Formalnie rozporządzenie (UE) 2022/2554 stosuje się od 17 stycznia 2025 i jest bezpośrednio stosowane w państwach członkowskich UE.
DORA zajmuje się tym, czy podmiot finansowy może kontynuować dostarczanie ważnych usług przez zakłócenie ICT — a nie tylko czy potrafi zapobiec cyberatakom. Ma zastosowanie do szerokiego grona regulowanych podmiotów finansowych, w tym banków, instytucji płatniczych i pieniądza elektronicznego, firm inwestycyjnych, ubezpieczycieli, wielu podmiotów emerytalnych i zarządzających funduszami, dostawców usług kryptoaktywów, platform obrotu i innych kategorii zdefiniowanych w art. 2. Niektóre małe lub wyspecjalizowane podmioty są wyłączone lub objęte uproszczonymi wymaganiami, więc zakres musi być oceniany względem tekstu prawnego i mających zastosowanie reguł sektorowych.
Najważniejsze punkty
Zarządzanie ryzykiem ICTOrgany zarządzania mają zdefiniowane obowiązki zarządcze. Podmioty finansowe muszą utrzymywać udokumentowaną ramę obejmującą identyfikację, ochronę i prewencję, wykrywanie, reagowanie i odtwarzanie, kopie zapasowe i odbudowę, uczenie się, komunikację i ciągłe doskonalenie.
Zarządzanie incydentami i raportowaniePodmioty muszą klasyfikować incydenty związane z ICT i raportować te spełniające kryteria incydentu poważnego właściwemu organowi. Obecny proces wymaga początkowego zgłoszenia w ciągu czterech godzin po klasyfikacji jako poważny i nie później niż 24 godziny od uświadomienia, raportu pośredniego w ciągu 72 godzin od zgłoszenia początkowego oraz raportu końcowego w ciągu miesiąca od raportu pośredniego lub najnowszego zaktualizowanego raportu pośredniego. DORA przewiduje też dobrowolne zgłaszanie znaczących cyberzagrożeń.
Testowanie odpornościProgram testów musi być oparty na ryzyku i obejmować istotne systemy oraz kontrole. Niektóre podmioty wskazane przez właściwe organy muszą wykonywać testy penetracyjne prowadzone zagrożeniami (TLPT) co najmniej co trzy lata, z zastrzeżeniem szczegółowych wymagań prawnych i technicznych. Właściwy organ może dostosować tę częstotliwość do profilu ryzyka i okoliczności operacyjnych podmiotu.
Ryzyko stron trzecich ICTPodmioty finansowe pozostają odpowiedzialne, gdy używają zewnętrznych usług ICT. DORA wymaga due diligence, postanowień umownych, planowania wyjścia, uwzględnienia ryzyka koncentracji i rejestru umów. Silniejsze wymagania obowiązują, gdy usługi wspierają funkcje krytyczne lub ważne.
Nadzór nad krytycznymi dostawcamiEuropejskie Organy Nadzoru mogą oznaczać niektórych dostawców usług ICT jako krytycznych i nadzorować ich na poziomie UE. Ten nadzór nie zastępuje odpowiedzialności każdego podmiotu finansowego za własnych dostawców i ustalenia.
Dzielenie się informacjamiPodmioty finansowe mogą wymieniać informacje o cyberzagrożeniach w zaufanych społecznościach, gdy ustalenia chronią poufność, dane osobowe i wrażliwe informacje biznesowe.