Formal Regulamentul (UE) 2022/2554, se aplică din 17 ianuarie 2025 și este direct aplicabil în statele membre UE.
DORA privește dacă o entitate financiară poate continua să livreze servicii importante în ciuda întreruperilor TIC — nu doar dacă poate preveni atacurile cibernetice. Se aplică unei game largi de entități financiare reglementate, inclusiv bănci, instituții de plată și de monedă electronică, firme de investiții, asiguratori, multe entități de pensii și administrare a fondurilor, furnizori de servicii privind criptoactivele, piețe de tranzacționare și alte categorii definite în articolul 2. Unele entități mici sau specializate sunt excluse sau supuse unor cerințe simplificate, așa că domeniul trebuie evaluat în raport cu textul legal și regulile sectoriale aplicabile.
Puncte esențiale
Gestionarea riscului TICOrganele de conducere au obligații de guvernanță definite. Entitățile financiare trebuie să mențină un cadru documentat care acoperă identificarea, protecția și prevenirea, detecția, răspunsul și recuperarea, backup-ul și restaurarea, învățarea, comunicarea și îmbunătățirea continuă.
Gestionarea și raportarea incidentelorEntitățile trebuie să clasifice incidentele legate de TIC și să raporteze cele care îndeplinesc criteriile pentru un incident major autorității competente relevante. Procesul curent cere o notificare inițială în patru ore de la clasificarea drept major și cel mult 24 de ore de la luarea la cunoștință, un raport intermediar în 72 de ore de la notificarea inițială și un raport final în o lună de la raportul intermediar sau ultimul raport intermediar actualizat. DORA prevede și notificarea voluntară a amenințărilor cibernetice semnificative.
Testarea reziliențeiProgramul de testare trebuie să fie bazat pe risc și să acopere sistemele și controalele relevante. Anumite entități identificate de autoritățile competente trebuie să efectueze teste de penetrare conduse de amenințări cel puțin o dată la trei ani, sub rezerva cerințelor juridice și tehnice detaliate. O autoritate competentă poate ajusta acea frecvență în funcție de profilul de risc și circumstanțele operaționale ale entității.
Riscul TIC provenind de la terțiEntitățile financiare rămân responsabile atunci când folosesc servicii TIC externe. DORA cere diligență prealabilă, prevederi contractuale, planificare de ieșire, luarea în considerare a riscului de concentrare și un registru al aranjamentelor contractuale. Cerințe mai stricte se aplică când serviciile sprijină funcții critice sau importante.
Supravegherea furnizorilor criticiAutoritățile europene de supraveghere pot desemna anumiți furnizori terți de servicii TIC drept critici și îi pot supraveghea la nivel UE. Această supraveghere nu înlocuiește responsabilitatea fiecărei entități financiare pentru proprii furnizori și aranjamente.
Partajarea informațiilorEntitățile financiare pot schimba informații despre amenințări cibernetice în cadrul unor comunități de încredere, atunci când aranjamentele protejează confidențialitatea, datele personale și informațiile de afaceri sensibile.