DORA – Digital operational resilience act je ključnega pomena za finančni sektor: banke, zavarovalnice …
DORA – Digital operational resilience act (Uredba (EU) 2022/2554) je evropska regulativa, ki se osredotoča na povečanje digitalne odpornosti finančnih institucij. Cilj uredbe je zagotoviti, da so vse finančne organizacije v EU sposobne prenesti, obvladovati in si opomoči od kibernetskih napadov ter tehnoloških motenj.
Uredba velja od 16.1.2023, njena obvezna uporaba je od 17. januarja 2025. Določa enotna pravila o varnosti omrežij in informacijskih sistemov finančnih subjektov.
Zajema širok nabor finančnih subjektov, ki jih regulira Evropska unija (EU), in od njih zahteva, da se uprejo kakršni koli motnji ali grožnji, ki vključuje informacijske in komunikacijske tehnologije (IKT), se odzovejo nanje in si po njih opomorejo.
Podjetja in subjekti, ki spadajo pod uredbo Dora
- kreditne, plačilne, elektronske denarne in poklicne pokojninske institucije;
- ponudnike storitev za informacije o računih, kripto sredstva, poročanje podatkov, množično financiranje in tretje osebe IKT;
- investicijska podjetja, alternativne investicijske sklade, družbe za upravljanje, bonitetne agencije in skrbnike kritičnih referenčnih vrednosti;
- repozitorije poslov in listinjenj, centralne depozitarje vrednostnih papirjev, centralne nasprotne stranke in mesta trgovanja;
- zavarovanje, zavarovalne posrednike in pozavarovanje.
Ključne zahteve DORA
DORA določa pet glavnih stebrov digitalne odpornosti:
- Obvladovanje in testiranje IT tveganj
- Finančne institucije morajo vzpostaviti robustne sisteme za prepoznavanje in obvladovanje kibernetskih tveganj.
- Zahteva se redno testiranje odpornosti IT-sistemov.
- Poročanje o kibernetskih incidentih
- Organizacije morajo poročati o pomembnih varnostnih incidentih pristojnim organom.
- Določeni so jasni protokoli za ukrepanje v primeru napada.
- Obvladovanje tveganj pri tretjih ponudnikih storitev
- Institucije morajo preverjati in obvladovati tveganja, povezana z zunanjimi ponudniki IT-storitev (npr. oblak, fintech podjetja).
- Uvaja se sistem nadzora nad ponudniki ključnih storitev.
- Testiranje digitalne odpornosti
- DORA uvaja obvezno izvajanje obsežnih testov odpornosti na kibernetske grožnje.
- Zahteva sodelovanje z neodvisnimi strokovnjaki za testiranje ranljivosti sistemov.
- Izmenjava informacij o kibernetskih tveganjih
- Spodbujanje sodelovanja in izmenjave podatkov o grožnjah med finančnimi institucijami.
- Krepitev obveščanja o potencialnih tveganjih.
Prednosti DORA
DORA prinaša številne koristi za finančni sektor, med katerimi so:
- Povečana kibernetska odpornost – Boljše varnostne prakse zmanjšujejo tveganje za napade in izgube.
- Enotna pravila za EU – Vse institucije v EU bodo sledile enotnim standardom, kar povečuje varnost celotnega sistema.
- Boljša zaščita strank – Manjša možnost zlorab in finančnih izgub za potrošnike.
- Transparentnost in boljši nadzor – Nadzorni organi bodo imeli boljši vpogled v IT varnost institucij.
Izzivi DORA
Kljub številnim prednostim prinaša DORA tudi določene izzive:
- Visoki stroški implementacije – Finančne institucije bodo morale vlagati v IT varnost, testiranja in skladnost.
- Zahtevno upravljanje tveganj tretjih ponudnikov – Sodelovanje z zunanjimi ponudniki postaja kompleksnejše.
- Pomanjkanje strokovnjakov – Implementacija zahteva usposobljen kader, kar je lahko izziv za manjše organizacije.
DORA – Katere ukrepe moraj podjetja sprejeti?
Za skladnost z uredbo DORA morajo organizacije sprejeti naslednje ukrepe:
- Pregled in analiza obstoječih varnostnih praks – Oceniti trenutno stanje digitalne varnosti in ranljivosti.
- Vzpostavitev celovitega sistema za obvladovanje IT tveganj – Razviti strategije za zaznavanje in obvladovanje tveganj.
- Redno izvajanje varnostnih testov – Testiranje ranljivosti sistemov in simulacija kibernetskih napadov.
- Vzpostavitev postopkov za poročanje incidentov – Določitev protokolov za hitro odzivanje na varnostne dogodke.
- Izobraževanje zaposlenih – Usposabljanje kadra o kibernetski varnosti in novih regulativnih zahtevah.
- Sodelovanje z regulatornimi organi – Komunikacija s pristojnimi organi za lažje prilagajanje novim zahtevam.
DORA je ključni korak k izboljšanju kibernetske odpornosti evropskega finančnega sektorja. Kljub nekaterim izzivom bo uredba pomagala pri zmanjševanju tveganj in zaščiti finančnih institucij pred kibernetskimi grožnjami.
Finančni sektor je pri zagotavljanju finančnih storitev vse bolj odvisen od tehnologije in tehnoloških podjetij. Zato so finančni subjekti izpostavljeni kibernetskim napadom ali incidentom.
Če se tveganja na področju IKT ne obvladujejo ustrezno, lahko povzročijo motnje finančnih storitev, ki se ponujajo čezmejno. To pa lahko vpliva na druga podjetja, sektorje in celo na preostalo gospodarstvo, kar poudarja pomen digitalne operativne odpornosti finančnega sektorja. Tu pride v poštev akt o digitalni operativni odpornosti.
