DORA regulativa nije još jedan dokument koji financijske institucije mogu prebaciti u nadležnost IT-a ili usklađenosti. Ona izravno povezuje operativnu otpornost, upravljačku odgovornost, ugovore s ICT dobavljačima i sposobnost organizacije da nastavi raditi kada dođe do ozbiljnog digitalnog poremećaja. Za uprave, CISO-e, voditelje rizika i interne revizore ključno pitanje više nije postoji li politika kibernetičke sigurnosti, nego može li se njezina provedba dokazati, testirati i nadzirati.
Uredba EU o digitalnoj operativnoj otpornosti financijskog sektora, poznata kao DORA, primjenjuje se od 17. siječnja 2025. godine. Njezina svrha nije propisati identičnu tehnologiju svim institucijama, već osigurati da financijski sektor može spriječiti, odgovoriti na, oporaviti se od i učiti iz ICT incidenata. To traži povezani sustav upravljanja, a ne niz nepovezanih procedura koje se aktiviraju tek pred nadzor.
Što DORA regulativa mijenja u praksi?
DORA uvodi jedinstveniji okvir za upravljanje ICT rizicima u europskom financijskom sektoru. Time smanjuje oslanjanje na različite nacionalne pristupe i podiže očekivanja prema organizacijama koje upravljaju osjetljivim financijskim podacima, platnim uslugama, tržišnom infrastrukturom ili osiguranjem.
U praksi, regulativa od organizacije očekuje da zna koje su joj digitalne usluge i sustavi kritični, tko je odgovoran za njihov rad, gdje su ključne ovisnosti i koliko brzo može vratiti poslovanje u prihvatljivo stanje. Evidencija imovine sama po sebi nije dovoljna. Potrebno je povezati sustave, poslovne procese, prijetnje, kontrole, dobavljače, incidente i dokaze o provedenim aktivnostima.
Važna promjena odnosi se na upravljačku razinu. Uprava ne može sigurnost promatrati samo kao tehničku temu koju je prenijela na stručne službe. DORA naglašava odgovornost upravljačkog tijela za uspostavu, nadzor i redovito preispitivanje okvira upravljanja ICT rizikom. To znači da izvješća moraju biti razumljiva donositeljima odluka, a rizici prikazani kroz poslovni učinak, status mjera i preostalu izloženost.
Pet područja koja zahtijevaju dokazivu kontrolu
DORA se često svodi na temu prijave incidenata, no to je samo jedan dio obveza. Stvarna spremnost nastaje kada organizacija istodobno upravlja svim povezanim područjima.
Upravljanje ICT rizikom
Organizacija mora imati dokumentiran i operativan okvir za upravljanje ICT rizikom. On obuhvaća politike, odgovornosti, upravljanje imovinom, kontrolu pristupa, sigurnost mreže i sustava, zaštitu podataka, kontinuitet poslovanja, oporavak te praćenje učinkovitosti kontrola.
Nije dovoljno imati usvojenu politiku koja se godinama nije mijenjala. Treba pokazati da su kontrole primijenjene na stvarne sustave, da se redovito preispituju i da se utvrđene slabosti pretvaraju u aktivnosti s jasnim vlasnikom i rokom. Upravo je taj prijelaz od dokumenta do provedivog dokaza česta slaba točka u nadzoru i internoj reviziji.
Upravljanje ICT incidentima i izvješćivanje
DORA traži strukturiran proces za otkrivanje, klasifikaciju, evidentiranje i rješavanje ICT incidenata. Kod ozbiljnih incidenata predviđena je prijava nadležnim tijelima kroz propisane faze i rokove. Organizacija stoga mora unaprijed znati tko procjenjuje ozbiljnost incidenta, koje podatke prikuplja, tko odobrava komunikaciju i kako se čuva trag odluka.
Ovdje se ne radi samo o SOC procesu ili ticketing sustavu. Učinkovit proces povezuje tehničke pokazatelje s poslovnim posljedicama, primjerice nedostupnošću ključne usluge, utjecajem na klijente, integritetom podataka ili opsegom zahvaćenih transakcija. Klasifikacija koja se radi ručno, bez unaprijed definiranih kriterija i dokaza, lako postaje usko grlo u trenutku kada su rokovi najkraći.
Testiranje digitalne operativne otpornosti
Planovi oporavka vrijede onoliko koliko su provjereni u realističnim scenarijima. DORA zahtijeva redovito testiranje digitalne operativne otpornosti, pri čemu se opseg i složenost prilagođavaju veličini, profilu rizika i kritičnosti organizacije.
Za određene subjekte predviđeno je napredno testiranje vođeno obavještajnim podacima o prijetnjama. Međutim, i organizacije koje nisu obvezne provoditi takve testove moraju pokazati da provjeravaju ranjivosti, planove kontinuiteta, oporavak, komunikaciju i spremnost ključnih ljudi. Test bez zabilježenog nalaza, odluke o prihvaćanju rizika ili plana korektivnih mjera ne pruža upravljačku vrijednost.
Rizik trećih strana
Financijske institucije sve više ovise o pružateljima usluga u oblaku, vanjskim razvojnim timovima, procesorima plaćanja, telekom operaterima i dobavljačima sigurnosnih rješenja. DORA tu ovisnost tretira kao upravljački rizik, a ne samo kao nabavnu ili ugovornu temu.
Organizacija mora imati pregled ICT ugovora i procijeniti koncentracijski rizik, kritičnost pojedinog dobavljača te mogućnost izlaska iz ugovornog odnosa. Ugovori trebaju jasno urediti sigurnosne zahtjeve, lokaciju obrade podataka, prava pristupa i revizije, prijavu incidenata, kontinuitet usluge te uvjete prestanka suradnje. Najveći problem često nije nedostatak ugovora, nego činjenica da nitko nema jedinstven pregled nad njihovim obvezama i stvarnim ovisnostima.
Razmjena informacija o prijetnjama
DORA dopušta i potiče strukturiranu razmjenu informacija o kibernetičkim prijetnjama među relevantnim sudionicima. To može poboljšati rano otkrivanje napada i kvalitetu obrane, ali samo uz jasna pravila povjerljivosti, zaštite podataka i upravljanja informacijama. Razmjena ne smije postati nekontrolirano dijeljenje osjetljivih podataka bez poslovne i sigurnosne procjene.
Tko podliježe DORA-i?
DORA obuhvaća širok krug financijskih subjekata, uključujući kreditne institucije, platne institucije, institucije za elektronički novac, investicijska društva, društva za upravljanje, osiguravatelje i reosiguravatelje, mirovinske fondove, pružatelje usluga povezanih s kriptoimovinom te različite sudionike financijske infrastrukture. Precizan opseg obveza ovisi o vrsti subjekta, njegovoj veličini, ulozi na tržištu i primjenjivim iznimkama.
Pristup proporcionalnosti ne znači da manja organizacija može zanemariti temeljne obveze. Znači da kontrole, dokumentacija i učestalost aktivnosti trebaju odgovarati stvarnom profilu rizika. Manja institucija možda neće imati zasebne timove za svaki dio okvira, ali i dalje mora jasno raspodijeliti odgovornosti, upravljati ključnim dobavljačima te održavati dokaz o provedenim kontrolama.
Kako se pripremiti bez stvaranja novog administrativnog sloja
Najbrži put nije započeti pisanjem velikog broja novih pravilnika. Prvi korak je objektivna analiza postojećeg stanja prema zahtjevima DORA-e: što već postoji, što je djelomično provedeno i gdje nedostaju dokazi, vlasnici ili mjerljive aktivnosti. Takva procjena mora obuhvatiti ne samo dokumente, nego i njihovu primjenu u sustavima, ugovorima, zapisnicima i evidencijama incidenata.
Nakon toga potrebno je prioritizirati nedostatke prema poslovnom učinku i regulatornom riziku. Primjerice, neuređen registar ključnih ICT dobavljača i neprovjeren plan oporavka mogu zahtijevati brže djelovanje od formalnog preoblikovanja manje važne procedure. Za svaki nalaz treba odrediti odgovornu osobu, rok, potrebne dokaze i način provjere završetka aktivnosti.
Treći korak je uspostaviti kontinuirano upravljanje dokazima. Usklađenost se ne dokazuje u tjednu prije nadzora. Dokazi o testiranju, procjenama rizika, edukacijama, upravljačkim odlukama, korektivnim mjerama i nadzoru dobavljača trebaju biti dostupni, ažurni i povezani s konkretnim zahtjevima. Ručno prikupljanje dokaza kroz e-poštu, zajedničke mape i tablice povećava rizik od nepotpunosti i troši vrijeme stručnih timova.
Tu platforme za upravljanje usklađenošću imaju jasnu operativnu vrijednost. Rješenje poput ITrevizija.hr može strukturirati samoprocjenu, upravljanje dokazima, nesukladnostima i planom aktivnosti, uz automatizirano izvješćivanje za upravu i reviziju. Kod odabira alata potrebno je provjeriti sigurnost podataka, kontrolu pristupa, mogućnost rada u EU okruženju, enkripciju i jasnu podjelu odgovornosti između organizacije i pružatelja usluge.
DORA i NIS2: preklapanje nije isto što i zamjena
Organizacije koje rade na NIS2 usklađenosti često već imaju dio potrebnih temelja: upravljanje rizicima, postupanje u incidentima, kontinuitet poslovanja, sigurnost lanca dobave i odgovornost uprave. To je značajna prednost, ali NIS2 usklađenost ne treba automatski smatrati DORA usklađenošću.
DORA ide dublje u specifičnosti financijskog sektora, osobito u upravljanje ICT dobavljačima, testiranje otpornosti i regulatorno izvješćivanje o velikim incidentima. Najbolji pristup je izgraditi zajedničku bazu kontrola i dokaza, a zatim jasno označiti zahtjeve koji su posebni za pojedini regulatorni okvir. Time se izbjegava dvostruki rad, ali se ne gubi regulatorna preciznost.
DORA nije projekt s konačnim datumom zatvaranja. Ona je model stalne operativne discipline: znati što je kritično, mjeriti stvarnu otpornost, zatvarati utvrđene nedostatke i moći to dokazati kada regulator, revizor ili uprava postave pitanje. Organizacije koje taj model uspostave sada neće samo lakše odgovoriti na nadzor, nego će brže i sigurnije reagirati kada se digitalni poremećaj doista dogodi.