Lyhyesti
Mitä digitaalista häiriönsietokykyä koskeva asetus vaatii, ketä se koskee ja mitä ICT-palveluntarjoajien sopimusrekisteri sisältää. Digitaalista häiriönsietokykyä koskevaa asetusta — asetus (EU) 2022/2554, DORA — sovelletaan 17. tammikuuta 2025 alkaen lähes jokaiseen säänneltyyn finanssialan yhteisöön EU:ssa: luottolaitoksiin, maksulaitoksiin ja sähköisen rahan laitoksiin, kryptovarapalvelujen tarjoajiin, sijoituspalveluyrityksiin, rahastonhoitajiin, useiden järjestelmien luotonantajiin ja muihin. Se asettaa yhden ICT-riskienhallinnan standardin ja yhden ICT-palveluntarjoajien sopimusrekisterin.
Digitaalista häiriönsietokykyä koskevaa asetusta — asetus (EU) 2022/2554, DORA — sovelletaan 17. tammikuuta 2025 alkaen lähes jokaiseen säänneltyyn finanssialan yhteisöön EU:ssa: luottolaitoksiin, maksulaitoksiin ja sähköisen rahan laitoksiin, kryptovarapalvelujen tarjoajiin, sijoituspalveluyrityksiin, rahastonhoitajiin, useiden järjestelmien luotonantajiin ja muihin. Se asettaa yhden ICT-riskienhallinnan standardin ja yhden ICT-palveluntarjoajien sopimusrekisterin. Opas kertoo, mitä DORA vaatii, kenen on noudatettava sitä, miten suhteellisuus toimii pienemmille yrityksille, mitä tietorekisteri sisältää ja mitä DORA-palvelumme tuottavat.
Opas on yleistä tietoa, ei oikeudellista neuvontaa.
DORA:n viisi pilaria
- ICT-riskienhallintakehys (artiklat 5–16) — johtoelimen ohjaus, dokumentoitu kehys, ICT-omaisuuden tunnistaminen ja suojaaminen, havaitseminen, reagointi ja palautuminen, varmuuskopiointiperiaatteet, oppiminen ja viestintä. Tietyille pienille yhteisöille sovelletaan yksinkertaistettua kehystä (16 artikla).
- ICT-poikkeamien hallinta ja niistä raportointi (artiklat 17–23) — poikkeamien luokittelu ja merkittävistä poikkeamista raportointi toimivaltaiselle viranomaiselle kiinteissä määräajoissa.
- Digitaalisen häiriönsietokyvyn testaus (artiklat 24–27) — yhteisöön suhteutettu testausohjelma; uhkaperusteinen penetraatiotestaus vain viranomaisen nimeämille yhteisöille.
- Kolmansien osapuolten ICT-riski (artiklat 28–30) — strategia, due diligence ennen sopimusta, pakolliset sopimusehdot, irtautumissuunnitelmat ja tietorekisteri kaikista kolmansien osapuolten ICT-sopimuksista (28 artiklan 3 kohta), joka toimitetaan viranomaiselle vuosittain.
- Tietojenvaihto (45 artikla) — vapaaehtoiset järjestelyt kyberuhkatiedon jakamiseksi.
Kenen on noudatettava DORA:a
DORA koskee sen 2 artiklassa lueteltuja finanssialan yhteisöjä, muun muassa maksulaitoksia ja sähköisen rahan laitoksia, MiCA:n nojalla toimiluvan saaneita kryptovarapalvelujen tarjoajia, sijoituspalveluyrityksiä ja vaihtoehtoisten sijoitusrahastojen hoitajia. Jos yritykselläsi on jokin näistä toimiluvista tai se hakee sitä, DORA koskee sitä asetuksen soveltamisen alusta — 17. tammikuuta 2025 — tai toimiluvan saamispäivästä, jos se on myöhempi. Vahvistamme yrityksesi tarkan laajuuden kirjallisesti ennen työn alkua.
Suhteellisuus
DORA koskee suuria ja pieniä yrityksiä, mutta kehyksen syvyys seuraa yhteisön kokoa, riskiprofiilia ja palvelujen luonnetta (4 artikla). Pieni maksulaitos ei tarvitse pankin työkaluja — mutta se tarvitsee jokaisen vaaditun asiakirjan, omistajan jokaiselle prosessille ja näytön siitä, että se toimii.
Mitä tietorekisteri sisältää
Asetuksen 28 artiklan 3 kohdan mukaan jokainen finanssialan yhteisö pitää rekisteriä kaikista kolmansien osapuolten tarjoamia ICT-palveluja koskevista sopimusjärjestelyistä, antaa rekisterin toimivaltaisen viranomaisen saataville pyynnöstä ja raportoi uusista järjestelyistä vähintään kerran vuodessa. Käytännössä rekisteri kertoo jokaisesta ICT-palveluntarjoajasta: mitä se tarjoaa, mikä yrityksen toiminto on siitä riippuvainen ja onko toiminto kriittinen tai tärkeä. Rekisterin on vastattava tosiasiassa voimassa olevia sopimuksia — ei sitä, mikä piti paikkansa sitä ensimmäisen kerran laadittaessa — ja siksi se tarvitsee vuosittaisen päivityksen eikä kertaluonteista merkintää.
Näin rakennamme kehyksen vaihe vaiheelta
- Puuteanalyysi. Vertaamme yrityksen nykyistä ICT-hallintoa, asiakirjoja ja kolmansien osapuolten sopimuksia edellä mainittuihin viiteen pilariin.
- Kehys ja toimintaperiaatteet. Laadimme ICT-riskienhallintakehyksen ja sitä tukevat toimintaperiaatteet suhteellisuusperiaatteen mukaan yrityksen kokoon mitoitettuina.
- Poikkeamien luokittelu- ja raportointimenettely. Kirjaamme, miten ICT-poikkeama luokitellaan ja kuka siitä raportoi toimivaltaiselle viranomaiselle ja missä määräajoissa.
- Testausohjelma. Laadimme yhteisöön suhteutetun testausohjelman.
- Kolmansien osapuolten riskiperiaatteet. Laadimme uusien ICT-palveluntarjoajien due diligence -prosessin ja sopimusehtojen tarkistuslistan sekä käymme läpi jo voimassa olevat ehdot.
- Tietorekisteri. Laadimme ensimmäisen rekisterin vaaditulla mallilla sopimustesi pohjalta.
Yleiset virheet
- Suhteellisuuden pitäminen poikkeuksena. Pienikin yritys tarvitsee jokaisen vaaditun asiakirjan ja omistajan jokaiselle prosessille — suhteellisuus muuttaa syvyyttä, ei luetteloa.
- Rekisterin annetaan vanhentua. Rekisteri on päivitettävä aina, kun ICT-sopimus muuttuu, ei vain kerran vuodessa muodollisen päivityksen aikaan.
- Nimetty omistaja puuttuu. Kehys ilman vastuuhenkilöä jokaiselle osalle on asiakirja, ei toimiva kehys.
- DORA:n pitäminen kertaprojektina. Poikkeamaraportointi ja rekisterin vuosipäivitys ovat toistuvia velvoitteita, eivät yksi toimitus.
Mitä sisältyy ja mitä ei
Palvelumme kattaa ICT-riskienhallintakehyksen, toimintaperiaatteet, poikkeamien luokittelu- ja raportointimenettelyn, testausohjelman, kolmansien osapuolten riskiperiaatteet ja tietorekisterin. Se ei kata itse ICT-järjestelmiä eikä teknistä testausta — ne tekee yrityksen oma IT-toiminto tai sen tekninen toimittaja; asiakirjamme kuvaavat, ohjaavat ja dokumentoivat niitä.
Kuinka kauan se kestää
Ensimmäisen DORA-kehyksen ja rekisterin rakentaminen kestää yleensä 8–12 viikkoa; rekisterin vuosipäivitys on toistuva ja lyhyempi toimeksianto.
DORA-palvelumme
- DORA:n ICT-riskienhallintakehys ja työkalut — alkaen €39,500: puuteanalyysi, kehys ja toimintaperiaatteet, poikkeamien luokittelu- ja raportointimenettely, testausohjelma, kolmansien osapuolten riskiperiaatteet sopimusehtojen tarkistuslistoineen ja ensimmäinen tietorekisteri;
- DORA:n tietorekisteri — vuosittainen päivitys — alkaen €2,400 / vuosi: rekisterin päivitys ITS-mallilla ja tuki sen toimittamisessa joka vuosi.
DORA:n mukaiset ICT-asiakirjat ovat myös osa MiCA-hakemusta sekä maksulaitoksen ja sähköisen rahan laitoksen hakemuksia; kun DORA tilataan toimiluvan kanssa, samoja asiakirjoja ei kirjoiteta kahdesti.
Mitä saat
- yritykseesi suhteutetun DORA-kehyksen omistajineen ja näyttöineen;
- tietorekisterin vaaditussa muodossa;
- tilattaessa rekisterin vuosittaisen päivityksen.
Summat ovat palkkioitamme vakiolaajuudesta ilman arvonlisäveroa. Kaikki viestintä hoidetaan sähköpostilla.
Emme tarjoa palveluja Venäjän kansalaisille emmekä venäläisille yhtiöille.