DORA: рамка управління ІКТ-ризиками й реєстр інформації

Регламент про цифрову операційну стійкість — Регламент (ЄС) 2022/2554, DORA — застосовується з 17 січня 2025 року майже до кожної регульованої фінансової організації ЄС: кредитних установ, платіжних установ і установ електронних грошей, постачальників криптопослуг, інвестиційних фірм, керуючих фондами, кредиторів за кількома режимами та інших. Він встановлює єдиний стандарт управління ІКТ-ризиками й єдиний реєстр договорів з ІКТ-постачальниками. Посібник пояснює, що вимагає DORA, хто має його дотримуватися, як працює пропорційність для менших фірм, що містить реєстр інформації і що дають наші послуги з DORA.

Посібник — загальна інформація, а не юридична консультація.

П’ять опор DORA

1. Рамка управління ІКТ-ризиками (статті 5–16) — керування з боку органу управління, задокументована рамка, ідентифікація й захист ІКТ-активів, виявлення, реагування й відновлення, політики резервного копіювання, навчання й комунікація. Для деяких малих організацій діє спрощена рамка (стаття 16).
2. Управління ІКТ-інцидентами й повідомлення про них (статті 17–23) — класифікація інцидентів і повідомлення про великі інциденти компетентному органу у встановлені строки.
3. Тестування цифрової операційної стійкості (статті 24–27) — програма тестування, пропорційна організації; тестування на проникнення на основі загроз — лише для організацій, визначених органом.
4. Ризик ІКТ-постачальників (статті 28–30) — стратегія, перевірка до укладення договору, обов’язкові умови договорів, плани виходу й реєстр інформації про всі договори з ІКТ-постачальниками (стаття 28 частина 3), що щороку подається органу.
5. Обмін інформацією (стаття 45) — добровільні домовленості про обмін даними про кіберзагрози.

Хто має дотримуватися DORA

DORA застосовується до фінансових організацій, перелічених у його статті 2, зокрема платіжних установ і установ електронних грошей, постачальників криптопослуг, ліцензованих за MiCA, інвестиційних фірм і керуючих альтернативними інвестиційними фондами. Якщо ваша фірма має одну з цих ліцензій або подає заяву на неї, DORA застосовується до неї з початку застосування регламенту — 17 січня 2025 року — або з дати отримання ліцензії, якщо вона пізніша. Ми письмово підтверджуємо точний обсяг для вашої фірми до початку роботи.

Пропорційність

DORA застосовується до великих і малих фірм, але глибина рамки залежить від розміру організації, її профілю ризику й характеру послуг (стаття 4). Невеликій платіжній установі не потрібні інструменти банку — але їй потрібен кожен обов’язковий документ, відповідальний за кожен процес і докази, що це працює.

Що містить реєстр інформації

За статтею 28 частиною 3 кожна фінансова організація веде реєстр усіх договорів на ІКТ-послуги третіх осіб, надає його компетентному органу на запит і щонайменше раз на рік повідомляє про нові договори. На практиці реєстр зазначає для кожного ІКТ-постачальника: що він надає, яка функція фірми від нього залежить і чи є ця функція критичною або важливою. Реєстр має відповідати фактично чинним договорам — а не тому, що було правдою під час його першого складання, — тому йому потрібне щорічне оновлення, а не разовий запис.

Як ми будуємо рамку крок за кроком

1. Аналіз прогалин. Порівнюємо поточне ІКТ-управління фірми, документи й договори з третіми особами з п’ятьма опорами вище.
2. Рамка й політики. Готуємо рамку управління ІКТ-ризиками й допоміжні політики, за розміром фірми згідно з принципом пропорційності.
3. Процедура класифікації інцидентів і повідомлень. Описуємо, як класифікують ІКТ-інцидент, хто повідомляє про нього компетентний орган і в які строки.
4. Програма тестування. Готуємо програму тестування, пропорційну організації.
5. Політика ризику третіх осіб. Готуємо процес перевірки й чек-лист умов договору для нових ІКТ-постачальників і перевіряємо вже чинні умови.
6. Реєстр інформації. Складаємо перший реєстр у потрібному шаблоні за вашими договорами.

Часті помилки

• Ставлення до пропорційності як до винятку. Малій фірмі все одно потрібен кожен обов’язковий документ і відповідальний за кожен процес — пропорційність змінює глибину, а не перелік.
• Реєстр застаріває. Реєстр треба оновлювати за кожної зміни ІКТ-договору, а не лише раз на рік під час формального оновлення.
• Немає призначеного відповідального. Рамка без відповідального за кожну частину — це документ, а не робоча рамка.
• Ставлення до DORA як до разового проєкту. Повідомлення про інциденти й щорічне оновлення реєстру — повторювані обов’язки, а не один результат.

Що входить і що не входить

Наша послуга охоплює рамку управління ІКТ-ризиками, політики, процедуру класифікації інцидентів і повідомлень, програму тестування, політику ризику третіх осіб і реєстр інформації. Вона не включає самі ІКТ-системи й технічне тестування — їх виконує власна ІТ-служба фірми або її технічний постачальник; наші документи їх описують, регулюють і фіксують.

Скільки це триває

Побудова першої рамки DORA й реєстру зазвичай триває 8–12 тижнів; щорічне оновлення реєстру — повторювана й коротша робота.

Наші послуги з DORA

• Рамка управління ІКТ-ризиками DORA й інструменти — від €39,500: аналіз прогалин, рамка й політики, процедура класифікації інцидентів і повідомлень, програма тестування, політика ризику третіх осіб із чек-листом умов договору й перший реєстр інформації;
• Реєстр інформації DORA — щорічне оновлення — від €2,400 / рік: оновлення реєстру в шаблоні ITS і підтримка його подання щороку.

ІКТ-документи, що відповідають DORA, також входять до заяви MiCA та заяв платіжної установи й установи електронних грошей; замовлення DORA разом із ліцензією позбавляє від написання тих самих документів двічі.

Що ви отримуєте

• рамку DORA, пропорційну вашій фірмі, з відповідальними й доказами;
• реєстр інформації в потрібному форматі;
• у разі замовлення — щорічне оновлення реєстру.

Суми — наша винагорода за стандартний обсяг, без ПДВ. Усе спілкування ведеться електронною поштою.

Громадянам Росії та російським компаніям послуги не надаються.

Замовити рамку DORA Ціни Посібник англійською