Пояснення Digital Operational Resilience Act (DORA)

Якщо ви працюєте у сфері цифрових операцій, вам варто знати про Digital Operational Resilience Act (DORA). Цей закон допомагає фінансовим установам та ключовим постачальникам послуг підготуватися до кібератак або системних збоїв. Як це впливає на ваш бізнес? DORA забезпечує стабільність і безперебійність ваших операцій під час викликів, з якими стикається цифрове середовище.

У цій статті пояснюються ключові моменти DORA: від цілей і вимог щодо відповідності до того, як цей регламент впливає на бізнес у ЄС та за його межами. Незалежно від того, працюєте ви в ЄС чи з клієнтами з ЄС, розуміння DORA має вирішальне значення для підтримки стійкості у світі, що дедалі більше цифровізується. Ми також розповімо, як DORA впливає на серверний трекінг і як Stape підходить до нового регламенту.

Stape повністю відповідає вимогам DORA, гарантуючи найвищий рівень захисту даних і надійності сервісу.

Регламент DORA — це визначний законопроєкт ЄС. Він покликаний посилити ІТ-безпеку та операційну стійкість європейських фінансових установ. Він набув чинності 16 січня 2023 року. Відповідність DORA стає обов'язковою з 17 січня 2025 року. DORA визнано ефективним інструментом управління цифровими ризиками у фінансовому секторі.

NIS2 та DORA — це дві ключові структури кібербезпеки та цифрової стійкості. Перша, NIS2, зосереджена на сприянні заходам безпеки для критично важливих послуг у ЄС. Друга, Digital Operational Resilience Act, спрямована на посилення операційної витривалості фінансових установ. Разом вони відіграють вирішальну роль у захисті цифрової інфраструктури Європи від нових кіберзагроз.

У вересні 2023 року Європейська комісія роз'яснила взаємозв'язок між цими двома структурами у своїй Директиві NIS2:

• Директива NIS2 спрямована на такі критичні сектори, як енергетика, транспорт, водопостачання, охорона здоров'я та цифрова інфраструктура. Вона має на меті захистити ці життєво важливі послуги шляхом запровадження суворіших вимог до кібербезпеки та вдосконалення можливостей реагування на інциденти.
• Натомість DORA розроблено для фінансового сектору, що охоплює такі установи, як банки, страхові компанії та інвестиційні фірми. Регламент встановлює комплексні вимоги до управління ризиками, пов'язаними з інформаційно-комунікаційними технологіями (ІКТ), гарантуючи, що фінансові установи зможуть протистояти збоям у сфері ІКТ, реагувати на них і відновлюватися після них.

Як наслідок, фінансові установи та постачальники ІКТ-послуг у ЄС мають виконати вимоги DORA до 17 січня 2025 року. Кожна держава-член ЄС несе відповідальність за забезпечення відповідності, а призначені регуляторні органи уповноважені вимагати впровадження конкретних заходів безпеки й усунення вже відомих вразливостей.

Недотримання вимог регламенту може призвести до суворих штрафних санкцій. Для «критичних» постачальників ІКТ, визначених Європейською комісією, невідповідність може призвести до штрафів у розмірі до 1% від їхнього середньодобового світового обороту за попередній фінансовий рік.

Фінансовий сектор як у світі, так і в Європі переживає сплеск кібератак, що є частиною ширшого зростання глобальних кіберзагроз.

Щоб вирішити цю проблему, Європа запровадила Digital Operational Resilience Act. Мета полягає в тому, щоб створити єдину систему кіберстійкості та забезпечити фінансову стабільність у всьому ЄС. DORA сприяє проактивним практикам, які допомагають організаціям зменшити вплив кіберзагроз на їхні ІКТ-системи.

DORA зосереджена на уніфікації регулювання по всій Європі. У минулому окремі країни мали різні підходи з відмінними правилами та наглядом. Усуваючи цю неузгодженість, DORA запроваджує послідовний підхід, який підтримує прагнення Європи до більшої законодавчої та економічної синхронізації.

Для фінансових установ та інших суб'єктів, на яких поширюється дія регламенту, DORA надає додаткову перевагу у вигляді зрозуміліших юридичних зобов'язань щодо кібербезпеки та стійкості. Ця ясність діє транскордонно, забезпечуючи послідовні орієнтири та зменшуючи невизначеність щодо кіберзагроз.

Щоб краще зрозуміти відповідність DORA, розглянемо її цілі детальніше.

DORA має дві основні цілі:

1. 1.
   Створити комплексні практики управління ІКТ-ризиками для фінансового сектору, включно зі стандартами оцінки ризиків, звітування про інциденти та тестування стійкості.
2. 2.
   Гармонізувати правила управління ІКТ-ризиками в країнах-членах ЄС, створити рівні умови гри та зменшити складнощі з дотриманням вимог для фінансових організацій, які працюють у кількох країнах ЄС.

До появи DORA фрагментовані національні правила ускладнювали дотримання вимог для транскордонних фінансових установ. DORA вирішує цю проблему, запроваджуючи єдині регуляторні стандарти, мінімізуючи плутанину та підвищуючи безпеку в усьому фінансовому секторі ЄС.

Закон DORA поширюється на понад 22 000 фінансових установ та ІКТ-сервісів, що працюють у ЄС, а також на ІКТ-інфраструктуру, яка підтримує їх за межами ЄС. Він впливає на різні фінансові системи, зокрема:

• Банки
• Страхові компанії
• Інвестиційні фірми
• Платіжні процесори
• Фондові біржі
• Суб'єкти ринкової інфраструктури
• Рейтингові агентства
• Постачальники послуг, пов'язаних із криптоактивами

Крім того, DORA поширюється на критично важливих постачальників ІКТ-послуг, які підтримують ці установи. Організації повинні визначати залежності від сторонніх постачальників ІКТ та диверсифікувати їх, щоб уникнути надмірної залежності від одного або обмеженої групи постачальників.

Основні вимоги DORA полягають у наступному:

Відповідно до статті 6, DORA вимагає створення надійної, комплексної та добре задокументованої системи управління ІКТ-ризиками, що є невіддільною частиною загальної системи управління ризиками установи. До ключових елементів належать:

• Ідентифікація та оцінка ризиків. Регулярна оцінка та документування ІКТ-ризиків, включно з тими, що виникають через залежність від третіх сторін.
• Заходи захисту та запобігання. Необхідно впроваджувати стратегії, політики та інструменти для захисту систем і даних, як-от рішення безпарольного доступу для зменшення фішингових ризиків.
• Механізми виявлення. Використання технологій для швидкого виявлення аномалій і потенційних інцидентів безпеки.
• Планування реагування та відновлення. Розробка планів безперервності бізнесу та антикризового управління.
• Навчання та вдосконалення. Постійне поліпшення систем на основі минулих інцидентів і результатів тестування.

DORA також вимагає призначення відповідальної особи за нагляд за управлінням ІКТ-ризиками, що забезпечує чітку підзвітність та ефективне управління.

Управління інцидентами та звітування про них є центральними аспектами DORA. Установам необхідно налагодити системи для відстеження та категоризації інцидентів, пов'язаних з ІКТ. Відповідно до статті 19, організації повинні подавати:

• Початковий звіт протягом визначеного терміну після виявлення значного інциденту.
• Проміжний звіт, якщо статус інциденту суттєво змінюється.
• Остаточний звіт після завершення аналізу першопричин та оцінки впливу інциденту.

Крім того, відповідно до статей 18–20, організації зобов'язані:

• Класифікувати ІКТ-інциденти на основі заздалегідь визначених рівнів впливу.
• Використовувати стандартизовані шаблони для звітування про інциденти перед регуляторними органами.
• Оперативно сповіщати кінцевих користувачів і клієнтів про серйозні інциденти та заходи щодо пом'якшення їхніх наслідків.
• Забезпечити подання звітів до кінця робочого дня або протягом чотирьох годин наступного робочого дня, якщо інцидент стався незадовго до закінчення робочого дня.

Відповідно до статті 25, DORA вимагає регулярного тестування систем управління ІКТ-ризиками для перевірки їхньої ефективності. Етапи тестування включають:

• Оцінка вразливостей. Регулярне сканування для виявлення слабких місць у системах і додатках.
• Оцінка безпеки мережі та інфраструктури. Тестування мережевого захисту.
• Тестування безпеки додатків. Оцінка програмного забезпечення, що використовується для критично важливих бізнес-функцій.
• Тестування на основі сценаріїв. Симуляція різних сценаріїв кіберзагроз для оцінки здатності реагування.
• Тестування на проникнення на основі загроз. Поглиблене тестування для критично важливих фінансових установ, що проводиться щонайменше раз на три роки.

Крім того, стаття 26 вимагає від організацій проводити тестування на проникнення для ІКТ-процесів, які підтримують критичні функції, включно з послугами на аутсорсингу.

Визнаючи важливість постачальників ІКТ-послуг, DORA запроваджує суворі вимоги до управління ризиками третіх сторін, зокрема:

• Due diligence. Оцінка постачальників ІКТ перед укладанням договорів.
• Договірні гарантії: включення до угод положень щодо безпеки, звітування про інциденти та прав на аудит.
• Постійний моніторинг. Регулярна оцінка ефективності та заходів безпеки третіх сторін.
• Стратегії виходу. Розробка планів переходу від одного постачальника до іншого за потреби.

DORA також створює механізми нагляду за критично важливими сторонніми постачальниками ІКТ, дозволяючи наглядовим органам ЄС безпосередньо контролювати дотримання вимог.

5. Обмін інформацією

DORA заохочує співпрацю між надійними фінансовими організаціями для:

• Підвищення обізнаності про ризики, пов'язані з ІКТ.
• Мінімізації поширення векторів ІКТ-загроз.
• Обміну захисними стратегіями, методами зменшення ризиків і даними про кіберзагрози.

Підготовка до відповідності DORA

Досягнення відповідності DORA може здатися складним завданням, проте стає цілком здійсненним за чіткого підходу. Перегляньте свої практики кібербезпеки та план управління ризиками, щоб виявити сфери для вдосконалення. Регулярне навчання для всіх працівників, включно з керівництвом, є обов'язковим для створення сильної та підготовленої команди.

Перегляньте контракти з постачальниками ІКТ-послуг, щоб переконатися, що вони відповідають стандартам DORA. Створіть вичерпний перелік усіх угод, включно з хмарними сервісами та постачальниками програмного забезпечення, щоб виявити залежності та знизити ризики. Зробивши ці стратегічні кроки, ваша організація зможе зміцнити свою операційну стійкість і відповідати вимогам DORA.

Дотримуючись цих заходів, організації можуть відповідати високим стандартам DORA щодо управління ІКТ-ризиками та операційної стійкості.

Регламент DORA запроваджує єдині європейські стандарти стійкості, про які варто знати бізнесу у Великій Британії.

Фірми, діяльність яких регулюється у Великій Британії, повинні відповідально й ефективно управляти операційними ризиками та забезпечувати організацію своєї діяльності за допомогою надійних систем управління ризиками. Правила Управління з фінансового нагляду (FCA) окреслюють це зобов'язання, яке включає положення про менеджмент і корпоративне управління, управління ризиками, внутрішній контроль, безперервність бізнесу, планування на випадок надзвичайних ситуацій та практики аутсорсингу.

Ці наявні вимоги зараз розширюються новими положеннями, спрямованими на операційну стійкість. Фреймворк кібербезпеки DORA додатково посилює ці заходи, гарантуючи, що компанії комплексно підходять до ІКТ-ризиків і захищаються від цифрових загроз. Оновлений режим упроваджує вимоги для певних типів компаній і пропонує розширити їх на постачальників послуг, які не регулюються FCA.

Режим операційної стійкості Великої Британії

Британський режим операційної стійкості застосовує ширший підхід до операційних ризиків, ніж DORA в ЄС. Він робить акцент на здатності компанії протистояти збоям — не лише тим, що виникають через цифрові чи ІКТ-інциденти.

Цей фреймворк поширюється на банки, страховиків і великі інвестиційні компанії. Якщо вони відповідають певним критеріям, до них також можуть бути включені компанії з управління активами.

На відміну від DORA, британський фреймворк враховує ширший спектр ризиків і застосовує більш комплексний підхід до стійкості.

Британський фреймворк охоплює менше організацій, ніж DORA, але має ширший погляд на стійкість. Він виходить за межі цифрових ризиків і зосереджується на тому, щоб допомогти бізнесу справлятися зі збоями з будь-яких джерел.

Що таке відповідність вимогам DORA? Це черговий регуляторний акт чи можливість переосмислити те, як бізнес вирішує питання стійкості та кібербезпеки? Для багатьох це новий старт — шанс замінити розрізнені системи єдиним підходом, що формує довіру та стабільність у цифровому світі.

Відповідність DORA спонукає бізнес діяти проактивно, усувати ІКТ-ризики та гарантувати стійкість усього ланцюга постачання, включно зі сторонніми постачальниками послуг. DORA підштовхує організації робити свою діяльність стійкішою до кіберзагроз і узгоджувати її з баченням Європи щодо безпечної та взаємопов'язаної економіки.

Справжня цінність відповідності DORA залежить від реакції бізнесу. Чи сприймуть це як виклик, чи як можливість зміцнити стійкість і отримати конкурентну перевагу? Час покаже.

Серверний трекінг допомагає компаніям відповідати таким нормативним актам, як DORA, покращуючи безпеку та надійність даних. Stape працює над забезпеченням відповідності стандартам DORA, коли вони набудуть чинності. 

Stape відповідає стандартам ISO 27001, HIPAA та GDPR, щоб захищати дані та гарантувати конфіденційність. Ми прагнемо відповідати актуальним нормативним вимогам і надавати безпечні та надійні рішення для трекінгу. Stape — це безпечний і надійний партнер для будь-якого бізнесу, який хоче захистити свої дані та водночас отримати максимум від свого налаштування трекінгу.

Які технічні стандарти передбачає DORA?

DORA встановлює обов'язкові технічні стандарти для фінансових установ та їхніх ключових сторонніх постачальників ІКТ-послуг, які вони мають інтегрувати у свої системи до 17 січня 2025 року.

DORA окреслює свої технічні вимоги в чотирьох ключових сферах:

• Управління ІКТ-ризиками та керівництво. Необхідно створити надійні фреймворки для управління технологічними ризиками.
• Реагування на інциденти та звітність. Необхідно забезпечити ефективні процеси обробки ІКТ-інцидентів та звітування про них.
• Тестування цифрової операційної стійкості. Необхідне регулярне тестування для оцінки стійкості ІКТ-систем.
• Управління ризиками сторонніх постачальників. Необхідно посилити нагляд за зовнішніми постачальниками технологій.

Хоча DORA заохочує обмін інформацією для зміцнення колективної стійкості, це залишається добровільним.

Вимоги застосовуватимуться пропорційно: менші суб'єкти матимуть менше зобов'язань, ніж великі фінансові установи. Хоча конкретні регуляторні технічні стандарти (RTS) та імплементаційні технічні стандарти (ITS) ще розробляються, законодавство вже встановлює чіткі очікування щодо відповідності.

Чи передбачені штрафи за недотримання вимог DORA?

Після того як стандарти DORA будуть остаточно узгоджені й настане дедлайн у січні 2025 року, призначені регулятори в кожній державі-члені ЄС, які називаються «компетентними органами», забезпечуватимуть їхнє виконання. Ці органи матимуть право вимагати від фінансових установ упровадження конкретних заходів безпеки для усунення вразливостей з метою дотримання вимог DORA. Вони також визначатимуть покарання за недотримання вимог. Такі санкції включають адміністративні, а в деяких випадках і кримінальні покарання на розсуд кожної країни.

Європейська комісія класифікує постачальників ІКТ як «критично важливих», а нагляд здійснюватиметься безпосередньо провідними кураторами з Європейських наглядових органів (ESA). Як і компетентні органи, ці провідні куратори можуть вимагати покращення безпеки, контролювати заходи з усунення недоліків і накладати штрафи за недотримання вимог. 

Чим DORA відрізняється від інших нормативних актів у сфері кібербезпеки?

DORA — це один із багатьох важливих регламентів у сфері кібербезпеки, які набудуть чинності в найближчі роки. Директива NIS2, що починає застосовуватися в жовтні 2024 року, також встановлює вимоги до цифрової безпеки для європейських компаній та організацій.

Відповідність вимогам DORA в ЄС покликана стандартизувати практики операційної стійкості та кібербезпеки у фінансовому секторі в усіх державах-членах. DORA адаптована до фінансового сектора та враховує його потреби. NIS2 має ширше охоплення, розповсюджуючись на всі критично важливі сектори, як-от енергетика, охорона здоров'я та транспорт.

Юридичний підхід DORA відрізняється від NIS2. DORA — це регламент (Act), який застосовується однаково в усіх країнах-членах ЄС, тоді як NIS2 є директивою, яка має бути імплементована в національне законодавство кожної держави-члена.

Хоча обидва акти зосереджені на підвищенні ІТ-безпеки, DORA матиме пріоритет у фінансовому секторі та слугуватиме основною регуляторною базою.

Чи може DORA вплинути на бізнес за межами ЄС, який працює з установами ЄС?

Акт ЄС DORA суттєво впливає на фінансові організації за межами ЄС, зокрема на ті, які обслуговують ринок ЄС або працюють на ньому.

Ці суб'єкти повинні відповідати стандартам DORA, щоб зберегти доступ до ринку та продовжувати співпрацю з клієнтами з ЄС. Це означає збільшення витрат на відповідність вимогам, операційні коригування та можливі зміни стратегії.

DORA також впливає на організації за межами ЄС, включаючи їх у ланцюги постачання фінансових установ ЄС і встановлюючи суворі вимоги до всієї екосистеми.

У результаті вплив DORA виходить за межі ЄС. Він формує світовий фінансовий сектор і підкреслює важливість операційної стійкості в усьому світі.

Stape повністю відповідає вимогам DORA, що гарантує дотримання найвищих стандартів захисту даних і надійності сервісу. Ми розуміємо важливість DORA та її роль у захисті цілісності цифрових послуг на території ЄС. Детальну інформацію про нашу відповідність стандартам ви можете знайти в нашому Trust Center, де ми демонструємо нашу відданість операційній стійкості та захисту даних користувачів.

У світі, де кіберзагрози стають частішими та масштабнішими, ми повинні робити все можливе, щоб створити надійний захист від них. Такі нормативні акти, як DORA, допомагають бізнесу готуватися до ризиків і належним чином реагувати на них. Мета DORA — підтримувати безпеку систем, захищати дані клієнтів і забезпечувати безперебійну роботу в нестабільні часи. 

• Директива NIS 2
• Акт про цифрову операційну стійкість (DORA) — Регламент (ЄС) 2022/2554
• Акт про цифрову операційну стійкість (DORA)
• Акт про цифрову операційну стійкість (DORA)
• Що таке Акт про цифрову операційну стійкість (DORA)?