DORA pre IT dodávateľa. Čo pripraviť pre finančného klienta

DORA a IT dodávateľ

DORA je nariadenie EÚ o digitálnej operačnej odolnosti finančných subjektov, platí od 17. januára 2025 a dopadá priamo na banku, poisťovňu, investičnú firmu alebo ďalší subjekt, ktorý pod nariadenie spadá. Povinnosti pokrývajú štyri oblasti.

• riadenie ICT rizika
• incidenty
• testovanie
• riadenie zmluvných vzťahov s poskytovateľmi ICT služieb

Dodávateľ nie je automaticky priamym adresátom každej povinnosti DORA. Finančný klient si však musí vedieť preukázať, ako službu vybral, ako ju zmluvne nastavil a čo robí pre to, aby ju priebežne riadil primerane riziku.

Čo môže klient žiadať

Pri kritickej alebo dôležitej funkcii sa zoznam otázok predĺži. V due diligence a v zmluve môže klient pýtať toto.

• opis architektúry
• bezpečnostné opatrenia
• subdodávateľov
• miesta spracúvania dát
• obnovu služby
• oznamovanie incidentov
• spoluprácu pri audite
• podmienky ukončenia služby

Rozsah závisí od konkrétnej služby a rizika. Certifikát ISO 27001 môže byť užitočný dôkaz, ale sám osebe nie je univerzálnou zákonnou podmienkou DORA.

Testovanie a incidenty

Finančný subjekt musí plánovať a vykonávať testovanie digitálnej odolnosti primerane riziku. TLPT je osobitný režim pre vybrané subjekty podľa dohľadu, nie bežná povinnosť každého dodávateľa.

Dodávateľ má mať zmluvne dohodnutý postup na včasné odovzdanie informácií. Klient ich potrebuje na vlastné riešenie incidentu a na jeho hlásenie.

Praktické overenia

• určite službu, dáta, závislosti a zodpovednú osobu klienta
• zdokumentujte subdodávateľov, oznamovanie zmien, dôkazy o obnove, auditnú súčinnosť a odovzdanie pri ukončení
• dohodnite kontakt pre incident, potrebné informácie a zmluvnú cestu oznámenia

Urobte dve užitočné skúšky. Obnovte reprezentatívny záznam zo zálohy a zaznamenajte skutočný čas obnovy. Potom simulujte oznámenie incidentu a overte, či klient v dohodnutej lehote dostane informáciu o dopade a o dotknutej službe, o obmedzení a o tom, kedy príde ďalšia aktualizácia.

Tieto skúšky podporujú posúdenie klienta. Nenahrádzajú právne posúdenie ani rozhodnutie dohľadu.

Primárne znenie je DORA na EUR-Lex. Pri príprave dodávky pozrite aj softvér na mieru a technologické poradenstvo.