DORA

Що це означає

DORA - регламент Європейського Союзу про цифрову операційну стійкість фінансового сектору. Він діє напряму, без перенесення до словацького закону, і з січня 2025 року його дотримуються банки, страховики, інвестиційні компанії, платіжні установи та надавачі послуг з криптоактивами.

Це не закон про персональні дані й не загальне правило про безпеку. Якщо директива NIS2 охоплює широке коло галузей, то DORA - окремий режим для фінансів: її питання в тому, чи переживе фірма збій, а не що сталося з даними клієнтів.

DORA стосується ризиків інформаційно-комунікаційних технологій, а не капіталу чи ліквідності. Застосовується вона пропорційно: для невеликих і менш пов’язаних суб’єктів передбачено спрощену систему управління ризиками, а масштабне тестування на проникнення на основі загроз вимагається лише від окремих значущих установ, а не від кожної платіжної установи.

Як це працює на практиці

Регламент стоїть на п’яти опорах: управління ІКТ-ризиками, повідомлення про серйозні інциденти наглядовому органу, тестування стійкості, управління ризиком постачальників і обмін інформацією про загрози. Тестування означає перевірені плани відновлення, а не папір. Нагляд веде Національний банк Словаччини.

Він зачіпає і фірми поза сектором. Хто постачає банку софт, хостинг чи підтримку, отримає в договір обов’язкові застереження про доступ, аудит, субпідрядників і вихід, суворіші за звичайний SLA, та опиниться в реєстрі інформації свого клієнта. Саме по собі кіберстрахування цих обов’язків не замінює.

Для невеликої платіжної установи чи інвестиційної фірми перший крок - перелік усіх ІКТ-послуг, від яких вона залежить, зокрема облікової програми, пошти та хмарного сховища, з позначкою, які з них підтримують критичні функції. З цього переліку складається реєстр інформації, і лише на ньому можна розумно побудувати матрицю ризиків.

На що звернути увагу

Невеликий постачальник вирішує, що регламент його не стосується, бо він не фінансова установа. При продовженні договору він не може підписати застереження про аудит і вихід, документацію готує поспіхом, а в гіршому разі втрачає клієнта з регульованого сектору.

За DORA про інцидент повідомляють не за відчуттям, а за критеріями серйозності та в жорсткі строки від моменту його класифікації. Компанія, в якої заздалегідь не визначено, хто оцінює інцидент і хто про нього повідомляє, втрачає перші години на пошуки відповідального. Якщо йдеться і про порушення захисту персональних даних, паралельно діє окремий обов’язок перед іншим органом.