When the print dialog opens: choose "Save as PDF", then uncheck "Headers and footers" under More settings.
Ghidul de Conformitate DORA pentru Entitățile Financiare Europene
Rezumat Executiv
Digital Operational Resilience Act (Regulamentul UE 2022/2554, „DORA") este cadrul normativ armonizat al UE pentru reziliența operațională digitală în sectorul financiar. A intrat în vigoare la 17 ianuarie 2025 și stabilește cerințe uniforme pentru managementul riscului ICT, raportarea incidentelor, testarea rezilienței și riscul terților pentru peste 22.000 de entități financiare și furnizorii lor critici de servicii ICT.
Concluzii-cheie
- DORA este lex specialis pentru securitatea cibernetică a sectorului financiar. Acolo unde DORA și NIS2 se suprapun asupra aceleiași entități, DORA prevalează.
- Cinci piloni: managementul riscului ICT, managementul incidentelor legate de ICT, testarea rezilienței operaționale digitale, riscul terților ICT și acordurile de partajare a informațiilor.
- Raportarea incidentelor majore urmează o clasificare internă în 4 ore, o notificare inițială în 24 de ore, un raport intermediar în 72 de ore și un raport final în 1 lună.
- Entitățile semnificative trebuie să efectueze Threat-Led Penetration Testing (TLPT) cel puțin o dată la trei ani, conform cadrului TIBER-EU.
- Furnizorii terți ICT critici pot fi desemnați de Autoritățile Europene de Supraveghere și sunt supuși supravegherii directe a UE, cu amenzi de până la 1% din cifra de afaceri zilnică mondială.
Cui i se adresează
- CISO, COO și responsabili de reziliență din bănci, asigurători, firme de investiții, furnizori de cripto-active și locuri de tranzacționare.
- Ofițeri de conformitate și DPO care mapează DORA față de NIS2, EBA, ESMA, EIOPA și așteptările existente ale supraveghetorilor naționali.
- Echipe de achiziții care negociază contracte ICT în baza noilor obligații contractuale din Articolul 30.
- Furnizori terți ICT preocupați de desemnarea drept TPP critic și de supravegherea directă a UE ulterioară.
Ce Este DORA?
DORA armonizează și înlocuiește un peisaj fragmentat de ghiduri EBA, ESMA și EIOPA privind riscul ICT pentru sectorul financiar al UE. Înainte de DORA, fiecare subsector (bancar, mobiliar, asigurări) avea propriile reguli suprapuse — odată cu DORA, entitățile financiare operează sub un singur regulament direct aplicabil în toate cele 27 de state membre.
Regulamentul a intrat în vigoare la 17 ianuarie 2025, după o perioadă de tranziție de doi ani. Autoritățile Europene de Supraveghere (EBA, ESMA, EIOPA) au publicat Standarde Tehnice de Reglementare (RTS) și Standarde Tehnice de Implementare (ITS) detaliate, care acoperă în profunzime fiecare pilon.
DORA recunoaște în mod explicit că reziliența nu poate fi construită doar în jurul perimetrului entității financiare. Aduce furnizorii terți ICT în domeniul de aplicare prin cerințe contractuale transmise în cascadă și instituie un regim paralel de supraveghere pentru furnizorii de servicii ICT „critici" cu relevanță sistemică la nivelul UE.
14 dec. 2022 — DORA publicat în Jurnalul Oficial · 16 ian. 2023 — DORA intră în vigoare · 17 ian. 2025 — DORA devine direct aplicabil în toată UE · 2025-2026 — RTS și ITS publicate de ESA · În curs — Desemnări de TPP ICT critici de către ESA.
Cui I Se Aplică DORA
DORA se aplică unei populații mult mai largi decât regulile sectoriale originale. Articolul 2(1) enumeră 20 de categorii de entități financiare. Furnizorii terți ICT critici, desemnați de ESA, intră sub supravegherea directă a UE indiferent de dimensiune.
Numărul exact de entități variază în funcție de sursă și în timp. Cifrele de mai sus sunt ordine de mărime ilustrative, bazate pe rapoartele de supraveghere europene. Populația totală vizată este citată în mod regulat la aproximativ 22.000 de entități, cu cele mai mari concentrări în instituțiile de credit și firmele de investiții.
Cei Cinci Piloni ai DORA
DORA își organizează obligațiile de fond în cinci piloni. Fiecare face obiectul unuia sau mai multor capitole dedicate din regulament, plus standarde tehnice detaliate publicate de Autoritățile Europene de Supraveghere.
Articolele 5–15. Un cadru cuprinzător de management al riscului ICT aprobat și supravegheat de organul de conducere, care acoperă identificarea, protecția, detecția, răspunsul și recuperarea.
Articolele 17–23. Detecția, clasificarea, escaladarea internă și notificarea externă a incidentelor legate de ICT folosind criterii și termene armonizate.
Articolele 24–27. Un program de testare bazat pe risc care acoperă de la evaluări de vulnerabilități până la teste avansate de penetrare ghidate de amenințare, o dată la trei ani, pentru entitățile semnificative.
Articolele 28–44. Diligență precontractuală, registru de informații, prevederi contractuale obligatorii, monitorizare și strategii de ieșire pentru toate externalizările ICT.
Articolul 45. Participare voluntară la acorduri de partajare de încredere privind amenințările cibernetice, indicatorii de compromitere, tacticile, tehnicile și procedurile.
Pilonul 1: Managementul Riscului ICT
Pilonul de management al riscului impune entităților financiare să opereze un cadru de management al riscului ICT documentat și aprobat de consiliu, care acoperă întregul ciclu de viață al riscului ICT, de la identificare până la lecțiile învățate. Organul de conducere poartă responsabilitatea finală — Articolul 5 atribuie în mod explicit „responsabilitatea deplină și finală" conducerii superioare.
Strategie de risc ICT aprobată de consiliu, cu toleranță și apetit la risc definite, revizuire periodică și linii clare de responsabilitate.
Inventar cuprinzător al tuturor activelor ICT, proceselor de business și dependențelor, clasificate după criticitate și sensibilitatea informațiilor.
Politici de securitate a informațiilor, managementul identității și accesului, controale criptografice, segmentarea rețelei și securitate fizică.
Monitorizare continuă a rețelei și a sistemelor informatice, cu proceduri definite de alertare și triaj pentru activitatea anormală.
Proceduri de răspuns documentate, planuri de continuitate a activității, planuri de răspuns și recuperare ICT, cu testare periodică.
Politici de backup aliniate la obiectivele de timp de recuperare și de punct de recuperare, cu proceduri de restaurare documentate și verificarea integrității.
Analize post-incident, integrarea informațiilor despre amenințări, reevaluare periodică și îmbunătățirea continuă a cadrului.
Articolul 5 face organul de conducere — nu CISO — responsabil pentru aprobarea, supravegherea și revizuirea cadrului de management al riscului ICT. Membrii trebuie să aibă suficiente cunoștințe ICT pentru a contesta propunerile și a supraveghea execuția.
Pilonul 2: Cronologia Raportării Incidentelor
DORA introduce criterii armonizate de clasificare a incidentelor și o cronologie de raportare unificată care înlocuiește mozaicul de obligații de notificare naționale și sectoriale. Cronometrul pornește în momentul în care o entitate ia cunoștință de un incident major legat de ICT, definit prin standardele tehnice publicate de ESA.
Entitatea financiară trebuie să clasifice incidentul în raport cu criteriile de severitate armonizate cât mai curând posibil după detecție.
Notificarea autorității competente cu privire la un incident major, cu o descriere de nivel înalt, domeniul de aplicare și o evaluare inițială a impactului.
Furnizarea unei evaluări actualizate cu statusul curent, impactul, ipoteza cauzei-rădăcină și acțiunile întreprinse până în prezent.
Depunerea unei analize cuprinzătoare a cauzei-rădăcină, a lecțiilor învățate, a acțiunilor de remediere și a actualizărilor aduse cadrului de management al riscului.
DORA armonizează raportarea din bănci, asigurători, firme de investiții și locuri de tranzacționare într-o singură cronologie. Este o simplificare majoră față de vechiul mozaic de ghiduri EBA, ESMA și EIOPA, însă pragul pentru incidentele „majore" este stabilit în mod deliberat larg.
Pilonul 3: Testarea Rezilienței
DORA impune un program bazat pe risc de testare a rezilienței operaționale digitale cel puțin anual, care acoperă toate sistemele ICT critice. Pentru entitățile considerate semnificative de către supraveghetor, programul trebuie să culmineze cu un Threat-Led Penetration Test (TLPT) o dată la trei ani, realizat în conformitate cu cadrul TIBER-EU.
Scanare automatizată a vulnerabilităților de rețea, host și aplicație, cu remediere prioritizată în funcție de expunere.
Recunoaștere externă a suprafeței de atac expuse a entității, inclusiv filialele și componentele din lanțul de aprovizionare.
Analize de arhitectură, teste de segmentare și audituri de configurație ale componentelor critice de rețea.
Analiză statică și dinamică a codului de aplicație intern și externalizat, inclusiv a dependențelor.
Testare manuală orientată pe obiective a securității aplicațiilor și infrastructurii, sub ipoteze adversariale realiste.
Testare avansată trienală pentru entitățile semnificative, definită în raport cu actorii de amenințare reali care vizează sectorul financiar.
Exerciții tabletop și live care acoperă scenarii de întrerupere a activității, defecțiuni ale terților și comunicare de criză.
TLPT este vârful programului de testare. Trebuie realizat de testeri externi independenți, definit în raport cu informațiile actuale despre amenințări și raportat supraveghetorului. Cadrul TIBER-EU oferă modelul operațional, guvernanța și standardele pentru red team.
Pilonul 4: Managementul Riscului Terților ICT
Articolul 28 și următoarele introduc cel mai exigent regim de risc al terților ICT din reglementarea financiară a UE de până acum. Entitățile financiare trebuie să aplice un ciclu de viață structurat fiecărui acord de externalizare ICT, de la diligența precontractuală până la strategiile de ieșire documentate. TPP ICT critici sunt supuși supravegherii directe a UE în cadrul unui regim de supraveghere paralel.
Evaluare documentată a posturii de securitate a furnizorului, a stabilității financiare, a jurisdicției, a subexternalizării și a riscului de concentrare înainte de semnarea contractului.
Un registru complet și structurat al tuturor contractelor ICT într-un format prescris de ESA, disponibil supraveghetorilor la cerere.
Articolul 30 impune o listă definită de clauze care includ drepturi de audit, localizarea datelor, cooperarea în incidente, strategii de ieșire și controale privind subexternalizarea.
Supraveghere continuă a performanței furnizorului, a posturii de securitate și a respectării SLA-urilor contractuale, inclusiv a acordurilor de notificare a incidentelor.
Identificarea și limitarea dependențelor de un singur furnizor, în special pentru funcțiile critice sau importante.
Planuri de ieșire testate și actuale pentru fiecare furnizor al unei funcții critice sau importante, inclusiv extragerea datelor și tranziția către alt furnizor.
Articolul 31 introduce desemnarea de Furnizor Terț ICT Critic. Furnizorii desemnați sunt supuși supravegherii directe de către supraveghetorul principal al UE și trebuie să respecte inspecțiile la fața locului, recomandările obligatorii și amenzile semnificative.
Sancțiuni și Aplicare
DORA instituie un regim sancționator pe două căi. Entitățile financiare sunt sancționate de autoritățile lor naționale competente în baza dreptului național existent, iar sumele maxime variază de la un stat membru la altul. TPP ICT critici sunt supuși unor amenzi directe la nivelul UE.
Responsabilitatea personală a organelor de conducere
Articolul 5 plasează responsabilitatea finală asupra membrilor organului de conducere. Aceștia trebuie să aprobe cadrul de management al riscului ICT, să aprobe strategia de reziliență operațională digitală, să supravegheze implementarea și să dețină suficiente cunoștințe ICT pentru a-și îndeplini aceste atribuții. Nerespectarea poate duce la sancțiuni personale în baza dreptului național și la măsuri directe de aplicare.
DORA vs NIS2 — Cum Interacționează
DORA este lex specialis (legea specializată) pentru sectorul financiar. Acolo unde atât DORA, cât și NIS2 s-ar aplica aceleiași entități financiare, prevalează DORA. Totuși, grupurile financiare includ frecvent filiale nefinanciare care rămân sub NIS2, iar cele două regimuri se suprapun puternic în fond — ceea ce face esențial un program de conformitate unificat.
| Aspect | DORA | NIS2 |
|---|---|---|
| Focus sectorial | Exclusiv servicii financiare | 18 sectoare critice, inclusiv infrastructura digitală |
| Instrument juridic | Regulament direct aplicabil | Directivă (transpunere națională necesară) |
| Notificare inițială | În 24 de ore | În 24 de ore |
| Obligația de testare | TLPT o dată la 3 ani (entități semnificative) | Testare periodică de securitate (fără cadență fixă) |
| Regimul terților | Listă contractuală detaliată (Articolul 30) | Obligație de securitate a lanțului de aprovizionare la nivel înalt |
| Supraveghere directă UE | Da — pentru TPP ICT critici | Nu (doar supraveghetori naționali) |
| Model sancționator | Național + amenzi UE directe pentru TPP | Doar autorități naționale |
Pentru entitățile supuse ambelor, răspunsul practic este proiectarea unui singur program de risc ICT care să satisfacă cerința mai strictă dintre cele două pentru fiecare subiect. DORA este mai prescriptiv privind contractele, testarea și clasificarea incidentelor; NIS2 are o aplicabilitate sectorială mai largă și sancțiuni mai stricte pentru grupul financiar în ansamblu.
Foaie de Parcurs pentru Implementare
O abordare pe etape a conformității DORA este mai sustenabilă decât un singur program de tip big-bang. Majoritatea entităților vizate sunt deja la doi sau trei ani în acest parcurs. Etapele de mai jos descriu ce ar trebui să fie în vigoare astăzi, ce ar trebui să fie operațional până la sfârșitul lui 2026 și cum arată practica continuă dincolo de aceasta.
Etapa 1 — Domeniu de aplicare și analiză de lacune
- Confirmă domeniul de aplicare DORA la nivelul tuturor entităților juridice și al filialelor grupului.
- Mapează cadrul actual de management al riscului ICT față de cei cinci piloni.
- Inventariază toate acordurile cu terți ICT și identifică funcțiile critice/importante.
- Identifică aplicabilitatea TLPT și pregătește-te pentru testarea trienală.
Etapa 2 — Cadru și contracte
- Documentează cadrul de management al riscului ICT, aprobat de organul de conducere.
- Renegociază contractele cu furnizorii ICT critici pentru a adăuga clauzele din Articolul 30.
- Construiește registrul de informații în formatul prescris de ESA.
- Definește strategii de ieșire documentate pentru fiecare furnizor critic sau important.
Etapa 3 — Testare și operațiuni de incidente
- Operaționalizează clasificarea armonizată a incidentelor și cronologia de 4/24/72h/1 lună.
- Pune în funcțiune un program de testare continuă care acoperă toate sistemele critice.
- Desfășoară primul ciclu TLPT pentru entitățile desemnate ca semnificative.
- Validează metricile de risc de concentrare și documentează planurile de atenuare.
Etapa 4 — Îmbunătățire continuă
- Revizuire anuală de către consiliu a strategiei de risc ICT și a toleranței la risc.
- Analize trimestriale ale performanței și concentrării terților.
- Integrarea continuă a informațiilor despre amenințări și partajarea informațiilor.
- Lecțiile învățate din fiecare incident major reintroduse în cadru.
Cum Susține Orizon Conformitatea DORA
Platforma Orizon a fost concepută în jurul aceluiași catalog de controale pe care DORA îl armonizează în sectorul financiar al UE. Fiecare produs Orizon se mapează pe unul sau mai mulți piloni și contribuie cu dovezi structurate și auditabile care satisfac așteptările supraveghetorului.
Pașii următori
- Programează o evaluare de scoping DORA cu echipa noastră de conformitate pentru a valida statutul de entitate vizată și lacunele actuale.
- Solicită o analiză de lacune față de cei cinci piloni, bazată pe controalele și contractele tale existente.
- Începe o scanare RECON gratuită pentru a stabili o linie de bază a suprafeței tale de atac externe — inclusiv furnizorii critici.
Contact: [email protected] · orizon.one/solutions/nis2-compliance · Sediu în UE, infrastructură suverană.