DORA IKT riskiraamistik ja teabe register

Digitaalse tegevuskerksuse määrust — määrus (EL) 2022/2554, DORA — kohaldatakse alates 17. jaanuarist 2025 peaaegu igale reguleeritud finantsüksusele ELis: krediidiasutustele, makse- ja e-raha asutustele, krüptovarateenuse osutajatele, investeerimisühingutele, fondivalitsejatele, mitme režiimi krediidiandjatele ja teistele. See kehtestab ühe IKT riskijuhtimise standardi ja ühe IKT kolmandate isikute lepingute registri. Juhend selgitab, mida DORA nõuab, kes peab seda täitma, kuidas toimib proportsionaalsus väiksematele firmadele, mida sisaldab teabe register ja mida annavad meie DORA teenused.

Juhend on üldine teave, mitte õigusnõustamine.

DORA viis sammast

1. IKT riskijuhtimise raamistik (artiklid 5–16) — juhtorgani juhtimine, dokumenteeritud raamistik, IKT varade tuvastamine ja kaitse, avastamine, reageerimine ja taastamine, varundamise põhimõtted, õppimine ja teavitamine. Teatud väikestele üksustele kohaldatakse lihtsustatud raamistikku (artikkel 16).
2. IKT-intsidentide haldamine ja nendest teatamine (artiklid 17–23) — intsidentide liigitamine ja suurtest intsidentidest teatamine pädevale asutusele kindlate tähtaegade jooksul.
3. Digitaalse tegevuskerksuse testimine (artiklid 24–27) — üksusega proportsionaalne testimisprogramm; ohupõhine läbistustestimine ainult asutuse määratud üksustele.
4. IKT kolmandate isikute risk (artiklid 28–30) — strateegia, hoolsuskontroll enne lepingu sõlmimist, kohustuslikud lepingutingimused, väljumiskavad ja teabe register kõigi IKT kolmandate isikute lepingute kohta (artikli 28 lõige 3), mis esitatakse asutusele igal aastal.
5. Teabe jagamine (artikkel 45) — vabatahtlikud kokkulepped küberohtude teabe jagamiseks.

Kes peab DORA-t täitma

DORA kehtib selle artiklis 2 loetletud finantsüksustele, sealhulgas makse- ja e-raha asutustele, MiCA alusel tegevusloa saanud krüptovarateenuse osutajatele, investeerimisühingutele ja alternatiivsete investeerimisfondide valitsejatele. Kui teie firmal on mõni neist tegevuslubadest või ta taotleb seda, kehtib DORA tema suhtes määruse kohaldamise algusest — 17. jaanuarist 2025 — või tegevusloa saamise päevast, kui see on hilisem. Kinnitame teie firma täpse ulatuse kirjalikult enne töö algust.

Proportsionaalsus

DORA kehtib suurtele ja väikestele firmadele, kuid raamistiku sügavus sõltub üksuse suurusest, riskiprofiilist ja teenuste olemusest (artikkel 4). Väike makseasutus ei vaja panga tööriistu — kuid ta vajab iga nõutud dokumenti, igale protsessile vastutajat ja tõendeid, et see töötab.

Mida sisaldab teabe register

Artikli 28 lõike 3 järgi peab iga finantsüksus registrit kõigi kolmandate isikute osutatavate IKT-teenuste lepingute kohta, teeb registri pädevale asutusele nõudmisel kättesaadavaks ja annab uutest lepingutest aru vähemalt kord aastas. Praktikas loetleb register iga IKT kolmanda isikust teenuseosutaja kohta: mida ta osutab, milline firma funktsioon sellest sõltub ja kas see funktsioon on kriitiline või oluline. Register peab olema kooskõlas tegelikult kehtivate lepingutega — mitte sellega, mis oli tõsi selle esmakordsel koostamisel — ja seepärast vajab see iga-aastast uuendamist, mitte ühekordset sissekannet.

Kuidas me raamistiku samm-sammult ehitame

1. Lünkade analüüs. Võrdleme firma praegust IKT juhtimist, dokumente ja kolmandate isikute lepinguid ülaltoodud viie sambaga.
2. Raamistik ja põhimõtted. Koostame IKT riskijuhtimise raamistiku ja seda toetavad põhimõtted, proportsionaalsuse põhimõtte järgi firma mõõtu.
3. Intsidentide liigitamise ja teatamise protseduur. Paneme kirja, kuidas IKT-intsident liigitatakse ning kes ja millise tähtaja jooksul sellest pädevale asutusele teatab.
4. Testimisprogramm. Koostame üksusega proportsionaalse testimisprogrammi.
5. Kolmandate isikute riski põhimõtted. Koostame uute IKT-teenuse osutajate hoolsuskontrolli protsessi ja lepingutingimuste kontrollnimekirja ning vaatame üle juba kehtivad tingimused.
6. Teabe register. Koostame esimese registri nõutud vormis teie lepingute põhjal.

Sagedased vead

• Proportsionaalsuse käsitlemine erandina. Väike firma vajab ikkagi iga nõutud dokumenti ja igale protsessile vastutajat — proportsionaalsus muudab sügavust, mitte nimekirja.
• Registril lastakse vananeda. Registrit tuleb uuendada iga kord, kui IKT-leping muutub, mitte ainult kord aastas ametliku uuendamise ajal.
• Nimeline vastutaja puudub. Raamistik ilma iga osa eest vastutava inimeseta on dokument, mitte toimiv raamistik.
• DORA käsitlemine ühekordse projektina. Intsidentidest teatamine ja registri iga-aastane uuendamine on korduvad kohustused, mitte üks üleantav töö.

Mis sisaldub ja mis mitte

Meie teenus hõlmab IKT riskijuhtimise raamistikku, põhimõtteid, intsidentide liigitamise ja teatamise protseduuri, testimisprogrammi, kolmandate isikute riski põhimõtteid ja teabe registrit. See ei hõlma IKT süsteeme ega tehnilist testimist ennast — need teeb firma enda IT-üksus või tema tehniline tarnija; meie dokumendid kirjeldavad, juhivad ja dokumenteerivad neid.

Kui kaua see aega võtab

Esimese DORA raamistiku ja registri ehitamine võtab tavaliselt 8–12 nädalat; registri iga-aastane uuendamine on korduv ja lühem töö.

Meie DORA teenused

• DORA IKT riskijuhtimise raamistik ja tööriistad — alates €39,500: lünkade analüüs, raamistik ja põhimõtted, intsidentide liigitamise ja teatamise protseduur, testimisprogramm, kolmandate isikute riski põhimõtted koos lepingutingimuste kontrollnimekirjaga ning esimene teabe register;
• DORA teabe register — iga-aastane uuendamine — alates €2,400 / aasta: registri uuendamine ITS-vormis ja selle esitamise toetamine igal aastal.

DORA-ga kooskõlas IKT dokumendid on ka osa MiCA taotlusest ning makseasutuse ja e-raha asutuse taotlustest; DORA tellimine koos tegevusloaga hoiab ära samade dokumentide kahekordse kirjutamise.

Mida saate

• teie firmaga proportsionaalse DORA raamistiku koos vastutajate ja tõenditega;
• teabe registri nõutud vormis;
• tellimise korral registri iga-aastase uuendamise.

Summad on meie tasud standardse ulatuse eest ja ei sisalda käibemaksu. Kogu suhtlus toimub e-posti teel.

Telli DORA raamistik Hinnakiri Juhend inglise keeles