DORA: рамка за управление на риска, свързан с ICT, и регистър на информацията

Регламентът за дигиталната оперативна устойчивост — Регламент (ЕС) 2022/2554, DORA — се прилага от 17 януари 2025 г. за почти всяко регулирано финансово предприятие в ЕС: кредитни институции, платежни институции и институции за електронни пари, доставчици на услуги за криптоактиви, инвестиционни посредници, управители на фондове, кредитори по множество режими и други. Той установява стандарт за управлението на риска, свързан с ICT, и регистър на договорните споразумения с доставчици на ICT услуги от трети страни. Настоящото ръководство обяснява какво изисква DORA, кой трябва да го спазва, как действа пропорционалността за по-малки фирми, какво съдържа регистърът на информацията и какво предлагат нашите услуги по DORA.

Ръководството е обща информация, а не правен съвет.

Петте стълба на DORA

1. Рамка за управление на риска, свързан с ICT (членове 5–16) — ръководство от страна на ръководния орган, документирана рамка, идентифициране и защита на ICT активи, откриване, реакция и възстановяване, политики за резервно копиране, обучение и комуникация. За определени малки предприятия се прилага опростена рамка (член 16).
2. Обработка и докладване на инциденти, свързани с ICT (членове 17–23) — класифициране на инциденти и докладване на тежки инциденти на компетентния орган в рамките на фиксирани срокове.
3. Тестване на дигиталната оперативна устойчивост (членове 24–27) — програма за тестване, съобразена с предприятието; тестове за проникване, основани на заплахи, само за предприятия, определени от органа.
4. Риск от трети страни по ICT (членове 28–30) — стратегия, надлежна проверка преди сключването на договора, задължителни договорни клаузи, планове за изход и регистърът на информацията за всички споразумения с доставчици на ICT услуги от трети страни (член 28, параграф 3), който се представя на органа ежегодно.
5. Обмен на информация (член 45) — доброволни споразумения относно информация за кибернетични заплахи.

Кой трябва да спазва DORA

DORA се прилага за финансовите предприятия, посочени в член 2, включително платежни институции и институции за електронни пари, доставчици на услуги за криптоактиви, оправомощени по MiCA, инвестиционни посредници и управители на алтернативни инвестиционни фондове. Ако Вашата фирма има едно от тези оправомощавания или го заявява, DORA се прилага за нея от началото на прилагането на регламента — 17 януари 2025 г. — или от датата на оправомощаването, ако тя е по-късна. Потвърждаваме точния обхват за Вашата фирма писмено, преди да започне работата.

Пропорционалност

DORA се прилага за големи и малки фирми, но дълбочината на рамката следва размера, рисковия профил и естеството на услугите на предприятието (член 4). Малка платежна институция не се нуждае от инструментите на банка — но се нуждае от всеки изискван документ, отговорник за всеки процес и доказателство, че той работи.

Какво съдържа регистърът на информацията

Съгласно член 28, параграф 3, всяко финансово предприятие поддържа регистър на всички договорни споразумения за ICT услуги на трети страни, предоставя го на компетентния орган при поискване и докладва новите споразумения най-малко веднъж годишно. На практика регистърът посочва за всеки доставчик на ICT услуги от трети страни: какво предоставя, от коя функция на фирмата зависи и дали тази функция е критична или важна. Регистърът трябва да съответства на действително действащите договори — а не на това, което е било в сила при първото му изготвяне — поради което се нуждае от годишно актуализиране, а не от еднократен запис.

Как изграждаме рамката стъпка по стъпка

1. Анализ на пропуските. Съпоставяме текущото ICT управление на фирмата, документите и договорите с трети страни с петте стълба по-горе.
2. Рамка и политики. Проектираме рамката за управление на риска, свързан с ICT, и подпомагащите политики, съобразени с фирмата според принципа на пропорционалност.
3. Процедура за класифициране на инциденти и докладване. Определяме как се класифицира ICT инцидент, кой го докладва на компетентния орган и в какви срокове.
4. Програма за тестване. Проектираме програма за тестване, съобразена с предприятието.
5. Политика за риска от трети страни. Проектираме процеса на надлежна проверка и списъка с договорни клаузи за нови доставчици на ICT услуги и преглеждаме вече действащите клаузи.
6. Регистър на информацията. Изготвяме първия регистър по предписания образец от Вашите договори.

Често срещани грешки

• Разбиране на пропорционалността като изключение. Дори малка фирма се нуждае от всеки изискван документ и отговорник за всеки процес — пропорционалността променя дълбочината, не списъка.
• Оставяне на регистъра да остарее. Регистърът трябва да се актуализира при всяка промяна на ICT договор, не само веднъж годишно при формалното актуализиране.
• Липса на назначен отговорник. Рамка без отговорник за всяка част е документ, не работеща рамка.
• Третиране на DORA като еднократен проект. Докладването на инциденти и годишното актуализиране на регистъра са текущи задължения, не единичен резултат.

Какво е включено и какво не

Нашата услуга обхваща рамката за управление на риска, свързан с ICT, политиките, процедурата за класифициране на инциденти и докладване, програмата за тестване, политиката за риска от трети страни и регистъра на информацията. Тя не обхваща самите ICT системи и самите технически тестове — те се извършват от собствения ИТ отдел на фирмата или от нейния технически доставчик; нашите документи ги описват, насочват и документират.

Колко време отнема

Първата рамка за DORA с регистър обикновено отнема 8–12 седмици; годишното актуализиране на регистъра е текуща, по-кратка задача.

Нашите услуги по DORA

• Рамка и инструменти за управление на риска, свързан с ICT, по DORA — от €39,500: анализ на пропуските, рамка и политики, процедура за класифициране на инциденти и докладване, програма за тестване, политика за риска от трети страни със списък на договорните клаузи и първия регистър на информацията;
• Регистър на информацията по DORA — годишно актуализиране — от €2,400 / година: актуализиране на регистъра по образеца на ITS и съдействие при годишното подаване.

ICT документите, съответстващи на DORA, са част и от заявлението за MiCA, както и от заявленията за платежни институции и институции за електронни пари; тези, които поръчват DORA заедно с лиценза, не пишат същите документи два пъти.

Какво получавате

• DORA рамка, съобразена с Вашата фирма, с отговорници и доказателства;
• регистъра на информацията в предписания формат;
• ако е поръчано, годишното актуализиране на регистъра.

Сумите са нашите хонорари за стандартния обхват, без ДДС. Цялата комуникация се осъществява по електронна поща.

Не предоставяме услуги на граждани на Русия и на руски дружества.

Поръчайте DORA рамка Цени Обяснение на английски