Formálně nařízení (EU) 2022/2554 se používá od 17. ledna 2025 a je přímo použitelné v členských státech EU.
DORA se týká toho, zda finanční subjekt dokáže pokračovat v doručování důležitých služeb skrze narušení ICT — nikoli pouze zda dokáže předcházet kybernetickým útokům. Aplikuje se na širokou škálu regulovaných finančních subjektů včetně bank, institucí platebních a elektronických peněz, investičních firem, pojišťoven, mnoha penzijních a fondových subjektů, poskytovatelů služeb kryptoaktiv, obchodních platforem a dalších kategorií definovaných v článku 2. Některé malé či specializované subjekty jsou vyloučeny či podléhají zjednodušeným požadavkům, takže rozsah musí být posouzen vůči právnímu textu a platným sektorovým pravidlům.
Klíčové body
Řízení rizik ICTŘídicí orgány mají definované povinnosti řízení. Finanční subjekty musí udržovat dokumentovaný rámec pokrývající identifikaci, ochranu a prevenci, detekci, reakci a obnovu, zálohování a restaurování, učení, komunikaci a kontinuální zlepšování.
Řízení a hlášení incidentůSubjekty musí klasifikovat incidenty související s ICT a hlásit ty splňující kritéria závažného incidentu relevantnímu příslušnému orgánu. Současný proces vyžaduje počáteční oznámení do čtyř hodin po klasifikaci jako závažný a nejpozději 24 hodin po zjištění, průběžnou zprávu do 72 hodin od počátečního oznámení a závěrečnou zprávu do jednoho měsíce od průběžné či poslední aktualizované průběžné zprávy. DORA také umožňuje dobrovolné oznamování významných kybernetických hrozeb.
Testování odolnostiTestovací program musí být založen na riziku a pokrývat relevantní systémy a kontroly. Určité subjekty identifikované příslušnými orgány musí provádět penetrační testování vedené hrozbami alespoň každé tři roky, s výhradou detailních právních a technických požadavků. Příslušný orgán může tuto frekvenci upravit podle rizikového profilu a provozních okolností subjektu.
Riziko třetích stran ICTFinanční subjekty zůstávají odpovědné při použití externích služeb ICT. DORA vyžaduje due diligence, smluvní ustanovení, plánování ukončení, zvážení rizika koncentrace a registr smluvních ujednání. Přísnější požadavky platí tam, kde služby podporují kritické či důležité funkce.
Dohled nad kritickými poskytovateliEvropské orgány dohledu mohou označit určité poskytovatele služeb ICT třetích stran za kritické a dohlížet na ně na úrovni EU. Tento dohled nenahrazuje odpovědnost každého finančního subjektu za jeho vlastní poskytovatele a ujednání.
Sdílení informacíFinanční subjekty mohou vyměňovat informace o kybernetických hrozbách v rámci důvěryhodných komunit, když ujednání chrání důvěrnost, osobní údaje a citlivé podnikové informace.