数字运营韧性法案（DORA）详解

如果您从事数字化运营工作，就应当了解《数字运营韧性法案》（DORA）。该法案旨在帮助金融机构及关键服务提供商做好防范网络攻击或系统故障的准备。这对您的业务有何影响？DORA 能确保您的业务在数字化环境面临重重挑战时，依然保持稳定平稳运行。

本文将详解 DORA 的核心要点，涵盖其目标、合规要求以及对欧盟本土与非欧盟企业的影响。无论您是在欧盟境内运营，还是服务欧盟客户，在这个日益数字化的世界中，理解 DORA 对保持业务韧性都至关重要。我们还将探讨服务端跟踪如何受到 DORA 的影响，以及 Stape 如何应对这一新法规。

Stape 完全符合 DORA 规范，确保顶级的数据保护与服务可靠性。

DORA 法规是欧盟的一项里程碑式法案。它旨在强化欧洲金融机构的 IT 安全与运营韧性。该法案于 2023 年 1 月 16 日生效，并于 2025 年 1 月 17 日起强制合规执行。DORA 被公认为管理金融领域数字风险的有效工具。

NIS2 和 DORA 是网络安全与数字韧性领域的两大核心框架。前者 NIS2 侧重于促进欧盟关键服务领域落实安全措施；后者《数字运营韧性法案》则旨在增强金融机构的运营承受能力。二者相辅相成，在保护欧洲数字基础设施免受新兴网络威胁侵害方面发挥着关键作用。

2023 年 9 月，欧盟委员会在其 NIS2 指令中阐明了这两个框架之间的关系：

• NIS2 指令针对能源、交通、供水、医疗保健和数字基础设施等关键行业。它通过引入更严格的网络安全要求并提高事件应急响应能力，旨在保护这些至关重要的核心服务。
• 相比之下，DORA 专为金融行业量身定制，涵盖银行、保险公司和投资机构等实体。它为管理信息与通信技术（ICT）相关风险设立了全方位要求，确保金融机构能够抵御、响应 ICT 相关中断并从中恢复。

因此，欧盟境内的金融机构和 ICT 服务提供商必须在 2025 年 1 月 17 日之前满足 DORA 的要求。各欧盟成员国负责确保合规落实，指定的监管机构有权强制推行特定安全措施并排查已知漏洞。

未能遵守该法规可能会导致严厉处罚。对于被欧盟委员会指定为“关键”的 ICT 提供商，违规罚款可能高达其上一财年全球日均营业额的 1%。

无论是全球还是欧洲内部，金融行业遭受的网络攻击都在激增，这正是全球网络威胁日益加剧的一部分。

为此，欧洲推出了《数字运营韧性法案》。其目标是建立统一的网络韧性体系，确保整个欧盟的金融稳定。DORA 提倡主动防御实践，帮助各机构减轻网络威胁对其 ICT 系统造成的冲击。

DORA 致力于统一欧洲各国的监管要求。过去，各国各自为政，规则和监管方式各不相同。针对这种缺乏协同性的局面，DORA 引入了一致的方法，有力推动了欧洲实现更广泛的立法与经济协同目标。

对于金融机构和其他相关实体而言，DORA 的另一大优势是提供了更加清晰明确的网络安全与韧性法律义务。这种清晰度打破了国界限制，提供了统一指导，减少了面对网络威胁时的不确定性。

为了更好地理解 DORA 合规，让我们深入探讨 DORA 的核心目标。

DORA 有两大核心目标：

1. 1.
   为金融行业建立全面的 ICT 风险管理实践，包括风险评估、事件报告和韧性测试标准。
2. 2.
   统一欧盟成员国的 ICT 风险管理法规，营造公平的竞争环境，并降低在多个欧盟国家运营的金融实体的合规难度。

在 DORA 出台前，各国支离破碎的法规使得跨境金融机构难以合规。DORA 通过引入统一的监管标准解决了这一难题，在最大程度上减少混乱，并提升了整个欧盟金融行业的安全性。

DORA 法案适用于欧盟境内运营的 22,000 多家金融机构和 ICT 服务商，以及在欧盟境外为其提供支持的 ICT 基础设施。它涵盖各类金融系统，包括：

• 银行
• 保险公司
• 投资机构
• 支付处理机构
• 证券交易所
• 市场基础设施实体
• 信用评级机构
• 加密资产服务提供商

此外，DORA 的适用范围还延伸至为这些机构提供支持的关键 ICT 服务提供商。各机构必须识别对第三方 ICT 提供商的依赖关系，并实现多元化布局，以避免过度依赖单一或极少数供应商。

DORA 的核心要求如下：

根据 第 6 条，DORA 强制要求建立稳健、全面且文档详备的 ICT 风险管理框架，作为机构整体风险管理系统不可或缺的一部分。其核心要素包括：

• 风险识别与评估：定期评估并记录 ICT 风险，包括因第三方依赖产生的风险。
• 保护与预防措施：必须实施保护系统和数据的策略、政策和工具，例如采用无密码访问解决方案来降低网络钓鱼风险。
• 检测机制：利用技术手段迅速识别异常和潜在安全事件。
• 响应与恢复规划：制定业务连续性与危机管理计划。
• 培训与改进：根据以往事件经验和测试结果持续优化系统。

DORA 还要求指定负责监督 ICT 风险管理的责任方，以确保职责明确和治理有效。

事件管理与报告是 DORA 的核心内容。各机构需要建立系统来跟踪并归类 ICT 相关事件。根据 第 19 条，各机构必须提交：

• 在发现重大事件后的规定时限内提交初次报告。
• 若事件状态发生重大变化，提交中期报告。
• 在完成根本原因分析并评估事件影响后提交最终报告。

此外，根据第 18–20 条，各机构还必须：

• 根据预设的影响级别对 ICT 事件进行分级。
• 使用标准化模板向监管机构报告事件。
• 及时向最终用户和客户通报严重事件及相应的影响缓解措施。
• 确保在工作日结束前提交报告；若事件发生在临近工作日结束时，则须在下一个工作日的 4 小时内提交。

根据 第 25 条，DORA 强制要求定期测试 ICT 风险管理系统以确保其有效性。测试步骤包括：

• 漏洞评估：定期扫描以发现系统和应用程序中的弱点。
• 网络和基础设施安全评估：测试网络防御能力。
• 应用程序安全测试：评估用于关键业务功能的软件。
• 基于场景的测试：模拟各类网络威胁场景以评估应急响应能力。
• 威胁导向的渗透测试：针对关键金融机构的高级测试，至少每三年进行一次。

此外，第 26 条 要求各机构针对支持关键功能的 ICT 流程（包括外包服务）开展渗透测试。

鉴于 ICT 服务提供商的重要性，DORA 引入了严格的第三方风险管理要求，包括：

• 尽职调查：在签订合同前对 ICT 提供商进行评估。
• 合同保障：在协议中纳入关于安全性、事件报告和审计权的条款。
• 持续监控：定期评估第三方的绩效和安全措施。
• 退出策略：制定在必要时从一家提供商平稳过渡到另一家的方案。

DORA 还建立了针对关键第三方 ICT 提供商的监管框架，使欧盟监管机构能够直接监督合规情况。

5. 信息共享

DORA 鼓励值得信赖的金融机构之间开展合作，以便：

• 提高对 ICT 相关风险的防范意识。
• 尽可能减少 ICT 威胁载体的扩散。
• 共享防御策略、缓解技术和威胁情报。

为满足 DORA 合规做好准备

实现 DORA 合规看似复杂，但只要方法得当，便可轻松掌控。全面审查您的网络安全实践和风险管理计划，找出有待改进的环节。为包括管理层在内的全体员工开展定期培训，是打造一支实力过硬、随时待命的团队的关键所在。

审查与 ICT 服务提供商签订的合同，确保其符合 DORA 的标准。对所有协议（包括云服务和软件提供商）建立详细清单，以识别依赖关系并降低风险。采取这些战略举措，您的机构不仅能增强运营韧性，还能全面对标 DORA 的要求。

通过严格执行这些措施，各机构即可达到 DORA 在 ICT 风险管理和运营韧性方面设立的高标准。

DORA 法规引入了欧洲统一的韧性标准，英国企业对此也应保持充分关注。

受英国监管的企业必须以负责任且有效的方式管理运营风险，并确保通过健全的风险管理系统统筹各项业务。英国金融行为监管局（FCA）的规则明确了这一义务，其中包括有关管理与治理、风险管理、内部控制、业务连续性、应急预案及外包实践等方面的条款。

这些现有要求目前正在扩展，增加了针对运营韧性的新条款。DORA网络安全框架进一步强化了这些措施，确保企业能够全面应对ICT风险并抵御数字威胁。更新后的制度对特定类型的企业提出了要求，并提议将其范围扩大到不受FCA监管的服务商。

英国运营韧性制度

相比欧盟的DORA，英国的运营韧性制度在应对运营风险时采取了更广泛的方法。它强调企业抵御中断的能力——不仅限于由数字或ICT事件引起的中断。

该框架适用于银行、保险公司和大型投资机构。如果符合特定标准，资产管理机构也可能被纳入其中。

与DORA不同，英国框架考量了更广泛的风险，并在韧性管理上采取了更全面的方法。

英国框架覆盖的机构数量少于DORA，但对韧性的视角更为宽广。它超越了单纯的数字风险，侧重于帮助企业应对来自任何来源的中断。

什么是DORA合规？它只是一项新规，还是一个让企业重新思考如何应对韧性与网络安全的契机？对许多企业而言，这是一个全新的开端——一个以统一方案取代分散系统、在数字世界中建立信任与稳定性的机会。

DORA合规要求企业树立主动应对的心态，化解ICT风险，并确保涵盖第三方服务商在内的整个供应链的韧性。DORA推动各机构提升运营对网络威胁的抵御能力，并契合欧洲打造安全互联经济的愿景。

DORA合规的实际价值取决于企业的应对方式。他们会将其视作挑战，还是将其视为强化韧性、获取竞争优势的机遇？时间会给出答案。

服务端跟踪通过提高数据安全性和可靠性，帮助企业满足DORA等法规的要求。Stape正积极开展工作，以确保在该标准生效时完全符合DORA规范。 

Stape符合ISO 27001、HIPAA和GDPR规范，致力于保护数据并确保隐私安全。我们始终关注最新法规动态，并提供安全可靠的跟踪解决方案。对于任何希望在充分利用跟踪配置的同时保护自身数据的企业而言，Stape都是安全可靠的合作伙伴。

DORA技术标准有哪些？

DORA设定了强制性技术标准，要求金融机构及其关键第三方ICT服务商在2025年1月17日之前将其整合至自身系统中。

DORA在四个关键领域概述了其技术要求：

• ICT风险管理与治理：必须建立健全的框架来管理与技术相关的风险。
• 事件响应与报告：必须确保建立处理和报告ICT事件的有效流程。
• 数字运营韧性测试：必须定期开展测试以评估ICT系统的韧性。
• 第三方风险管理：必须加强对外部技术服务商的监督。

虽然DORA鼓励通过信息共享来提升集体韧性，但这仍属于自愿性质。

这些要求将按比例原则适用，较小型实体承担的合规义务将少于大型金融机构。尽管具体的监管技术标准（RTSs）和实施技术标准（ITSs）仍在制定中，但该法规已设立了明确的合规预期。

违反DORA会有处罚吗？

一旦DORA标准最终敲定并迎来2025年1月的截止日期，各欧盟成员国指定的监管机构（称为“主管机关”）将负责执行。这些机构有权要求金融实体实施特定的安全措施以解决漏洞，从而满足DORA合规要求。他们还将决定违规处罚措施。此类处罚包括行政制裁，在某些情况下还会根据各国自主决定实施刑事制裁。

欧盟委员会将部分ICT服务商归类为“关键”服务商，其监管将直接由欧洲监管当局（ESAs）的牵头监督员负责。与主管机关一样，这些牵头监督员有权强制要求进行安全改进、执行整改措施，并对违规行为实施处罚。 

DORA与其他网络安全法规有何不同？

DORA是未来几年即将生效的众多重大网络安全法规之一。于2024年10月开始适用的NIS2指令同样为欧洲企业和机构确立了数字安全要求。

欧盟DORA合规旨在规范所有成员国内金融领域的运营韧性和网络安全实践。DORA专为金融部门量身定制，确保满足该行业的需求。而NIS2涵盖范围更广，涉及能源、医疗和交通等所有关键领域。

DORA的法律适用方式与NIS2不同。DORA是一项法案，直接统一定用于所有欧盟成员国；而NIS2作为一项指令，必须转化为各成员国的国内法方可实施。

虽然两者均侧重于提高IT安全性，但DORA在金融领域具有优先权，作为主要的监管框架适用。

与欧盟机构合作的非欧盟企业会受到DORA影响吗？

欧盟DORA法案对欧盟境外的金融机构产生重大影响，特别是那些为欧盟市场提供服务或在欧盟市场运营的机构。

这些实体必须符合DORA标准才能维持市场准入并继续与欧盟客户合作。这意味着合规成本增加、需要进行运营调整，并可能带来战略重心的转变。

DORA还将非欧盟机构纳入欧盟金融机构的供应链监管，从而在整个生态系统中强制推行严格的要求。

因此，DORA的影响力超越了欧盟边界，在重塑全球金融领域的同时，强调了全球范围内运营韧性的重要性。

Stape完全符合DORA标准，确保达到最高水平的数据保护和服务可靠性标准。我们深知DORA的重要性及其在维护欧盟全境数字服务完整性方面的作用。您可以在我们的信任中心中找到有关我们合规情况的详细信息，我们在其中展示了对运营韧性以及用户数据保护的坚定承诺。

在网络威胁日益频繁且严峻的当今时代，我们必须全力构筑坚固的防御屏障。DORA等法规有助于企业做好应对风险的准备并妥善处置风险。DORA旨在维护系统安全、保护客户数据，并确保业务在不稳定时期依然平稳运转。 

• NIS 2指令
• 数字运营韧性法案（DORA）- 欧盟条例 (EU) 2022/2554
• 数字运营韧性法案（DORA）
• 数字运营韧性法案（DORA）
• 什么是数字运营韧性法案（DORA）？