DORA je tady: Co to znamená pro IT dodavatele bank a pojišťoven

Od ledna 2025 je nařízení DORA (Digital Operational Resilience Act) v plné platnosti. Pro banky, pojišťovny a investiční společnosti to znamená nové povinnosti v oblasti digitální odolnosti. Jenže změny se netýkají jen finančních institucí, přímo ovlivňují každého, kdo jim dodává IT služby. A není to abstraktní hrozba do budoucna, děje se to teď.

Co je DORA a proč by vás to mělo zajímat

DORA je nařízení EU, které zavádí jednotný rámec pro řízení ICT rizik ve finančním sektoru. Na rozdíl od předchozích směrnic se DORA výslovně zaměřuje i na třetí strany (IT dodavatele, poskytovatele cloudových služeb a vývojáře softwaru).

Pokud vaše firma dodává software bance nebo pojišťovně, DORA se vás týká. Zcela přímo a konkrétně.

Požadavky, které se objevují v tendrech

1. Řízení ICT rizik

Finanční instituce musí prokázat, že jejich dodavatelé mají zavedené procesy řízení ICT rizik. V praxi to znamená, že se v tendrech objevují otázky typu:

• Máte zavedený ISMS (Information Security Management System)?
• Jak řešíte patch management?
• Jaké jsou vaše procesy pro správu zranitelností?

2. Testování digitální odolnosti

DORA vyžaduje pravidelné testování odolnosti IT systémů. Dodavatelé musí být připraveni na:

• Penetrační testování, včetně TLPT (Threat-Led Penetration Testing)
• Testování kontinuity podnikání
• Scénáře obnovy po haváriích

3. Hlášení incidentů

Nový režim hlášení ICT incidentů znamená, že dodavatelé musí mít jasné procesy pro:

• Detekci a klasifikaci incidentů
• Eskalaci a notifikaci klienta ve stanovených lhůtách
• Poskytování root-cause analýz

4. Správa třetích stran

Finanční instituce musí vést registr všech ICT dodavatelů a klasifikovat je podle kritičnosti. Očekávejte:

• Rozšířené due diligence dotazníky
• Požadavky na certifikace (ISO 27001, SOC 2)
• Právo na audit vašich systémů a procesů
• Pravidelné hodnocení výkonnosti dodavatele

5. Smluvní požadavky

DORA přesně definuje, co musí obsahovat smlouvy s ICT dodavateli:

• SLA s měřitelnými KPI
• Exit strategie a plány migrace
• Povinnosti při ukončení spolupráce

Co to znamená pro slovenské IT firmy

Mnohé slovenské IT společnosti dodávají software finančním institucím, ať už přímo, nebo jako subdodavatelé větších integrátorů. DORA zvyšuje laťku pro všechny v dodavatelském řetězci.

Firmy, které se na DORA připraví včas, budou mít jednodušší jednání s bankami. Ty, které to ignorují, se můžou z tendru dozvědět, že jejich nabídka nesplnila podmínky.

Jak to řešíme u nás

V Rise.sk vyvíjíme software pro klienty z regulovaných odvětví, včetně finančního sektoru. Minulý rok jsme pomáhali jednomu klientovi projít DORA compliance auditem a největší problém nebyl technický, byla to dokumentace procesů, která existovala jen v hlavách lidí. Od té doby máme bezpečnostní dokumentaci jako standardní součást každého projektu.

Jak začít

Pokud dodáváte IT služby finančnímu sektoru a chcete se připravit na DORA:

1. Zmapujte si požadavky a identifikujte, které části DORA se vás týkají
2. Zaveďte ISMS, pokud ho ještě nemáte, začněte s ISO 27001
3. Připravte dokumentaci pro incident management, BCP, disaster recovery
4. Testujte pravidelně, penetrační testy a testy odolnosti

Potřebujete pomoct s vývojem softwaru, který splňuje požadavky DORA? Ozvěte se nám, umíme pomoct s bezpečnostní dokumentací i s procesy.