Audyt i wdrożenie DORA

DORA obejmuje około dwudziestu rodzajów podmiotów finansowych, w tym instytucje kredytowe, instytucje płatnicze i instytucje pieniądza elektronicznego, firmy inwestycyjne, dostawców usług w zakresie kryptoaktywów, zakłady ubezpieczeń i reasekuracji, fundusze emerytalne, systemy obrotu i zarządzających funduszami. Krytyczni zewnętrzni dostawcy usług ICT podlegają bezpośredniemu nadzorowi europejskich urzędów nadzoru, a wszyscy dostawcy usług ICT są objęci regulacją pośrednio — przez umowy ze swoimi klientami finansowymi.

DORA obowiązuje od 17 stycznia 2025 r. Od tego czasu podmioty finansowe muszą mieć wdrożone wymagane ramy, rejestr informacji, raportowanie incydentów i program testów oraz być w stanie przedstawić je organowi nadzoru.

Podmioty finansowe muszą testować wszystkie systemy i aplikacje ICT wspierające funkcje krytyczne lub istotne co najmniej raz w roku. Podmioty wskazane przez organ nadzoru jako istotne muszą ponadto co najmniej raz na trzy lata przeprowadzać testy penetracyjne ukierunkowane na zagrożenia (TLPT) — zobacz naszą usługę TLPT.

Zgodnie ze standardami technicznymi wstępne powiadomienie należy złożyć w ciągu 4 godzin od zaklasyfikowania incydentu jako poważny (i nie później niż 24 godziny od uzyskania o nim wiedzy), raport pośredni w ciągu 72 godzin od wstępnego powiadomienia, a raport końcowy w ciągu miesiąca.

To ustrukturyzowany rejestr wszystkich ustaleń umownych z zewnętrznymi dostawcami usług ICT, prowadzony na poziomie podmiotu i grupy oraz przekazywany organowi nadzoru. Pokazuje, którzy dostawcy wspierają które funkcje i jak bardzo są krytyczni.

Tak. Banki muszą zawierać w umowach ICT określone klauzule i oceniać swoich dostawców, więc otrzymasz kwestionariusze bezpieczeństwa, prawa do audytu oraz wymagania dotyczące zgłaszania incydentów, testów i planów wyjścia. Pomagamy dostawcom usług ICT przygotować polityki, dowody i odpowiedzi na te kwestionariusze.

Dla podmiotów finansowych DORA jest przepisem szczególnym, więc jej wymagania dotyczące zarządzania ryzykiem ICT i zgłaszania incydentów stosuje się zamiast odpowiednich przepisów NIS2. Podmioty spoza sektora finansowego stosują NIS2 / KSC 2.0.

Typowa realizacja trwa około 12 tygodni, w zależności od wielkości organizacji oraz liczby funkcji krytycznych i dostawców usług ICT. Nasz największy audyt DORA zajął ponad 460 godzin. Harmonogram potwierdzamy w ofercie.

Kary określają państwa członkowskie, a egzekwują je krajowe organy nadzoru — w Polsce KNF. Mogą obejmować administracyjne kary pieniężne, nakazy usunięcia naruszeń oraz środki wobec członków organu zarządzającego, który ponosi ostateczną odpowiedzialność za zarządzanie ryzykiem ICT.