DORA je tady: Co to znamená pro IT dodavatele bank a pojišťoven

DORA a ICT dodavatel

DORA ukládá přímé povinnosti finančním subjektům. Dodavatel není automaticky přímým adresátem každé povinnosti. Finanční klient ale musí umět řídit riziko ICT služby, proto může smluvně žádat důkazy o bezpečnosti, kontinuitě, incidentech, subdodavatelích a předání. Rozsah se řídí kritičností služby.

Evropské orgány mohou vykonávat přímý dohled nad určenými kritickými poskytovateli ICT třetích stran. To je zvláštní status, ne označení každého dodavatele banky. ISO 27001 je užitečný důkaz, nikoli univerzální zákonná povinnost DORA. TLPT je dohledový režim pro vybrané finanční subjekty, ne běžná povinnost každého dodavatele.

Smluvní vymezení

Finanční instituce musí evidovat a řídit závislosti na ICT třetích stranách. U služby podporující kritickou nebo důležitou funkci může písemná smlouva pokrýt popis služby, přístup k datům, umístění, bezpečnostní kontroly, práva na audit a přístup, pomoc při incidentu, kontinuitu, ukončení a předání. Konkrétní povinnost dodavatele plyne z této smlouvy a ze služby. Regulatorní hlášení úřadům zůstává povinností finanční instituce.

Praktické zkoušky

• určete službu, data, závislosti a odpovědnou osobu klienta
• zdokumentujte subdodavatele, oznamování změn, důkazy obnovy, auditní součinnost a exit
• dohodněte kontakt pro incident, potřebné informace a smluvní cestu oznámení

Proveďte dvě užitečné zkoušky. Obnovte reprezentativní záznam ze zálohy a změřte skutečný čas obnovy. Potom simulujte oznámení incidentu. Ověřte, že klient v dohodnuté lhůtě dostane dopad, dotčenou službu, omezení a termín další aktualizace. To podporuje posouzení klienta. Nenahrazuje právní poradenství ani rozhodnutí dohledu.

Před každým nasazením si ověřte odpovědnosti, kontakty a způsob předání důkazů. Pro přípravu dodávky si projděte software na míru a technologické poradenství.