in obnovitev. Okvir mora navajati sredstva IT in odvisnosti, določati preprečevanje in zaznavanje težav, odziv in okrevanje ter učenje iz incidentov. Pregleda se najmanj enkrat letno in po vsakem večjem incidentu. Potrdi ga upravljalni organ, ki odloči o sprejemljivem tveganju in zagotovi proračun. Kritične funkcije morajo biti kartirane, varnostne kopije dejansko preizkušene, obstajati pa mora načrt neprekinjenega delovanja IT ob splošnem načrtu neprekinjenega poslovanja.

Poročanje o incidentih: roki 4 ure, 72 ur in en mesec

Vsak incident, povezan z IKT, je treba evidentirati in razvrstiti po enakih merilih po vsej EU: koliko strank je prizadetih, kako močno je prizadet ugled podjetja, kako dolgo je trajal, kako daleč se je razširil, kateri podatki so bili izgubljeni, kako kritična je bila storitev in koliko denarja je ogroženega. Incident, ki preseže pragove, je »večji« in ga je treba nadzorniku prijaviti v treh korakih: prvo obvestilo v štirih urah od ugotovitve, da je večji (in najpozneje 24 ur po tem, ko se je podjetje zanj seznanilo), vmesno poročilo v 72 urah po prvem obvestilu ter končno poročilo v enem mesecu po vmesnem. Stranke, katerih denar ali podatki so prizadeti, je treba obvestiti brez odlašanja. Resne kibernetske grožnje, ki se niso razvile v incidente, se lahko prijavijo prostovoljno.

Testiranje odpornosti in penetracijsko testiranje na podlagi groženj (TLPT)

Testiranje digitalne operativne odpornosti je letni program: vsak sistem, ki podpira kritično ali pomembno funkcijo, mora prestati preglede ranljivosti, analize vrzeli, preglede izvorne kode, scenarijske in zmogljivostne teste ter penetracijske teste. Podjetja, ki jih nadzornik zaradi velikosti ali vpliva njihovega izpada šteje za pomembna, morajo dodatno najmanj vsaka tri leta izvesti TLPT. To je nadzorovan napad na delujoče sisteme, ki ga izvedejo usposobljeni etični hekerji po priznanem okviru. Mikro podjetja in podjetja v poenostavljenem okviru so izvzeta iz TLPT ter testirajo po lažjem, na tveganju temelječem urniku.

Tveganje tretjih oseb, zunanje izvajanje in register informacij

Zunanje izvajanje IT — ponudniku storitev v oblaku ali komur koli drugemu — ne pomeni prenosa odgovornosti. Upravljanje tveganj tretjih ponudnikov IKT se začne s pisno strategijo tveganja ponudnikov; podjetje mora ponudnike preveriti pred podpisom, preprečiti preveliko odvisnost od enega ponudnika in voditi register informacij — strukturiran seznam vseh pogodb IT — ki ga najmanj enkrat letno pošlje nadzorniku. Pogodbe morajo vsebovati določen sklop klavzul: kaj je storitev in katera raven je obljubljena, kje se hranijo podatki, pravico do pregleda in revizije, dolžnost pomoči ob incidentih, način odpovedi pogodbe in prehod k drugemu ponudniku. Podjetje ostane v celoti odgovorno tudi, če je ponudnik kritični ponudnik pod nadzorom EU.

Izmenjava informacij o kibernetskih grožnjah

Finančni subjekti lahko v zaupanja vrednih skupinah izmenjujejo obveščevalne podatke o grožnjah — vzorce napadov in indikatorje kompromitacije. Nihče se jim ni prisiljen pridružiti, toda podjetje, ki to stori, mora o tem obvestiti nadzornika, izmenjava pa mora spoštovati pravila zaupnosti in varstva podatkov.

DORA proti NIS2 proti GDPR: kako se pravila dopolnjujejo

Tri zakonodaje EU se prekrivajo pri kibernetski odpornosti in poročanju o incidentih, številne finančne institucije pa spadajo pod več kot eno. Tabela prikazuje, koga pokriva vsaka in kako se razlikujejo roki poročanja.

V praksi finančno podjetje incidente IT prijavlja finančnemu nadzorniku, ne nacionalni agenciji za kibernetsko varnost. GDPR velja vzporedno: če kibernetski napad razkrije podatke strank, podjetje incident prijavi dvakrat — po DORA finančnemu nadzorniku in po GDPR organu za varstvo podatkov — po dveh ločenih rokih.

DORA in kripto: pomen za CASP in izdajatelje žetonov

Za kriptopodjetja uredba DORA in okvir MiCA delujeta v paru. MiCA določa, kdo sme v EU zagotavljati kriptostoritve ali izdajati žetone; DORA določa, kako mora delovati tehnologija za temi storitvami. Ponudnik storitev v zvezi s kriptosredstvi, ki ima dovoljenje po MiCA, je finančni subjekt po DORA od trenutka izdaje dovoljenja, enako velja za izdajatelja žetonov, vezanih na sredstva. MiCA za zahteve IT in varnosti napotuje na DORA, zato nadzorniki oba predpisa berejo skupaj.

V praksi se odpornost preverja že med postopkom pridobitve dovoljenja, ne šele pozneje. Ko nadzornik obravnava vlogo CASP, so okvir tveganj IT, načrt neprekinjenega poslovanja, postopki za incidente in ureditve zunanjega izvajanja del dokumentacije, DORA pa je merilo za njihovo presojo. Kriptoborza ali skrbnik ne more pridobiti — ali obdržati — dovoljenja z načrtom odpornosti, ki obstaja le na papirju.

Kriptopodjetja imajo tudi odvisnosti IT, ki jih banka nima: hrambo zasebnih ključev, ponudnike vozlišč blokovne verige, infrastrukturo denarnic tretjih oseb, komponente pametnih pogodb in trge, ki trgujejo neprekinjeno brez vzdrževalnega okna. Po DORA je vsako od njih sredstvo IT ali odnos s ponudnikom, ki ga je treba navesti, razvrstiti, pogodbeno urediti in testirati. Tako tudi nelicencirani ponudniki gostovanja, upravljanja ključev ali infrastrukture blokovne verige posredno izpolnjujejo DORA: prek pogodb svojih strank.

Kazni, globe in sankcije DORA za neskladnost

Enotne tabele sankcij DORA za vso EU ni. Člen 50 namreč vsaki državi članici nalaga določitev kazni, ki so »učinkovite, sorazmerne in odvračilne«, nadzornikom pa daje pooblastila za zahtevanje dokumentov, inšpekcijske preglede, odreditev popravkov in objavo opozoril. Uporablja jih pristojni nacionalni organ vsake države članice po licenčnem pravu posameznega sektorja, zato banka, plačilna družba in kriptoborza odgovarjajo po sankcijski lestvici svojega sektorja.

Morda ste zasledili »globo DORA« v višini enega odstotka povprečnega dnevnega svetovnega prometa. Ta številka je resnična, vendar velja za nekoga drugega: gre za dnevno kazen, ki jo lahko evropski nadzorni organi do šest mesecev zaračunavajo kritičnemu tretjemu ponudniku IKT, ki ne upošteva nadzorne odločbe. Ne gre za globo za banke ali kriptodružbe. Pogosto omenjena »2 % letnega prometa« prav tako ni v DORA, temveč v NIS2, kjer je najnižja zgornja meja, ki jo morajo države določiti za bistvene subjekte. Za finančno podjetje so realne posledice:

• nadzorni ukrepi — odredbe za odpravo pomanjkljivosti, omejitve dejavnosti in v hudih primerih začasni odvzem ali izguba dovoljenja;
• upravne globe po nacionalnem pravu sektorja;
• osebna odgovornost članov odbora, ker DORA za okvir IT določa odgovornost odbora;
• kazenska odgovornost v državah, ki so jo izbrale dodati, kar dovoljuje člen 52;
• ugledna in poslovna škoda — izgubljene stranke, bančni partnerji in vlagatelji.

Kdo nadzoruje DORA? Regulatorji na nacionalni ravni in ravni EU

Vsakodnevni nadzor DORA ostaja pri regulatorju, ki podjetju že izda dovoljenje — centralni banki ali finančnem nadzornem organu domače države članice. Ta pristojni organ prejema prijave incidentov in registre informacij, odloča, kdo mora izvajati TLPT, ter preverja okvir tveganj IT v okviru rednega nadzora. Večina na svojih spletnih straneh objavlja smernice, predloge in roke DORA.

Na ravni EU si delo delijo trije organi: Evropski organ za vrednostne papirje in trge, Evropski bančni organ in EIOPA, organ za zavarovanja in poklicne pokojnine. Pišejo tehnične standarde, ki določajo podrobnosti, ter skupaj imenujejo kritične tretje ponudnike IKT, nad katerimi nato eden od treh izvaja nadzor kot glavni nadzornik.

Kontrolni seznam skladnosti z DORA: kako zagotoviti skladnost

Ne glede na to, ali podjetje zaprosi za dovoljenje ali je že nadzorovano, med revizijo skladnost z DORA dokazujejo isti dokumenti. Praktično izhodišče za izvedbeni načrt DORA ali analizo vrzeli:

• Potrdite področje uporabe: v katero kategorijo člena 2 spadate in ali velja poenostavljeni okvir ali izjema za mikro podjetje.
• Kartirajte vsako sredstvo IT, sistem in tok podatkov, ki podpira kritično ali pomembno funkcijo.
• Sprejmite politiko upravljanja tveganj IKT, ki jo potrdi odbor, z imenovanimi odgovornimi osebami in letnim pregledom.
• Vzpostavite razvrščanje incidentov, dnevnik incidentov in predloge poročil, skladne z zakonskimi roki.
• Pripravite letni koledar testiranja in preverite, ali vas je nadzornik uvrstil na seznam TLPT.
• Sestavite register informacij o vseh ponudnikih IT in njihove pogodbe posodobite z obveznimi klavzulami.
• Preverite tveganje koncentracije in napišite izhodne načrte za ponudnike, ki podpirajo kritične funkcije.
• Najmanj enkrat letno preizkusite varnostne kopije, obnovitev in načrt neprekinjenega delovanja IT.
• Usposobite odbor in hranite dokazila o izvedenem usposabljanju.

Eesti Firma svetuje fintech in kriptodružbam o pravnih vidikih DORA: ugotavljanju veljavnih obveznosti, usklajevanju okvira IT z zahtevami licenciranja MiCA, pregledu pogodb s ponudniki in pripravi dokumentov, ki jih nadzornik pričakuje. Stopite v stik z nami in se pogovorite, kako uredba velja za vaše podjetje.

Zahtevajte posvetovanje

Pogosta vprašanja o DORA