DORA

Что это значит

DORA - регламент Европейского союза о цифровой операционной устойчивости финансового сектора. Он действует напрямую, без переноса в словацкий закон, и с января 2025 года его соблюдают банки, страховщики, инвестиционные компании, платёжные учреждения и поставщики услуг с криптоактивами.

Это не закон о персональных данных и не общее правило о безопасности. Если директива NIS2 охватывает широкий круг отраслей, то DORA - особый режим для финансов: её вопрос в том, переживёт ли фирма сбой, а не что случилось с данными клиентов.

DORA касается рисков информационно-коммуникационных технологий, а не капитала или ликвидности. Применяется она соразмерно: для небольших и менее связанных субъектов предусмотрена упрощённая система управления рисками, а масштабное тестирование на проникновение на основе угроз требуется только от отдельных значимых учреждений, а не от каждого платёжного учреждения.

Как это работает на практике

Регламент стоит на пяти опорах: управление ИКТ-рисками, сообщение надзорному органу о серьёзных инцидентах, тестирование устойчивости, управление риском поставщиков и обмен информацией об угрозах. Тестирование означает проверенные планы восстановления, а не бумагу. Надзор ведёт Национальный банк Словакии.

Он задевает и фирмы вне сектора. Кто поставляет банку софт, хостинг или поддержку, получит в договор обязательные оговорки о доступе, аудите, субподрядчиках и выходе, строже обычного SLA, и окажется в реестре информации своего клиента. Само по себе киберстрахование эти обязанности не заменяет.

Для небольшого платёжного учреждения или инвестиционной фирмы первый шаг - перечень всех ИКТ-услуг, от которых оно зависит, включая учётную программу, почту и облачное хранилище, с отметкой, какие из них поддерживают критические функции. Из этого перечня складывается реестр информации, и только на нём можно разумно построить матрицу рисков.

На что обратить внимание

Небольшой поставщик решает, что регламент его не касается, раз он не финансовое учреждение. При продлении договора он не может подписать оговорки об аудите и выходе, документацию готовит в спешке, а в худшем случае теряет клиента из регулируемого сектора.

По DORA об инциденте сообщают не по ощущению, а по критериям серьёзности и в жёсткие сроки с момента его классификации. Компания, у которой заранее не определено, кто оценивает инцидент и кто о нём сообщает, теряет первые часы на поиски ответственного. Если речь идёт и о нарушении защиты персональных данных, параллельно действует отдельная обязанность перед другим органом.