DORA

Čo to znamená

DORA je nariadenie Európskej únie o digitálnej prevádzkovej odolnosti finančného sektora. Platí priamo, bez preberania do slovenského zákona, a od januára 2025 sa ním riadia banky, poisťovne, obchodníci s cennými papiermi, platobné inštitúcie aj poskytovatelia služieb kryptoaktív.

Nie je to predpis o ochrane osobných údajov ani všeobecné pravidlo o bezpečnosti. Kým smernica NIS2 pokrýva široké spektrum odvetví, DORA je osobitný režim pre financie: pýta sa, či firma prežije výpadok, nie čo sa stalo s údajmi klientov.

DORA sa zaoberá rizikom informačných a komunikačných technológií, nie kapitálom ani likviditou. Uplatňuje sa primerane: menšie a menej prepojené subjekty majú zjednodušený rámec riadenia rizík a rozsiahle penetračné testovanie riadené hrozbami sa vyžaduje len od vybraných významných inštitúcií, nie od každej platobnej inštitúcie.

Ako to funguje v praxi

Stojí na piatich pilieroch: riadenie rizík IKT, hlásenie závažných incidentov dohľadu, testovanie odolnosti, riadenie rizika dodávateľov a výmena informácií o hrozbách. Testovanie znamená overené plány obnovy po havárii, nie papier. Dohľad vykonáva Národná banka Slovenska.

Dotýka sa aj firiem mimo sektora. Kto dodáva banke softvér, hosting alebo podporu, dostane do zmluvy povinné doložky o prístupe, audite, subdodávateľoch a ukončení spolupráce, prísnejšie ako bežné SLA, a ocitne sa v registri informácií svojho klienta. Samotné kybernetické poistenie tieto povinnosti nenahrádza.

Pre malú platobnú inštitúciu alebo obchodníka s cennými papiermi je prvým krokom súpis všetkých IKT služieb, od ktorých závisí - vrátane účtovného softvéru, e-mailu a cloudového úložiska - s vyznačením, ktoré podporujú kritické funkcie. Z tohto súpisu vzniká register informácií a až nad ním sa dá rozumne zostaviť riziková matica.

Na čo si dať pozor

Malý dodávateľ si povie, že sa ho nariadenie netýka, lebo nie je finančnou inštitúciou. Pri obnove zmluvy potom nevie podpísať doložky o audite a výstupe, dokumentáciu dopĺňa v časovej tiesni a v horšom prípade o klienta z regulovaného sektora príde.

Incident sa pri DORA nehlási podľa pocitu, ale podľa kritérií závažnosti a v pevných lehotách od jeho klasifikácie. Firma, ktorá nemá vopred určené, kto incident posudzuje a kto ho hlási, stratí prvé hodiny hľadaním zodpovedného. Ak ide aj o porušenie ochrany osobných údajov, beží navyše samostatná povinnosť voči inému úradu.