en en

Digitálna prevádzková odolnosť (DORA)

Vzhľadom na neustále sa zvyšujúce riziká kybernetických útokov EÚ posilňuje bezpečnosť finančného trhu. V rámci tohto úsilia EÚ prijala nariadenie 2022/2554 o digitálnej prevádzkovej odolnosti finančného sektora (Digital Operational Resilience Act – DORA) ako súčasť digitálneho balíka Európskej komisie, ktorý bol predstavený v septembri 2020.

Nariadenie DORA

  • harmonizuje pravidlá o IT bezpečnosti naprieč celým finančným trhom,
  • popri finančnom zdraví subjektov upriamuje pozornosť aj na ich udržateľnú prevádzku v prípade, ak dôjde ku kritickému narušeniu fungovania informačno-komunikačných technológií (IKT),
  • požiadavky na digitálnu prevádzkovú odolnosť rozdeľuje do piatich oblastí:
    • riadenie IKT rizík,
    • riadenie, klasifikácia, reporting IKT incidentov,
    • testovanie digitálnej prevádzkovej odolnosti,
    • riadenie IKT rizika externých poskytovateľov IKT služieb (vrátane rámca dozoru),
    • zdieľanie informácií.

Uplatňovať sa bude od 17. januára 2025 a vzťahuje sa na väčšinu kategórií dohliadaných subjektov s uplatnením viacerých výnimiek a tiež princípu proporcionality.

Informácie o DORA na webstránkach Európskych orgánov dohľadu

Aktuality

Legislatíva

DORA rámec je tvorený samotným nariadením DORA, k nemu prislúchajúcimi vykonávacími predpismi a pozmeňujúcou smernicou Európskeho parlamentu a Rady (EÚ) 2022/2556.

Vykonávacie predpisy, vrátane prislúchajúcich usmernení, sa aktuálne pripravujú, a to v dvoch balíkoch.

Prvý balík predpisov európske orgány dohľadu predložili Komisii 17. januára 2024. Týka sa finálnych návrhov, ktoré upravujú oblasti:

  • rámec riadenia IKT rizík (vrátane zjednodušeného rámca riadenia rizík),
  • kritériá pre klasifikáciu IKT incidentov,
  • vzory tabuliek pre register informácií (o externých poskytovateľoch IKT služieb),
  • politika ohľadom IKT služieb od externých poskytovateľov.

Druhý balík predpisov majú európske orgány dohľadu predložiť Komisii do 17. júla 2024. Týka sa návrhov, ktoré upravujú oblasti:

  • reporting závažných IKT incidentov vrátane vzorov tabuliek,
  • odhad celkových nákladov/strát zapríčinených závažnými IKT incidentami,
  • penetračné testovanie na základe konkrétnej hrozby (Threat-Led Penetration Testing – TLPT),
  • špecifikovanie sub-contractingu kritických alebo dôležitých funkcií,
  • spolupráca medzi európskymi orgánmi dohľadu a národnými autoritami pri výkone dozoru nad kritickými externými poskytovateľmi IKT služieb,
  • špecifikovanie informácií pre výkon dozoru nad kritickými externými poskytovateľmi IKT služieb.