Šta je DORA uredba? Objašnjen EU akt o digitalnoj operativnoj otpornosti

DORA uredba — Akt o digitalnoj operativnoj otpornosti — jeste zakon EU o sajber otpornosti finansijskog sektora. Ona finansijskim institucijama govori kako da upravljaju rizicima u oblasti sajber bezbednosti i IT-a. Jednostavno rečeno, svaka banka, platna kompanija, investiciono društvo, osiguravač i kripto-menjačnica u EU mora moći da nastavi s radom tokom hakerskog napada, prekida rada oblaka ili neuspelog ažuriranja softvera, kao i da nadzire IT dobavljače od kojih zavisi.

Ovaj vodič je namenjen osobama bez pravne ili IT pozadine. Objašnjava na koga se DORA primenjuje, šta zahteva, koliko brzo se incident mora prijaviti, po čemu se razlikuje od NIS2 i GDPR-a, koje su kazne i šta zahtevi DORA znače za fintech i kripto kompanije, a završava se kratkom kontrolnom listom usklađenosti sa DORA.

Šta je DORA, jednostavno objašnjeno?

DORA — ponekad se piše EU DORA ili DORA Act — jeste Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti finansijskog sektora. „Digitalna operativna otpornost” zvuči složeno, ali znači jedno: može li vaša kompanija nastaviti da pruža usluge klijentima kada IT zakaže? Haker prodre u sistem, ažuriranje ne uspe, dobavljač prestane da radi — da li plaćanja i dalje prolaze, mogu li se korisnici prijaviti, jesu li njihovi podaci bezbedni? DORA to pitanje pretvara iz dobre prakse u zakonsku obavezu.

Pre DORA, svaka država EU i svaki deo finansijskog sektora imali su sopstvena pravila IT bezbednosti i obrasce za incidente. DORA zamenjuje taj mozaik jedinstvenim pravilnikom za ceo finansijski sektor EU. Pošto je uredba, a ne direktiva, primenjuje se doslovno u svakoj državi članici — nije potreban nacionalni zakon da bi počela da važi.

Rok za usklađivanje sa DORA već je prošao. Dvogodišnji pripremni period nakon usvajanja je završen, sve obaveze iz DORA su na snazi, a nacionalni finansijski regulatori ih proveravaju. Okvir DORA počiva na pet stubova, a ostatak ovog vodiča objašnjava svaki od njih:

• upravljanje ICT rizikom — pisani plan za IT rizike, za koji je odgovorno upravljačko telo (odbor);
• upravljanje incidentima povezanim sa ICT-om i njihovo prijavljivanje — otkrivanje, evidentiranje i prijavljivanje IT incidenata nadzornom organu;
• testiranje digitalne operativne otpornosti — od rutinskih skeniranja ranjivosti do potpunih simulacija napada „crvenog tima”;
• upravljanje rizikom ICT trećih strana — kontrola IT dobavljača od kojih društvo zavisi, uz registar svih njih;
• razmena informacija — dobrovoljna razmena obaveštajnih podataka o pretnjama između finansijskih subjekata.

Objašnjeni ključni pojmovi DORA

Nekoliko definisanih pojmova pojavljuje se u svakom članu DORA uredbe, svakom nadzornom obrascu i svakom ugovoru s dobavljačem. Kada ih upoznate, ostatak je mnogo lakše čitati.

Na koga se DORA primenjuje?

Obuhvat DORA određen je članom 2, koji navodi dvadeset kategorija finansijskih subjekata. Ako finansijska institucija ima jednu od ovih dozvola bilo gde u EU, obuhvaćena je — bez obzira na veličinu — osim ako važi posebno izuzeće. Glavne grupe su u nastavku.

A same IT kompanije? Platforme u oblaku, centri podataka, dobavljači softvera i pružaoci upravljane bezbednosti nisu finansijski subjekti, ali DORA do njih doseže na dva načina. Prvo, svaki finansijski subjekt mora u ugovore s njima uneti uslove u stilu DORA, pa dobavljač koji odbije rizikuje gubitak klijenta. Drugo, najveći pružaoci — veliki dobavljači oblaka, centara podataka, telekomunikacija i finansijskog softvera — proglašavaju se kritičnim pružaocima ICT usluga trećih strana i direktno se nadziru na nivou EU; lista se ažurira svake godine.

Da li se DORA primenjuje na kompanije izvan EU? Direktno, samo na društva licencirana u EU — što uključuje podružnice i filijale grupa iz UK, SAD ili Azije u EU. Posredno, obuhvata svakog stranog dobavljača koji uslužuje finansijsko društvo EU, jer se obavezne ugovorne klauzule primenjuju bez obzira na sedište dobavljača. Pružalac izvan EU proglašen kritičnim mora osnovati podružnicu u EU u roku od dvanaest meseci.

Konačno, DORA je proporcionalna: obaveze rastu s veličinom i složenošću finansijske institucije. Mikropreduzeća — sa manje od deset zaposlenih i manje od dva miliona evra prometa ili bilansne sume — preskaču nekoliko zahteva, uključujući penetraciono testiranje zasnovano na pretnjama i neke obaveze upravljanja i izveštavanja. Definisana grupa manjih društava, poput malih i nepovezanih investicionih društava i određenih izuzetih platnih institucija i institucija elektronskog novca, prati pojednostavljeni okvir upravljanja ICT rizikom prema članu 16. Mala veličina ne isključuje licencirano društvo iz DORA; samo smanjuje teret.

Zahtevi DORA: objašnjenih pet stubova

Zahtevi za usklađenost sa DORA dele se u pet grupa. Zajedno čine jedan ciklus — sprečiti, otkriti, odgovoriti, oporaviti se, naučiti — a regulator očekuje dokaze za svaki korak.

Okvir upravljanja ICT rizikom (članovi 5–16)

Jednostavno rečeno: znajte koji IT imate, šta s njim može poći po zlu i imajte pisani plan za njegovu zaštitu i obnovu. Okvir mora navesti IT sredstva i zavisnosti, način na koji društvo sprečava i otkriva probleme, kako reaguje i oporavlja se, te kako uči iz incidenata. Preispituje se najmanje jednom godišnje i nakon svakog većeg incidenta. Upravljačko telo ga odobrava, odlučuje koliki je rizik prihvatljiv i obezbeđuje budžet. Kritične funkcije moraju biti mapirane, rezervne kopije stvarno testirane, a mora postojati plan kontinuiteta IT-a uz opšti plan kontinuiteta poslovanja društva.

Prijavljivanje incidenata: rokovi od 4 sata, 72 sata i jednog meseca

Svaki incident povezan sa ICT-om mora se evidentirati i klasifikovati prema istim merilima širom EU: broj pogođenih klijenata, šteta za ugled društva, trajanje, rasprostranjenost, izgubljeni podaci, kritičnost usluge i novac koji je ugrožen. Incident koji pređe pragove je „veći” i mora se prijaviti nadzorniku u tri koraka: prvo obaveštenje u roku od četiri sata od odluke da je veći (i najkasnije 24 sata od saznanja društva), privremeni izveštaj u roku od 72 sata od prvog obaveštenja i završni izveštaj u roku od mesec dana od privremenog. Klijenti čiji su novac ili podaci pogođeni moraju biti obavešteni bez odlaganja. Ozbiljne sajber pretnje koje nisu prerasle u incidente mogu se prijaviti dobrovoljno.

Testiranje otpornosti i penetraciono testiranje zasnovano na pretnjama (TLPT)

Testiranje digitalne operativne otpornosti je godišnji program: svaki sistem koji podržava kritičnu ili važnu funkciju mora proći skeniranje ranjivosti, analize nedostataka, preglede izvornog koda, testove scenarija, testove performansi i penetracione testove. Društva koja nadzornik smatra značajnim — zbog veličine ili posledica njihovog neuspeha — dodatno moraju sprovoditi TLPT najmanje svake tri godine. To je kontrolisani napad na aktivne sisteme koji izvode kvalifikovani etički hakeri prema priznatome okviru. Mikropreduzeća i društva u pojednostavljenom okviru izuzeta su od TLPT-a i testiraju prema lakšem rasporedu zasnovanom na riziku.

Rizik trećih strana, eksternalizacija i registar informacija

Eksternalizacija IT-a — pružaocu usluga u oblaku ili bilo kome drugom — ne eksternalizuje odgovornost. Upravljanje rizikom ICT trećih strana počinje pisanom strategijom za rizik dobavljača; društvo mora proveriti dobavljače pre potpisivanja, izbeći preveliku zavisnost od jednog pružaoca i voditi registar informacija — strukturisanu listu svakog IT ugovora — koji se nadzorniku dostavlja najmanje jednom godišnje. Sami ugovori moraju sadržati određen skup klauzula: šta je usluga i koji nivo je obećan, gde se podaci čuvaju, pravo na pregled i reviziju, obavezu pomoći tokom incidenata, način raskida ugovora i prelaska na drugog pružaoca ako je potrebno. Društvo ostaje potpuno odgovorno čak i kada je dobavljač kritični pružalac pod nadzorom EU.

Razmena informacija o sajber pretnjama

Finansijski subjekti mogu razmenjivati obaveštajne podatke o pretnjama — obrasce napada i indikatore kompromitacije — unutar pouzdanih grupa. Niko nije obavezan da se pridruži, ali društvo koje to učini mora obavestiti nadzornika, a razmena mora poštovati pravila poverljivosti i zaštite podataka.

DORA naspram NIS2 i GDPR-a: kako se pravila uklapaju

Tri zakona EU preklapaju se u oblasti sajber otpornosti i prijavljivanja incidenata, a mnoge finansijske institucije potpadaju pod više od jednog. Tabela pokazuje koga svaki obuhvata i po čemu se razlikuju rokovi za prijavljivanje.

U praksi, finansijsko društvo prijavljuje IT incidente svom finansijskom nadzorniku, a ne nacionalnoj agenciji za sajber bezbednost. GDPR se primenjuje paralelno: ako sajber napad otkrije podatke klijenata, društvo ga prijavljuje dvaput — prema DORA finansijskom nadzorniku i prema GDPR-u organu za zaštitu podataka — prema dva odvojena roka.

DORA i kripto: šta to znači za CASP-ove i izdavaoce tokena

Za kripto preduzeća, DORA uredba i MiCA okvir deluju kao par. MiCA određuje ko može pružati kripto usluge ili izdavati tokene u EU; DORA određuje kako se mora upravljati tehnologijom iza tih usluga. Pružalac usluga povezanih s kriptoimovinom odobren prema MiCA finansijski je subjekt prema DORA od trenutka izdavanja dozvole, kao i svaki izdavalac tokena vezanih za imovinu. Sama MiCA upućuje na DORA za IT i bezbednosne zahteve, pa ih svaki nadzornik tumači zajedno.

U praksi se otpornost proverava već tokom postupka licenciranja, a ne samo naknadno. Kada nadzornik razmatra prijavu CASP-a, okvir IT rizika, plan kontinuiteta poslovanja, postupci za incidente i aranžmani eksternalizacije deo su dokumentacije, a DORA je merilo prema kojem se ocenjuju. Kripto-menjačnica ili kastodi ne mogu dobiti — niti zadržati — dozvolu uz plan otpornosti koji postoji samo na papiru.

Kripto društva imaju i IT zavisnosti koje banka nema: čuvanje privatnih ključeva, pružaoce blokčejn čvorova, infrastrukturu novčanika trećih strana, komponente pametnih ugovora i tržišta koja trguju neprekidno, bez prozora za održavanje. Prema DORA, svako od navedenog je IT sredstvo ili odnos s dobavljačem koji mora biti naveden, ocenjen, ugovoren i testiran. Tako i nelicencirani dobavljači hostinga, upravljanja ključevima ili blokčejn infrastrukture posredno ispunjavaju DORA: kroz ugovore svojih klijenata.

Kazne, novčane kazne i sankcije DORA za neusklađenost

Ne postoji jedinstvena tabela sankcija DORA za celu EU. Umesto toga, član 50 nalaže svakoj državi članici da odredi kazne koje su „delotvorne, proporcionalne i odvraćajuće” i daje nadzornicima ovlašćenje da traže dokumenta, vrše inspekcije, naređuju ispravke i objavljuju upozorenja. Nacionalni nadležni organ svake države članice ih primenjuje prema sopstvenom sektorskom zakonu o licenciranju, pa banka, platna kompanija i kripto-menjačnica podležu sankcionoj lestvici svog sektora.

Možda ste videli „DORA kaznu” od jednog procenta prosečnog dnevnog svetskog prometa. Ta brojka je stvarna, ali namenjena je nekome drugom: to je dnevna kazna koju Evropska nadzorna tela mogu izreći kritičnom pružaocu ICT usluga treće strane koji ignoriše odluku o nadzoru, najviše šest meseci. To nije kazna za banke ili kripto kompanije. „2% godišnjeg prometa”, koji se ponekad navodi uz nju, takođe nije u DORA: potiče iz NIS2, gde predstavlja minimalni plafon koji države moraju odrediti za ključne subjekte. Za finansijsko društvo realne posledice su:

• nadzorne mere — nalozi za otklanjanje nedostataka, ograničenja aktivnosti i, u ozbiljnim slučajevima, suspenzija ili gubitak dozvole;
• upravne novčane kazne prema nacionalnom pravu sektora;
• lična odgovornost članova odbora, jer DORA čini odbor odgovornim za IT okvir;
• krivična odgovornost u državama koje su odlučile da je uvedu, što član 52 dozvoljava;
• reputaciona i komercijalna šteta — izgubljeni klijenti, bankarski partneri i investitori.

Ko nadzire DORA? Regulatori na nacionalnom nivou i nivou EU

Svakodnevni nadzor nad DORA ostaje kod regulatora koji već izdaje dozvolu društvu — centralne banke ili finansijskog nadzornog organa njegove matične države članice. Taj nadležni organ prima prijave incidenata i registre informacija, odlučuje ko mora sprovoditi TLPT i proverava okvir IT rizika u okviru redovnog nadzora. Većina na svojim veb-sajtovima objavljuje smernice, obrasce i rokove DORA.

Na nivou EU, posao dele tri tela: Evropsko telo za hartije od vrednosti i tržišta, Evropsko bankarsko telo i EIOPA, telo za osiguranje i penzije. Ona izrađuju tehničke standarde koji popunjavaju detalje i zajednički određuju kritične pružaoce ICT usluga trećih strana, nad kojima potom jedno od ta tri tela vrši nadzor kao vodeći nadzornik.

Kontrolna lista usklađenosti sa DORA: kako se uskladiti

Bilo da društvo podnosi zahtev za dozvolu ili je već pod nadzorom, isti skup dokumenata dokazuje usklađenost sa DORA tokom revizije. Praktična polazna tačka za plan primene DORA ili analizu nedostataka:

• Potvrdite obuhvat: u koju kategoriju iz člana 2 spadate i da li važi pojednostavljeni okvir ili izuzeće za mikropreduzeće.
• Mapirajte svako IT sredstvo, sistem i tok podataka koji podržava kritičnu ili važnu funkciju.
• Usvojite politiku upravljanja ICT rizikom koju je odobrio odbor, sa imenovanim odgovornim osobama i godišnjim pregledom.
• Uspostavite klasifikaciju incidenata, evidenciju incidenata i obrasce prijave koji odgovaraju zakonskim rokovima.
• Napravite godišnji kalendar testiranja i proverite da li vas je nadzornik stavio na TLPT listu.
• Sastavite registar informacija o svim IT pružaocima i ažurirajte njihove ugovore obaveznim klauzulama.
• Proverite rizik koncentracije i napišite planove izlaska za pružaoce koji podržavaju kritične funkcije.
• Testirajte rezervne kopije, obnovu i plan kontinuiteta IT-a najmanje jednom godišnje.
• Obučite odbor i sačuvajte dokaz da je obuka sprovedena.

Eesti Firma savetuje fintech i kripto kompanije o pravnoj strani DORA: utvrđivanju obaveza koje se primenjuju, usklađivanju IT okvira sa zahtevima licenciranja MiCA, pregledu ugovora s dobavljačima i pripremi dokumenata koje nadzornik očekuje. Obratite nam se da razgovaramo o tome kako se uredba primenjuje na vaše poslovanje.

Zatražite konsultaciju

Često postavljana pitanja o DORA