Коротко
Что требует регламент о цифровой операционной устойчивости, кого он касается и что содержит реестр договоров с ИКТ-поставщиками. Регламент о цифровой операционной устойчивости — Регламент (ЕС) 2022/2554, DORA — применяется с 17 января 2025 года почти ко всем регулируемым финансовым организациям ЕС: кредитным учреждениям, платёжным учреждениям и учреждениям электронных денег, поставщикам криптоуслуг, инвестиционным фирмам, управляющим фондами, кредиторам по нескольким режимам и другим. Он устанавливает единый стандарт управления ИКТ-рисками и единый реестр договоров с ИКТ-поставщиками.
Регламент о цифровой операционной устойчивости — Регламент (ЕС) 2022/2554, DORA — применяется с 17 января 2025 года почти ко всем регулируемым финансовым организациям ЕС: кредитным учреждениям, платёжным учреждениям и учреждениям электронных денег, поставщикам криптоуслуг, инвестиционным фирмам, управляющим фондами, кредиторам по нескольким режимам и другим. Он устанавливает единый стандарт управления ИКТ-рисками и единый реестр договоров с ИКТ-поставщиками. Руководство объясняет, что требует DORA, кто обязан его соблюдать, как работает соразмерность для небольших фирм, что содержит реестр информации и что дают наши услуги по DORA.
Руководство — общая информация, а не юридическая консультация.
Пять опор DORA
- Рамка управления ИКТ-рисками (статьи 5–16) — руководство со стороны органа управления, документированная рамка, выявление и защита ИКТ-активов, обнаружение, реагирование и восстановление, политики резервного копирования, обучение и коммуникация. Для некоторых малых организаций действует упрощённая рамка (статья 16).
- Управление ИКТ-инцидентами и сообщения о них (статьи 17–23) — классификация инцидентов и сообщения о крупных инцидентах компетентному органу в установленные сроки.
- Тестирование цифровой операционной устойчивости (статьи 24–27) — программа тестирования, соразмерная организации; тестирование на проникновение на основе угроз — только для организаций, назначенных органом.
- Риск ИКТ-поставщиков (статьи 28–30) — стратегия, проверка перед заключением договора, обязательные условия договоров, планы выхода и реестр информации обо всех договорах с ИКТ-поставщиками (статья 28 часть 3), ежегодно подаваемый органу.
- Обмен информацией (статья 45) — добровольные договорённости об обмене данными о киберугрозах.
Кто обязан соблюдать DORA
DORA применяется к финансовым организациям, перечисленным в его статье 2, включая платёжные учреждения и учреждения электронных денег, поставщиков криптоуслуг, лицензированных по MiCA, инвестиционные фирмы и управляющих альтернативными инвестиционными фондами. Если у вашей фирмы есть одна из этих лицензий или она её запрашивает, DORA применяется к ней с начала применения регламента — 17 января 2025 года — или с даты получения лицензии, если она позже. Мы письменно подтверждаем точный объём для вашей фирмы до начала работы.
Соразмерность
DORA применяется к крупным и малым фирмам, но глубина рамки зависит от размера организации, её профиля риска и характера услуг (статья 4). Небольшому платёжному учреждению не нужны инструменты банка — но ему нужен каждый обязательный документ, ответственный за каждый процесс и доказательства, что это работает.
Что содержит реестр информации
По статье 28 части 3 каждая финансовая организация ведёт реестр всех договоров на ИКТ-услуги третьих лиц, предоставляет его компетентному органу по запросу и не реже раза в год сообщает о новых договорах. На практике реестр указывает для каждого ИКТ-поставщика: что он предоставляет, какая функция фирмы от него зависит и является ли эта функция критической или важной. Реестр должен соответствовать фактически действующим договорам — а не тому, что было верно при его первом составлении, — поэтому ему нужно ежегодное обновление, а не разовая запись.
Как мы строим рамку шаг за шагом
- Анализ пробелов. Сравниваем текущее ИКТ-управление фирмы, документы и договоры с третьими лицами с пятью опорами выше.
- Рамка и политики. Готовим рамку управления ИКТ-рисками и поддерживающие политики, по размеру фирмы согласно принципу соразмерности.
- Процедура классификации инцидентов и сообщений. Описываем, как классифицируется ИКТ-инцидент, кто сообщает о нём компетентному органу и в какие сроки.
- Программа тестирования. Готовим программу тестирования, соразмерную организации.
- Политика риска третьих лиц. Готовим процесс проверки и чек-лист условий договора для новых ИКТ-поставщиков и проверяем уже действующие условия.
- Реестр информации. Составляем первый реестр в требуемом шаблоне по вашим договорам.
Частые ошибки
- Отношение к соразмерности как к исключению. Малой фирме всё равно нужен каждый обязательный документ и ответственный за каждый процесс — соразмерность меняет глубину, а не список.
- Реестр устаревает. Реестр нужно обновлять при каждом изменении ИКТ-договора, а не только раз в год при формальном обновлении.
- Нет назначенного ответственного. Рамка без ответственного за каждую часть — это документ, а не работающая рамка.
- Отношение к DORA как к разовому проекту. Сообщения об инцидентах и ежегодное обновление реестра — повторяющиеся обязанности, а не один результат.
Что входит и что не входит
Наша услуга охватывает рамку управления ИКТ-рисками, политики, процедуру классификации инцидентов и сообщений, программу тестирования, политику риска третьих лиц и реестр информации. Она не включает сами ИКТ-системы и техническое тестирование — их выполняет собственная ИТ-служба фирмы или её технический поставщик; наши документы их описывают, регулируют и фиксируют.
Сколько это занимает
Построение первой рамки DORA и реестра обычно занимает 8–12 недель; ежегодное обновление реестра — повторяющаяся и более короткая работа.
Наши услуги по DORA
- Рамка управления ИКТ-рисками DORA и инструменты — от €39,500: анализ пробелов, рамка и политики, процедура классификации инцидентов и сообщений, программа тестирования, политика риска третьих лиц с чек-листом условий договора и первый реестр информации;
- Реестр информации DORA — ежегодное обновление — от €2,400 / год: обновление реестра в шаблоне ITS и поддержка его подачи каждый год.
ИКТ-документы, соответствующие DORA, также входят в заявление MiCA и в заявления платёжного учреждения и учреждения электронных денег; заказ DORA вместе с лицензией избавляет от написания одних и тех же документов дважды.
Что вы получаете
- рамку DORA, соразмерную вашей фирме, с ответственными и доказательствами;
- реестр информации в требуемом формате;
- при заказе — ежегодное обновление реестра.
Суммы — наше вознаграждение за стандартный объём, без НДС. Всё общение ведётся по электронной почте.
Гражданам России и российским компаниям услуги не оказываются.