Pitanje pripada li organizacija DORA području više nije tema za pravnu bilješku koja čeka sljedeći sastanak uprave. Upit DORA obveznici Hrvatska danas izravno utječe na upravljanje ICT rizicima, ugovore s dobavljačima, postupanje kod incidenata i odgovornost uprave. Uredba o digitalnoj operativnoj otpornosti, poznata kao DORA, primjenjuje se od 17. siječnja 2025. i postavlja jedinstven okvir za financijski sektor u Europskoj uniji.
Za obveznike najveći izazov nije samo razumjeti tekst uredbe. Potrebno je dokazati da su procesi stvarno uspostavljeni, da se redovito testiraju i da uprava ima stvaran pregled nad preostalim rizicima. To zahtijeva više od jednokratne procjene ili zbirke politika spremljenih u mapi.
Tko su DORA obveznici u Hrvatskoj?
DORA se primjenjuje na financijske subjekte definirane člankom 2. Uredbe (EU) 2022/2554. U Hrvatskoj to obuhvaća širok krug institucija koje posluju pod nadzorom nadležnih financijskih tijela. Među njima su, ovisno o njihovoj djelatnosti i statusu odobrenja, banke i druge kreditne institucije, investicijska društva, društva za upravljanje fondovima, platne institucije, institucije za elektronički novac, osiguravatelji, reosiguravatelji, mirovinska društva te pružatelji usluga povezanih s kriptoimovinom.
U područje primjene mogu ući i infrastrukture financijskog tržišta, poput središnjih depozitorija vrijednosnih papira, središnjih drugih ugovornih strana, mjesta trgovanja i repozitorija trgovanja. DORA također obuhvaća određene kreditne posrednike, društva za kreditiranje i druge posebno navedene kategorije financijskih subjekata.
Pripadnost sektoru ipak nije dovoljna za konačan odgovor. Uredba za pojedine kategorije predviđa iznimke, prilagodbe i načelo proporcionalnosti. Veličina organizacije, priroda usluga, profil rizika i razina ovisnosti o informacijskim sustavima utječu na način ispunjavanja obveza, ali ne znače automatsko oslobođenje od njih. Zato status treba potvrditi na temelju konkretne regulatorne klasifikacije, dozvola za rad i stvarnog poslovnog modela.
DORA ne obuhvaća automatski svakog IT dobavljača
Česta je pogreška pretpostaviti da je svaki pružatelj cloud usluga, razvoja softvera ili održavanja infrastrukture izravni DORA obveznik. Većina ICT dobavljača nema istu izravnu obvezu kao financijski subjekt. Međutim, financijski subjekti moraju njihove rizike sustavno upravljati kroz ugovore, procjene, nadzor i planove izlaska iz odnosa.
Poseban režim vrijedi za kritične pružatelje ICT usluga koji se određuju na europskoj razini. No i dobavljač koji nema taj status može biti ključan za poslovanje banke, osiguravatelja ili platne institucije. U tom slučaju organizacija mora moći pokazati zašto je dobavljač odabran, koje sigurnosne zahtjeve ispunjava, kako se prati njegova usluga i što se događa ako prestane isporučivati ugovorenu funkciju.
Koje obveze DORA donosi financijskim subjektima?
DORA ne propisuje samo tehničke kontrole. Ona povezuje upravljanje, tehnologiju, dobavljače i kontinuitet poslovanja u jedinstveni sustav digitalne operativne otpornosti. U praksi se obveze najčešće organiziraju kroz pet povezanih područja.
- Upravljanje ICT rizicima zahtijeva jasne politike, odgovornosti, inventar informacijskih resursa, kontrolu pristupa, upravljanje ranjivostima, sigurnosne kopije, oporavak i kontinuirano praćenje rizika.
- Upravljanje ICT incidentima obuhvaća otkrivanje, evidentiranje, klasifikaciju, eskalaciju i izvješćivanje o većim incidentima prema primjenjivim pravilima i rokovima.
- Testiranje digitalne operativne otpornosti traži planirane provjere sposobnosti organizacije da izdrži poremećaj. Opseg testiranja mora biti prilagođen riziku, a za određene subjekte mogu biti potrebna napredna testiranja vođena prijetnjama.
- Upravljanje rizicima trećih strana uređuje procjenu ICT dobavljača prije ugovaranja, ugovorne klauzule, praćenje pružanja usluge, registre ugovornih odnosa i izvedive izlazne strategije.
- Razmjena informacija o kibernetičkim prijetnjama dopuštena je pod propisanim uvjetima te može pomoći organizacijama da ranije prepoznaju obrasce napada i slabosti.
Uprava ima središnju ulogu. Ne može se osloniti samo na izvješće IT odjela ili vanjskog dobavljača. DORA očekuje da upravljačko tijelo odobrava ključne politike, raspodjeljuje odgovornosti, nadzire rizike i razumije posljedice značajnih ICT odluka. Delegiranje provedbe nije delegiranje odgovornosti.
Kako utvrditi opseg obveza bez nepotrebnog projekta?
Prvi korak je potvrditi pravni status organizacije i povezati ga s kategorijama iz DORA uredbe. Taj posao treba uključiti pravnu, usklađenost, rizike, informatičku sigurnost i poslovne vlasnike ključnih procesa. Ako se analiza prepusti samo jednoj funkciji, često ostaju neprepoznate ovisnosti o vanjskim uslugama ili poslovne funkcije koje su kritične za korisnike.
Slijedi izrada stvarnog, a ne deklarativnog inventara. Organizacija mora znati koje aplikacije, infrastrukturu, podatke, integracije i dobavljače koristi te koje poslovne usluge ovise o njima. Posebnu pozornost treba dati uslugama u oblaku, vanjskim centrima za obradu podataka, pružateljima sigurnosnih usluga i softveru koji podržava platne, trgovačke, osiguravateljske ili korisničke procese.
Nakon toga potrebno je usporediti postojeće stanje sa zahtjevima uredbe i pripadajućih regulatornih tehničkih standarda. Dobra procjena ne završava oznakom usklađeno ili neusklađeno. Za svaku utvrđenu nesukladnost treba navesti vlasnika aktivnosti, potrebne dokaze, rok, procjenu rizika i ovisnosti o drugim projektima.
Ovdje je važan redoslijed. Organizacija ne mora istodobno mijenjati svaki dokument i svaku tehnologiju. Prvo treba riješiti praznine koje izravno ugrožavaju kritične usluge, izvješćivanje o incidentima, nadzor dobavljača ili sposobnost oporavka. Politike bez provedbenih postupaka nisu dovoljne, ali ni tehnička poboljšanja bez upravljačkog okvira neće pružiti dokazivu usklađenost.
Dokazi odlučuju može li se usklađenost pokazati
U regulatornom nadzoru nije dovoljno reći da se sigurnosna kontrola provodi. Potrebno je brzo pronaći dokaz: zapis procjene rizika, odobrenu politiku, evidenciju testiranja, zapisnik uprave, izvješće o incidentu, ugovornu odredbu ili dokaz provedene korektivne mjere.
Zato je upravljanje dokazima jednako važno kao i upravljanje kontrolama. Dokumenti moraju imati vlasnika, verziju, rok preispitivanja i jasnu vezu s relevantnim zahtjevom. Kada se dokaz nalazi u e-pošti, lokalnoj mapi ili kod vanjskog konzultanta, organizacija preuzima operativni rizik čak i ako kontrola formalno postoji.
Platforme za upravljanje usklađenošću mogu značajno skratiti taj posao kada povezuju zahtjeve, procjene, dokaze, nesukladnosti i akcijske planove na jednom mjestu. ITrevizija.hr takav pristup podupire AI analizom dokumentacije, upravljanjem dokazima i automatiziranim izvješćivanjem, uz kontrolu pristupa, enkripciju na razini polja i EU hosting. Tehnologija ne zamjenjuje odgovornost stručnih osoba, ali uklanja velik dio ručnog administrativnog rada koji usporava donošenje odluka.
DORA, NIS2 i hrvatski Zakon o kibernetičkoj sigurnosti nisu ista obveza
Mnoge financijske organizacije istodobno prate DORA, NIS2 zahtjeve i hrvatski Zakon o kibernetičkoj sigurnosti. Ta područja imaju dodirne točke, primjerice upravljanje rizikom, postupanje u incidentima, kontinuitet poslovanja i odgovornost uprave. Ipak, ne treba pretpostaviti da jedan program automatski pokriva drugi.
DORA je sektorski propis za financijske subjekte i detaljno uređuje digitalnu operativnu otpornost te rizike ICT trećih strana. NIS2 i nacionalni okvir imaju drukčiji opseg, kategorije subjekata i postupke. Razumno je izgraditi zajednički sustav kontrola i dokaza, ali mapiranje treba biti precizno kako bi se izbjeglo dvostruko evidentiranje ili opasne praznine.
Najbolji sljedeći potez nije čekati incident ili nadzor da pokaže gdje dokumentacija i stvarna praksa nisu usklađene. Jasno utvrđen status, prioritetni plan aktivnosti i uredni dokazi pretvaraju DORA obvezu iz neizvjesnog regulatornog tereta u mjerljiv program upravljanja otpornošću.