DORA atitiktis

DORA nuo 2025 m. sausio 17 d. taikomas bankams, mokėjimo ir elektroninių pinigų įstaigoms, investicinėms įmonėms, draudikams, kriptoturto paslaugų teikėjams ir kitiems finansų subjektams. Jis paliečia ir juos aptarnaujančius IRT teikėjus: jų sutartyse turi būti DORA nuostatos, o svarbiausius teikėjus prižiūri ES priežiūros institucijos.

Skaitmeninės veiklos atsparumo aktas
2022/2554
Reikalavimų kataloge: 30
Oficialus tekstas

Ko reikalauja

Pagrindinės prievolės paprastais žodžiais, su straipsniu ar skyriumi, iš kurio jos kyla.

5–16 str.
Taikykite IRT rizikos valdymo sistemą, kurią tvirtina ir prižiūri valdymo organas: nustatymas, apsauga, aptikimas, reagavimas ir atkūrimas, atsarginės kopijos, mokymasis ir komunikacija.
17–19 str.
Klasifikuokite su IRT susijusius incidentus ir praneškite apie didelius: pirminis pranešimas, tarpinė ataskaita ir galutinė ataskaita.
24–27 str.
Kasmet testuokite skaitmeninės veiklos atsparumą; kai kurie subjektai kas trejus metus atlieka ir grėsmėmis grindžiamą įsiskverbimo testavimą.
28 str. 3 d.
Tvarkykite informacijos registrą apie visus sutartinius susitarimus su IRT trečiųjų šalių paslaugų teikėjais.
28–30 str.
Įvertinkite teikėjus prieš sudarydami sutartį, įtraukite pagrindines sutarties nuostatas ir turėkite pasitraukimo strategijas ypatingos svarbos ar svarbioms funkcijoms.

Kaip tai apima Atitic

Ką produktas daro šiai sistemai, naudodamas tuos pačius įrašus kaip ir visoms kitoms.

IRT registre laikomas informacijos registras: teikėjai, jų palaikomos funkcijos, svarbumas, pasitraukimo strategija, subrangovų grandinė ir sutartinės apsaugos priemonės.
Kiekvienas didelis incidentas rodo savo DORA terminus: pirminis pranešimas per 4 valandas nuo klasifikavimo ir ne vėliau kaip per 24 valandas nuo sužinojimo, tarpinė ataskaita per 72 valandas ir galutinė ataskaita per vieną mėnesį.
Metinė IRT rizikos valdymo sistemos peržiūra, informacijos registro atnaujinimas, atsarginių kopijų atkūrimo ir tęstinumo testai, incidentų pratybos ir grėsmėmis grindžiamo įsiskverbimo testavimo planavimas yra valdymo kalendoriuje su atsakingais asmenimis ir priminimais.
ISO 27001 susiejimas leidžia esamą valdymo sistemą įskaityti į IRT rizikos valdymo sistemą; Fasttrack atpažįsta finansų subjektus ir jų IRT teikėjus.

Kas yra kataloge

Atitikties sistemos sritys Atitic ir kiek reikalavimų turi kiekviena. Kai ją pritaikote, kiekvienas reikalavimas tampa eilute, už kurią atsakote ir kurią susiejate su politikomis, įrodymais ir kontrolės priemonėmis.

IRT rizikos valdymo sistema11
Su IRT susijusių incidentų valdymas, klasifikavimas ir pranešimas7
Skaitmeninės veiklos atsparumo testavimas4
IRT trečiųjų šalių rizikos valdymas7
Informacijos dalijimosi susitarimai1

Nemokamas savęs patikrinimas

Atsakykite į trumpą klausimyną ir el. paštu gaukite orientacinį pasirengimo balą bei svarbiausias spragas.

Atlikti savęs patikrinimą

Dažni klausimai

Esame IRT teikėjas, ne bankas. Ar DORA taikomas mums?

Tiesiogiai ne, nebent esate priskirti ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjams. Tačiau jūsų finansų klientai privalo įtraukti DORA sutarties nuostatas, jus stebėti ir planuoti pasitraukimą, todėl prašys iš jūsų įrodymų. ISAE 3402 ataskaita ar ISO 27001 sertifikatas atsako į didelę dalį jų klausimų.

Kas yra informacijos registras?

Visų IRT paslaugų sutartinių susitarimų įrašas, tvarkomas subjekto lygmeniu, o grupėms – ir konsoliduotu lygmeniu, kurį finansų subjektai paprašius turi pateikti savo priežiūros institucijai.

Ar mažesniems finansų subjektams taikomas lengvesnis režimas?

Taip. Kai kurie, pavyzdžiui, mažos ir tarpusavyje nesusijusios investicinės įmonės bei tam tikros išimtį turinčios mokėjimo ir elektroninių pinigų įstaigos, gali taikyti supaprastintą IRT rizikos valdymo sistemą pagal 16 str.

Santrauka orientacijai, ne teisinė konsultacija. Lemiamas yra oficialus tekstas.

Išbandykite su savo duomenimis

Pritaikykite DORA nemokamu bandomuoju laikotarpiu, susiekite jau turimus įrodymus ir pamatykite, ko dar trūksta.

Pradėti nemokamą bandymą