摘要
《数字运营韧性监管条例》的要求、其涉及的对象，以及ICT第三方服务提供商合约登记册所载的内容。数字运营韧性监管条例——法规(EU) 2022/2554，即DORA——自2025年一月17日起，适用于欧盟几乎所有受监管的金融企业：信贷机构、支付机构及电子货币机构、加密资产服务提供商、投资公司、基金管理人、多种制度下的贷款人及其他机构。它订立了ICT风险管理的标准，以及与ICT第三方服务提供商订立的合约安排的登记册。
数字运营韧性监管条例——法规(EU) 2022/2554，即DORA——自2025年一月17日起，适用于欧盟几乎所有受监管的金融企业：信贷机构、支付机构及电子货币机构、加密资产服务提供商、投资公司、基金管理人、多种制度下的贷款人及其他机构。它订立了ICT风险管理的标准，以及与ICT第三方服务提供商订立的合约安排的登记册。本指南说明DORA的要求、谁须遵守、比例原则对较小型公司有何作用、信息登记册包含什么内容，以及我方的DORA服务可提供什么。
本指南仅为一般信息，并非法律意见。
DORA的五大支柱
- ICT风险管理框架（第5至16条）——由管理机构督导、一套备存文件的框架、识别及保护ICT资产、侦测、应对及恢复、备份政策、学习与沟通。对若干小型企业适用简化框架（第16条）。
- ICT相关事故的处理及通报（第17至23条）——对事故进行分类，并在固定期限内向主管当局通报重大事故。
- 数字运营韧性的测试（第24至27条）——与企业相适应的测试计划；威胁导向渗透测试仅适用于由当局指定的企业。
- ICT第三方风险（第28至30条）——策略、订约前的尽职审查、强制性合约条款、退场计划，以及就与ICT第三方服务提供商订立的所有安排备存的信息登记册（第28条第3款），每年须提交当局。
- 信息交换（第45条）——就网络威胁情报所作的自愿性安排。
谁须遵守DORA
DORA适用于其第2条所列的金融企业，包括支付机构及电子货币机构、根据MiCA获授权的加密资产服务提供商、投资公司，以及另类投资基金管理人。若贵公司持有上述任何一项授权，或正在申请授权，DORA即自法规的适用开始日——2025年一月17日——或授权日（如较后者）起对贵公司适用。我方会在工作开始前，以书面确认贵公司的确切适用范围。
比例原则
DORA适用于大型及小型公司，但框架的深度须按企业的规模、风险状况及服务性质而定（第4条）。小型支付机构无须具备银行级的工具——但仍须具备每项规定的文件、每个流程的负责人，以及证明该流程行之有效的证据。
信息登记册包含的内容
根据第28条第3款，每家金融企业须就第三方ICT服务的所有合约安排备存登记册，应主管当局要求提供，并至少每年申报新订立的安排。实务上，登记册须就每个ICT第三方服务提供商列明：其提供的服务内容、公司哪项职能依赖于它，以及该职能是否属关键或重要。登记册须与实际生效的合约一致——而非与其首次制备时的状况一致——因此须每年更新，而非一次性记录。
我方如何逐步建立框架
- 差距分析。我方将公司目前的ICT治理、文件及第三方合约，与上述五大支柱作比较。
- 框架与政策。我方按比例原则，为公司量身设计ICT风险管理框架及配套政策。
- 事故分类及通报程序。我方订明ICT事故如何分类、由谁向主管当局通报，以及须于何期限内通报。
- 测试计划。我方为公司设计一套相适应的测试计划。
- 第三方风险政策。我方为新的ICT供应商设计尽职审查流程及合约条款清单，并审查已生效的条款。
- 信息登记册。我方根据贵公司的合约，以指定范本制备首份登记册。
常见错误
- 将比例原则理解为豁免。即使是小型公司，亦须具备每项规定的文件及每个流程的负责人——比例原则改变的是深度，而非清单本身。
- 让登记册过时。登记册须在每次ICT合约有变时更新，而非仅于每年正式更新时更新一次。
- 没有指定负责人。一套没有为每个部分指定负责人的框架，只是一份文件，并非一套可行的框架。
- 将DORA视为一次性项目。事故通报及登记册的年度更新属经常性义务，并非单一成果。
包含及不包含的内容
我方的服务包括ICT风险管理框架、政策、事故分类及通报程序、测试计划、第三方风险政策，以及信息登记册。不包括ICT系统本身及技术测试——这些由公司自身的IT部门或其技术供应商执行；我方的文件则就此作出描述、管控及记录。
所需时间
首份DORA框架连同登记册，通常需时8至12周；登记册的年度更新则属经常性且时间较短的项目。
我方的DORA服务
- DORA ICT风险管理框架及工具——起价 €39,500：差距分析、框架与政策、事故分类及通报程序、测试计划、连同合约条款清单的第三方风险政策，以及首份信息登记册；
- DORA信息登记册——年度更新——起价 €2,400 / 年：按ITS范本更新登记册，并协助年度提交。
符合DORA的ICT文件亦是MiCA申请，以及支付机构及电子货币机构申请的一部分；连同许可证一并订购DORA服务者，无须将同一套文件撰写两次。
您将获得什么
- 一套与贵公司相适应、载有负责人及证据的DORA框架；
- 按指定格式制备的信息登记册；
- 若有订购，则包括登记册的年度更新。
上述金额为我方标准范围的服务费，未含增值税。所有沟通均透过电子邮件进行。
我们不向俄罗斯公民及俄罗斯公司提供服务。