Що таке DORA?
DORA (Digital Operational Resilience Act) — Регламент (ЄС) 2022/2554 про цифрову операційну стійкість фінансового сектору. Він встановлює єдині правила управління ІКТ-ризиками, щоб банки, страховики, платіжні установи та інші фінансові організації могли витримувати збої й кібератаки, реагувати на них і відновлюватися.
DORA застосовується з 17 січня 2025 року безпосередньо в усіх державах — членах ЄС. Відповідальність за ІКТ-ризики несе керівний орган організації. DORA — це не сертифікація: сертифіката DORA не існує, відповідність перевіряють компетентні наглядові органи.
На кого поширюється DORA?
- Кредитні установи та банки
- Платіжні установи та установи електронних грошей
- Інвестиційні фірми та інші учасники ринку капіталу
- Страхові та перестрахові компанії
- Постачальники послуг у сфері криптоактивів, авторизовані за MiCA
- Сторонні постачальники ІКТ-послуг для фінансових організацій, зокрема українські IT-компанії, що працюють з банками й фінтехами ЄС; критично важливі перебувають під прямим наглядом європейських наглядових органів (EBA, EIOPA, ESMA)
Що перевіряє самооцінка DORA
Запитання побудовані за п’ятьма напрямами регламенту:
- Система управління ІКТ-ризиками: врядування, роль керівного органу, інвентаризація активів, захист, виявлення, резервне копіювання та відновлення
- Управління ІКТ-інцидентами, їх класифікація та звітування регулятору про суттєві інциденти
- Тестування цифрової операційної стійкості, зокрема тестування на проникнення на основі загроз (TLPT) для значущих організацій
- Управління ризиками сторонніх ІКТ-постачальників: перевірка контрагентів, вимоги до договорів, стратегії виходу та реєстр інформації
- Обмін інформацією про кіберзагрози та вразливості
Типові прогалини у відповідності DORA
- Система управління ІКТ-ризиками існує на папері, але керівний орган її не затвердив і не переглядає
- Немає критеріїв класифікації суттєвих інцидентів, тому строки повідомлення неможливо дотримати
- Реєстр інформації про договори з ІКТ-постачальниками неповний або застарілий
- Договори з ІКТ-постачальниками не містять обов’язкових за DORA умов, як-от права на аудит і планів виходу
- Резервні копії та плани відновлення не тестуються регулярно, програми тестування немає
DORA, ISO 27001 і наступні кроки
Система управління інформаційною безпекою за ISO/IEC 27001 дуже допомагає, але не охоплює всього, чого вимагає DORA, — наприклад, строків звітування про інциденти, реєстру інформації чи TLPT. Самооцінка показує, що у вас уже є, а чого бракує.
IT-компанії за межами ЄС, зокрема в Україні, Грузії чи Казахстані, які обслуговують європейські банки та фінтехи, виконують вимоги DORA через договори з клієнтами, аудити та анкети з безпеки. За звітом про прогалини підготуйте докази й за бажання відрепетируйте інтерв’ю з аудитором у симуляторі аудиту BALTUM AI.