DORA je tu: Čo to znamená pre IT dodávateľov bánk a poisťovní

DORA a IT dodávateľ

DORA je nariadenie EÚ o digitálnej operačnej odolnosti finančných subjektov. Od 17. januára 2025 priamo ukladá bankám, poisťovniam, investičným firmám a ďalším subjektom povinnosti riadenia ICT rizika, incidentov, testovania a riadenia zmluvných vzťahov s poskytovateľmi ICT služieb. Dodávateľ nie je automaticky priamym adresátom každej povinnosti DORA. Finančný klient si však musí vedieť preukázať, že službu vybral, zmluvne nastavil a priebežne riadi primerane riziku.

Čo môže klient žiadať

Pri kritickej alebo dôležitej funkcii môže klient v due diligence a zmluve žiadať opis architektúry, bezpečnostných opatrení, subdodávateľov, miest spracúvania dát, obnovy služby, oznamovania incidentov, spolupráce pri audite a podmienok ukončenia služby. Rozsah závisí od konkrétnej služby a rizika. Certifikát ISO 27001 môže byť užitočný dôkaz, ale sám osebe nie je univerzálnou zákonnou podmienkou DORA.

Testovanie a incidenty

Finančný subjekt musí plánovať a vykonávať testovanie digitálnej odolnosti primerane riziku. TLPT je osobitný režim pre vybrané subjekty podľa dohľadu, nie bežná povinnosť každého dodávateľa. Dodávateľ má mať zmluvne dohodnutý postup na včasné odovzdanie informácií potrebných pre klientovo riešenie a hlásenie incidentu.

Praktické overenia

• určite službu, dáta, závislosti a zodpovednú osobu klienta
• zdokumentujte subdodávateľov, oznamovanie zmien, dôkazy o obnove, auditnú súčinnosť a odovzdanie pri ukončení
• dohodnite kontakt pre incident, potrebné informácie a zmluvnú cestu oznámenia

Urobte dve užitočné skúšky. Obnovte reprezentatívny záznam zo zálohy a zaznamenajte skutočný čas obnovy. Potom simulujte oznámenie incidentu. Overte, či klient v dohodnutej lehote dostane informáciu o dopade, dotknutej službe, obmedzení a ďalšej aktualizácii. Tieto skúšky podporujú posúdenie klienta. Nenahrádzajú právne posúdenie ani rozhodnutie dohľadu.

Primárne znenie je DORA na EUR-Lex. Pri príprave dodávky pozrite aj softvér na mieru a technologické poradenstvo.