DORA: cadrul de gestionare a riscului ICT și registrul de informații

Regulamentul privind reziliența operațională digitală — Regulamentul (UE) 2022/2554, DORA — se aplică de la 17 ianuarie 2025 aproape oricărei entități financiare reglementate din UE: instituții de credit, instituții de plată și instituții emitente de monedă electronică, furnizori de servicii pentru criptoactive, firme de investiții, administratori de fonduri, creditori sub mai multe regimuri și altele. Acesta stabilește un standard pentru gestionarea riscului ICT și un registru al acordurilor contractuale cu furnizorii terți de servicii ICT. Acest ghid explică ce impune DORA, cine trebuie să îl respecte, cum funcționează proporționalitatea pentru firmele mai mici, ce conține registrul de informații și ce oferă serviciile noastre privind DORA.

Ghidul este o informație generală, nu o consultanță juridică.

Cei cinci piloni ai DORA

1. Cadrul de gestionare a riscului ICT (articolele 5–16) — conducere din partea organului de conducere, un cadru documentat, identificarea și protecția activelor ICT, detectare, răspuns și recuperare, politici de backup, învățare și comunicare. Pentru anumite întreprinderi mici se aplică un cadru simplificat (articolul 16).
2. Gestionarea și raportarea incidentelor legate de ICT (articolele 17–23) — clasificarea incidentelor și raportarea incidentelor majore către autoritatea competentă în termene fixe.
3. Testarea rezilienței operaționale digitale (articolele 24–27) — un program de testare adaptat întreprinderii; testarea de penetrare bazată pe amenințări doar pentru întreprinderile desemnate de autoritate.
4. Riscul terților în materie de ICT (articolele 28–30) — o strategie, due diligence înainte de încheierea contractului, clauze contractuale obligatorii, planuri de ieșire și registrul de informații privind toate acordurile cu furnizorii terți de servicii ICT (articolul 28 alineatul (3)), care se transmite autorității anual.
5. Schimbul de informații (articolul 45) — acorduri voluntare privind informațiile despre amenințările cibernetice.

Cine trebuie să respecte DORA

DORA se aplică entităților financiare menționate la articolul 2, inclusiv instituțiilor de plată și instituțiilor emitente de monedă electronică, furnizorilor de servicii pentru criptoactive autorizați conform MiCA, firmelor de investiții și administratorilor de fonduri alternative de investiții. Dacă firma dumneavoastră deține una dintre aceste autorizații sau o solicită, DORA se aplică acesteia de la data de la care regulamentul începe să se aplice — 17 ianuarie 2025 — sau de la data autorizării, dacă aceasta este mai târzie. Confirmăm în scris domeniul exact de aplicare pentru firma dumneavoastră înainte de începerea lucrărilor.

Proporționalitate

DORA se aplică firmelor mari și mici, dar profunzimea cadrului urmează dimensiunea, profilul de risc și natura serviciilor întreprinderii (articolul 4). O instituție de plată mică nu are nevoie de instrumentele unei bănci — dar are nevoie de fiecare document prevăzut, de un responsabil pentru fiecare proces și de dovada că acesta funcționează.

Ce conține registrul de informații

Conform articolului 28 alineatul (3), fiecare entitate financiară ține un registru al tuturor acordurilor contractuale privind serviciile ICT ale terților, îl pune la dispoziția autorității competente la cerere și raportează acordurile noi cel puțin anual. În practică, registrul menționează pentru fiecare furnizor terț de servicii ICT: ce furnizează, de care funcție a firmei depinde și dacă această funcție este critică sau importantă. Un registru trebuie să corespundă contractelor efectiv în vigoare — nu celor în vigoare la prima sa întocmire —, motiv pentru care are nevoie de o actualizare anuală, nu de o înregistrare unică.

Cum construim cadrul pas cu pas

1. Analiza lacunelor. Comparăm guvernanța ICT actuală, documentele și contractele cu terții ale firmei cu cei cinci piloni de mai sus.
2. Cadrul și politicile. Proiectăm cadrul de gestionare a riscului ICT și politicile de sprijin, adaptate firmei conform principiului proporționalității.
3. Procedura de clasificare și raportare a incidentelor. Stabilim cum se clasifică un incident ICT, cine îl raportează autorității competente și în ce termene.
4. Programul de testare. Proiectăm un program de testare adaptat întreprinderii.
5. Politica privind riscul terților. Proiectăm procesul de due diligence și lista de clauze contractuale pentru noii furnizori ICT și revizuim clauzele deja în vigoare.
6. Registrul de informații. Întocmim primul registru în modelul prevăzut, pe baza contractelor dumneavoastră.

Erori frecvente

• Înțelegerea proporționalității ca o excepție. Și o firmă mică are nevoie de fiecare document prevăzut și de un responsabil pentru fiecare proces — proporționalitatea schimbă profunzimea, nu lista.
• Lăsarea registrului să devină depășit. Registrul trebuie actualizat la fiecare modificare a unui contract ICT, nu doar o singură dată anual, la actualizarea formală.
• Niciun responsabil desemnat. Un cadru fără un responsabil pentru fiecare parte este un document, nu un cadru funcțional.
• Tratarea DORA ca pe un proiect unic. Raportarea incidentelor și actualizarea anuală a registrului sunt obligații recurente, nu un singur rezultat.

Ce este inclus și ce nu

Serviciul nostru cuprinde cadrul de gestionare a riscului ICT, politicile, procedura de clasificare și raportare a incidentelor, programul de testare, politica privind riscul terților și registrul de informații. Nu cuprinde sistemele ICT în sine și testele tehnice propriu-zise — acestea sunt efectuate de propriul departament IT al firmei sau de furnizorul său tehnic; documentele noastre le descriu, le ghidează și le documentează.

Cât durează

Un prim cadru DORA cu registru durează de regulă 8–12 săptămâni; actualizarea anuală a registrului este o sarcină recurentă, mai scurtă.

Serviciile noastre privind DORA

• Cadrul și instrumentele de gestionare a riscului ICT conform DORA — de la €39,500: analiza lacunelor, cadrul și politicile, procedura de clasificare și raportare a incidentelor, programul de testare, politica privind riscul terților cu lista clauzelor contractuale și primul registru de informații;
• Registrul de informații DORA — actualizare anuală — de la €2,400 / an: actualizarea registrului în modelul ITS și asistență la depunerea anuală.

Documentele ICT conforme cu DORA fac parte și dintr-o cerere MiCA, precum și din cererile pentru instituții de plată și instituții emitente de monedă electronică; cei care comandă DORA împreună cu licența nu scriu de două ori aceleași documente.

Ce primiți

• un cadru DORA adaptat firmei dumneavoastră, cu responsabili și dovezi;
• registrul de informații în formatul prevăzut;
• dacă este comandată, actualizarea anuală a registrului.

Sumele reprezintă onorariile noastre pentru domeniul de aplicare standard, fără TVA. Toată comunicarea se desfășoară prin e-mail.

Nu prestăm servicii cetățenilor Rusiei și societăților rusești.

Comandați cadrul DORA Prețuri Explicația în limba engleză