Регламент DORA: самооценка соответствия

Регламент DORA: самооценка соответствия для финансовых организаций и ИКТ-поставщиков

Ответьте на простые вопросы об управлении ИКТ-рисками, обработке инцидентов и подрядчиках и узнайте, насколько вы соответствуете Digital Operational Resilience Act: оценка готовности, пробелы по направлениям и приоритетные рекомендации.

10–15 минут

Без регистрации

Данные в ЕС

Оценка готовности + отчёт о пробелах

Что такое регламент DORA?

DORA (Digital Operational Resilience Act) — Регламент (ЕС) 2022/2554 о цифровой операционной устойчивости финансового сектора. Он устанавливает единые правила управления ИКТ-рисками, чтобы банки, страховщики, платёжные учреждения и другие финансовые организации могли выдерживать сбои и кибератаки, реагировать на них и восстанавливаться.

DORA применяется с 17 января 2025 года напрямую во всех государствах — членах ЕС. Ответственность за ИКТ-риски несёт руководящий орган организации. DORA — это не сертификация: сертификата DORA не существует, соответствие проверяют компетентные надзорные органы.

На кого распространяется DORA?

Кредитные организации и банки
Платёжные учреждения и учреждения электронных денег
Инвестиционные компании и другие участники рынка капитала
Страховые и перестраховочные компании
Поставщики услуг в сфере криптоактивов, авторизованные по MiCA
Сторонние поставщики ИКТ-услуг для финансовых организаций; критически важные из них находятся под прямым надзором европейских надзорных органов (EBA, EIOPA, ESMA)

Что проверяет самооценка DORA

Вопросы построены по пяти направлениям регламента:

Система управления ИКТ-рисками: управление, роль руководящего органа, инвентаризация активов, защита, обнаружение, резервное копирование и восстановление
Управление ИКТ-инцидентами, их классификация и отчётность о крупных инцидентах перед регулятором
Тестирование цифровой операционной устойчивости, включая тестирование на проникновение на основе угроз (TLPT) для значимых организаций
Управление рисками сторонних ИКТ-поставщиков: проверка контрагентов, требования к договорам, стратегии выхода и реестр информации
Обмен информацией о киберугрозах и уязвимостях

Типичные пробелы в соответствии DORA

Система управления ИКТ-рисками есть на бумаге, но руководящий орган её не утвердил и не пересматривает
Нет критериев классификации крупных инцидентов, поэтому сроки уведомления невозможно соблюсти
Реестр информации о договорах с ИКТ-поставщиками неполный или устарел
Договоры с ИКТ-поставщиками не содержат обязательных по DORA условий, например права на аудит и планов выхода
Резервные копии и планы восстановления регулярно не тестируются, программы тестирования нет

DORA, ISO 27001 и следующие шаги

Система менеджмента информационной безопасности по ISO/IEC 27001 очень помогает, но не покрывает всего, что требует DORA, — например, сроков отчётности об инцидентах, реестра информации или TLPT. Самооценка показывает, что у вас уже есть, а чего не хватает.

IT-подрядчики за пределами ЕС, например из Украины, Грузии или Казахстана, работающие с европейскими банками и финтех-компаниями, выполняют требования DORA через договоры с клиентами, аудиты и анкеты по безопасности. По отчёту о пробелах подготовьте доказательства и при желании отрепетируйте интервью с аудитором в симуляторе аудита BALTUM AI.

Связанные стандарты

Как работает бесплатная оценка

Выберите стандарт

Вопросы сформулированы простым языком — специалист по комплаенсу для ответов не нужен.

Ответьте на 20–40 вопросов

Опишите, как ваша организация работает сегодня на самом деле. Честные ответы дают самый полезный результат.

Получите отчёт

Оценка готовности, анализ пробелов по областям требований и приоритизированные AI-рекомендации — в PDF, которым можно поделиться.

Частые вопросы

Существует ли сертификат DORA?

Нет. DORA — регламент ЕС, а не схема сертификации. Официального сертификата DORA нет; соответствие проверяют надзорные органы, а в случае ИКТ-поставщиков — их клиенты из финансового сектора.

Распространяется ли DORA на IT-подрядчиков?

Да, косвенно, а в ряде случаев напрямую. Финансовые организации обязаны переносить требования DORA в договоры с ИКТ-поставщиками, а критически важные сторонние ИКТ-поставщики находятся под прямым надзором европейских надзорных органов.

Какие сроки отчётности об инцидентах по DORA?

При крупном ИКТ-инциденте первичное уведомление подаётся в течение 4 часов после его классификации как крупного и не позднее 24 часов с момента, когда о нём стало известно, промежуточный отчёт — в течение 72 часов, итоговый — в течение месяца.

BALTUM сертифицирует соответствие DORA или даёт юридические консультации?

Нет. BALTUM — независимое программное обеспечение для самооценки, а не консалтинговая компания, юридическая фирма или орган по сертификации. Оно показывает готовность и пробелы, но не заменяет юридическую консультацию и проверку регулятора.