Законът за цифрова оперативна устойчивост, DORA(The Digital Operational Resilience Act)

Dora 1

Какво е DORA?

Законът за цифрова оперативна устойчивост (DORA - The Digital Operational Resilience Act) е регламент на Европейския съюз, който създава обвързваща рамка за управление на риска, свързан с информационните и комуникационни технологии (ИКТ) в рамките на финансовия сектор на ЕС. Целта му е да гарантира, че финансовите субекти и техните доставчици на технологични услуги са устойчиви на кибератаки и други ИКТ инциденти.

Според DORA, финансовите институции и техните доставчици трябва да изпълнят определени технически изисквания в своите ИКТ системи до 17 януари 2025 г., за да осигурят адекватна защита и непрекъсваемост на услугите.

Предназначение на DORA

Законът за цифрова оперативна устойчивост (DORA) има две основни цели: да осигури цялостно управление на риска от информационни и комуникационни технологии (ИКТ) в сектора на финансовите услуги и да хармонизира съществуващите разпоредби за управление на този риск в различните държави-членки на ЕС.

Преди приемането на DORA, регулациите за управление на риска в ИКТ бяха различни в отделните държави-членки, което създаваше затруднения за финансовите субекти. DORA въвежда универсална рамка с конкретни технически стандарти за смекчаване на риска, която цели да улесни спазването на регулациите в целия ЕС и да подобри устойчивостта на финансовия сектор срещу ИКТ инциденти.

Обхват на DORA

DORA се прилага за всички финансови институции в ЕС, включително традиционни субекти като банки, инвестиционни посредници и кредитни институции, както и за нетрадиционни субекти, като доставчици на услуги за криптоактиви и платформи за групово финансиране.

Освен това, DORA обхваща и доставчици на услуги трети страни, които предлагат ИКТ системи и услуги на финансови институции, като доставчици на облачни услуги и центрове за данни. Регламентът се прилага и за фирми, които предоставят критични информационни услуги, като доставчици на услуги за кредитен рейтинг и анализ на данни. Тази широка приложимост цели да засили цифровата оперативна устойчивост във всички аспекти на финансовия сектор.

Актуално състояние на DORA

DORA (The Digital Operational Resilience Act) беше предложена за първи път от Европейската комисия през септември 2020 г. като част от по-голям дигитален финансов пакет. Този пакет включва и регулации на крипто-активите и подобрения в дигиталната финансова стратегия на ЕС. Законодателството беше прието официално от Съвета на Европейския съюз и Европейския парламент през ноември 2022 г.

Финансовите институции и трети страни, които предоставят ИКТ услуги, имат краен срок до 17 януари 2025 г. да се съобразят с изискванията на DORA, преди да започне официалното прилагане.

Въпреки приемането на DORA, Европейските надзорни органи (ESA) все още финализират ключови подробности. ESA, които включват Европейския банков орган (EBA), Европейския орган за ценни книжа и пазари (ESMA) и Европейския орган за застраховане и професионално пенсионно осигуряване (EIOPA), работят по изготвянето на регулаторни технически стандарти (RTS) и технически стандарти за изпълнение (ITS). Очаква се тези стандарти да бъдат финализирани през 2024 г., заедно с рамката за надзор на критични доставчици на ИКТ, която Европейската комисия също разработва.

Изпълнение на ДОРА

След като стандартите бъдат финализирани и настъпи крайният срок през януари 2025 г., изпълнението ще падне върху определените регулатори във всяка държава-членка на ЕС, известни като „компетентни органи“. Компетентните органи могат да поискат от финансовите субекти да предприемат конкретни мерки за сигурност и да отстранят уязвимостите. Те също така ще могат да налагат административни, а в някои случаи и наказателни санкции на субекти, които не ги спазват. Всяка страна-членка сама ще определя своите наказания.

 

Доставчиците на ИКТ, които Европейската комисия счита за „критични“, ще бъдат пряко контролирани от водещи надзорници от ESA. Подобно на компетентните органи, водещите надзорници могат да изискват мерки за сигурност и коригиране и да санкционират несъответстващите ИКТ доставчици. DORA позволява на водещите надзорници да налагат глоби на доставчиците на ИКТ в размер на 1% от средния дневен световен оборот на доставчика през предходната стопанска година. Доставчиците могат да бъдат глобявани всеки ден до шест месеца, докато постигнат съответствие.

Изисквания на DORA

DORA установява технически изисквания за финансови субекти и доставчици на ИКТ в четири области:

  •  Управление и управление на риска в ИКТ
  • Реагиране и докладване на инциденти
  • Дигитално тестване на оперативна устойчивост
  • Управление на риска от трета страна
  • Споделянето на информация се насърчава, но не е задължително.

 Изискванията ще се прилагат пропорционално, което означава, че по-малките субекти няма да бъдат придържани към същите стандарти като големите финансови институции. Въпреки че RTS и ITS за всеки домейн са все още в процес на разработка, съществуващото законодателство на DORA предлага известна представа за общите изисквания.