A DORA (Digital Operational Resilience Act/Digitális operatív reziliencia törvény) egy európai uniós rendelet, amelynek célja a pénzügyi intézmények digitális működési ellenálló képességének javítása. A rendelet elsősorban annak biztosítására összpontosít, hogy a pénzügyi szervezetek, például a bankok, biztosítótársaságok és befektetési vállalkozások felkészültek legyenek a digitális zavarokra, köztük a kibertámadásokra és technológiai hibákra, és hatékonyan fel tudjanak épülni belőlük. A DORA átfogó követelményeket határoz meg az IKT (információs és kommunikációs technológia) kockázatok kezelésére vonatkozóan, beleértve a pénzügyi intézmények számára kockázatkezelési keretrendszerek létrehozásának és rendszeres kockázatértékelésének elvégzésének szükségességét. A rendelet emellett szigorú incidensjelentési kötelezettségeket ír elő, amelyek értelmében a szervezeteknek meghatározott határidőkön belül jelenteniük kell az IKT-vel kapcsolatos jelentős incidenseket.

A DORA kulcsfontosságú elemei:

• a harmadik felek kockázatkezelésére való összpontosítás, amely biztosítja, hogy a pénzügyi szervezetek képesek legyenek kezelni a külső szolgáltatóikkal – például a felhőszolgáltatókkal vagy a szoftvergyártókkal – kapcsolatos kockázatokat;
• a digitális rendszerek ellenállóképességének tesztelése, beleértve a rendszeres stresszteszteket és a potenciális zavarok szcenárió-tervezését;
• rendelkezni kell vészhelyzeti tervekkel az üzletmenet folytonosságának biztosítása és az IKT-hibák működésre gyakorolt hatásának minimalizálása érdekében.

Végső soron a DORA célja, hogy egységes, uniós szintű megközelítést alakítson ki a pénzügyi szektor digitális infrastruktúrája biztonságának és stabilitásának növelésére, valamint a rendszerszintű kockázatok csökkentésére az iparágon belül.

IKT KOCKÁZATKEZELÉS ÉS KERETRENDSZER FEJLESZTÉSE ÉS TESTRESZABÁSA

• Digitális reziliencia stratégia fejlesztése;
• IT biztonsági követelmények integrálása a szervezetbe;
• Kockázatkezelési módszertan és kockázatkezelési terv fejlesztése;
• Belső és külső eljárások és szabályozások kidolgozása.

TESZTELÉSI ELLENÁLLÓSÁG A DIGITÁLIS MŰKÖDÉS SORÁN

• Tesztstratégia és szcenáriók meghatározása
• Tesztelési módszertanok és eljárások fejlesztése (BCP-DRP)
• Teszttervek előkészítése, scope meghatározása
• Tesztelési folyamat koordinálása
• Tesztjelentések struktúrájának fejlesztése
• Digitális jelentési irányelvek biztosítása a hatóságok felé

FELTÉTELEK MEGTEREMTÉSE A HARMADIK FÉLTŐL SZÁRMAZÓ IKT KOCKÁZATOK MONITOROZÁSÁHOZ

• IKT kockázati stratégia és szabályozások fejlesztése / felülvizsgálata
• Harmadik féltől származó IKT kockázati eljárások integrálása a vállalati kockázatkezelési keretrendszerbe
• Megfelelőség és harmadik feles szerződések értékelése
• Kilépési stratégia és átállási terv meghatározása

IKT KERETRENDSZER ÉS ESEMÉNYMENEDZSMENT FELÜLVIZSGÁLATÁNAK TÁMOGATÁSA

• Incidensek azonosítása, az eredmények nyomon követése és kezelése, napló analízis és az incidens kezelés folyamatának támogatása
• A terv felülvizsgálatának előkészítése
• Felülvizsgálati folyamat koordinálása
• Az elért eredmények rögzítése és értékelése
• Prevenciós és korrekciós intézkedések azonosítása