Financijska organizacija može imati kvalitetno postavljene sigurnosne kontrole, a ipak biti nespremna za DORA-u ako ne može dokazati tko je odgovoran, kada je rizik procijenjen, kako je incident klasificiran i na koji je način provjerena otpornost ključnih sustava. Upravo zato pitanje što zahtijeva DORA regulativa nije pitanje još jedne sigurnosne politike. Riječ je o operativnom modelu upravljanja digitalnom otpornošću koji mora funkcionirati u redovnom radu, tijekom poremećaja i pod nadzorom regulatora.
DORA, odnosno Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti, primjenjuje se od 17. siječnja 2025. Njezina je svrha uspostaviti ujednačena pravila za financijski sektor u Europskoj uniji. U fokusu nisu samo sprječavanje kibernetičkih napada, nego sposobnost organizacije da izdrži, odgovori na, oporavi se od i nauči iz ICT poremećaja.
Što zahtijeva DORA regulativa u praksi
DORA obuhvaća banke, kreditne institucije, investicijska društva, društva za osiguranje i reosiguranje, platne institucije, pružatelje usluga povezanih s kriptoimovinom, upravitelje fondova te niz drugih financijskih subjekata. Konkretna primjenjivost ovisi o vrsti subjekta i mogućim proporcionalnim iznimkama, ali osnovna poruka ostaje ista: digitalna otpornost mora biti upravljana, testirana i dokaziva.
Regulativa se u praksi oslanja na pet povezanih područja: upravljanje ICT rizicima, upravljanje i prijavljivanje incidenata, testiranje digitalne operativne otpornosti, upravljanje ICT dobavljačima te razmjenu informacija o kibernetičkim prijetnjama. Ta područja ne bi smjela postojati kao odvojeni dokumenti u različitim odjelima. Moraju činiti sustav u kojem su odgovornosti, odluke, dokazi i korektivne aktivnosti međusobno povezani.
Za upravu i više rukovodstvo ovo znači izravnu odgovornost. Upravno tijelo mora odobravati, nadzirati i redovito preispitivati okvir upravljanja ICT rizicima. Odgovornost se može delegirati na CISO-a, IT funkciju ili funkciju upravljanja rizicima, ali ne i konačna odgovornost. Regulator očekuje informirano upravljanje, a ne formalno odobravanje dokumenata bez razumijevanja stvarnog stanja izloženosti.
Upravljanje ICT rizicima mora biti kontinuirano
DORA zahtijeva sveobuhvatan i dokumentiran okvir za upravljanje ICT rizicima. To uključuje identifikaciju kritičnih poslovnih usluga, informacijskih dobara, aplikacija, infrastrukture, podataka, ovisnosti i prijetnji. Organizacija mora znati koji sustavi podupiru ključne procese, gdje se nalaze njihovi podaci, tko ima pristup te što se događa ako pojedina komponenta postane nedostupna ili kompromitirana.
Nije dovoljno jednom godišnje izraditi procjenu rizika. Rizike treba preispitivati kada se uvodi nova tehnologija, mijenja dobavljač, integrira vanjski sustav, dolazi do ozbiljnog incidenta ili se bitno mijenja poslovni proces. Posebno su osjetljive situacije u kojima se cloud usluge, sustavi za plaćanje, identiteti korisnika i poslovni podaci oslanjaju na više povezanih vanjskih pružatelja.
Okvir mora obuhvatiti politike pristupa, upravljanje identitetima i privilegiranim računima, evidentiranje događaja, zaštitu mreža i krajnjih uređaja, upravljanje ranjivostima, sigurnosne kopije, kontinuitet poslovanja, oporavak od katastrofe i planove komunikacije u krizi. Razina kontrole treba odgovarati riziku. Manji subjekt ne mora nužno imati jednaku organizacijsku strukturu kao velika banka, ali mora moći pokazati da su njegove mjere primjerene stvarnim prijetnjama i važnosti usluga koje pruža.
Kritične funkcije određuju prioritete
Jedan od najvažnijih operativnih koraka jest utvrditi koje su poslovne funkcije kritične ili važne. Bez te klasifikacije teško je razumno odrediti prioritete zaštite, ciljeve oporavka, opseg testiranja i prihvatljive razine prekida.
Kritičnost nije samo tehničko pitanje. Sustav može biti tehnološki jednostavan, ali poslovno presudan ako podržava obradu plaćanja, regulatorno izvješćivanje, izvršenje naloga, pristup računima klijenata ili obveze prema ugovornim partnerima. Zato klasifikaciju trebaju potvrditi poslovni vlasnici procesa, IT, sigurnost, kontinuitet poslovanja i upravljanje rizicima.
Incidenti se moraju otkriti, procijeniti i prijaviti
DORA traži uspostavljen proces za upravljanje ICT incidentima i, prema potrebi, značajnim kibernetičkim prijetnjama. Proces mora omogućiti evidentiranje, razvrstavanje, određivanje ozbiljnosti, eskalaciju, rješavanje i naknadnu analizu incidenta.
Posebna je obveza procijeniti prelazi li incident prag za prijavu nadležnom tijelu. Pri procjeni se gledaju kriteriji kao što su broj pogođenih klijenata ili financijskih partnera, trajanje poremećaja, zemljopisna rasprostranjenost, gubitak podataka, utjecaj na kritične usluge, gospodarski učinak i moguća reputacijska šteta. Rokovi za izvještavanje mogu biti kratki, stoga organizacija mora unaprijed znati tko donosi odluku, tko priprema podatke i tko komunicira s regulatorom.
Najčešći problem nije nedostatak alata za nadzor. Problem je nepovezanost evidencija: sigurnosni tim ima tehničke zapise, poslovna funkcija procjenu utjecaja, pravna funkcija ugovorne obveze, a uprava nema jedinstven pregled odluka i dokaza. U nadzoru se upravo ta sljedivost često pokaže odlučujućom.
Nakon incidenta ne bi trebalo stati na vraćanju usluge u rad. Potrebno je utvrditi temeljni uzrok, procijeniti jesu li postojeće kontrole zakazale, odrediti korektivne mjere, dodijeliti vlasnike i rokove te pratiti provedbu do zatvaranja. Time se incident pretvara u mjerljivo poboljšanje otpornosti, a ne samo u zatvoren operativni tiket.
Testiranje mora potvrditi stvarnu otpornost
DORA ne prihvaća pretpostavku da je sustav otporan zato što postoje politike i tehnička arhitektura. Financijski subjekti moraju redovito provoditi program testiranja digitalne operativne otpornosti. Ovisno o riziku i profilu subjekta, to može obuhvatiti procjene ranjivosti, skeniranja, analize scenarija, testiranja kontinuiteta, testove oporavka, penetracijska testiranja i druge provjere.
Za određene subjekte DORA predviđa napredno testiranje temeljeno na prijetnjama, poznato kao TLPT. Takvo testiranje simulira realistične napadačke scenarije i provodi se pod strogo definiranim uvjetima. Nije primjereno svakoj organizaciji, ali jasno pokazuje smjer regulative: kritične usluge moraju biti provjerene u uvjetima koji su bliski stvarnim prijetnjama.
Vrijednost testiranja nije u broju pronađenih nalaza, nego u kvaliteti upravljanja njima. Nalaz bez vlasnika, prioriteta, roka i dokaza o otklanjanju ostaje otvoren rizik. Organizacija treba moći pokazati cijeli životni ciklus nalaza – od otkrivanja, preko procjene utjecaja, do provjere da je mjera doista provedena.
Dobavljači su dio regulatorne odgovornosti
Velik dio digitalnog rizika danas dolazi iz odnosa s ICT dobavljačima. Cloud pružatelji, pružatelji podatkovnih centara, softverski partneri, upravljane sigurnosne usluge i vanjske razvojne tvrtke mogu izravno utjecati na kontinuitet financijskih usluga. DORA ne zabranjuje outsourcing, ali zahtijeva da se njime upravlja bez gubitka kontrole.
Organizacija mora voditi registar ugovornih aranžmana s ICT pružateljima, procjenjivati rizik prije ugovaranja te redovito pratiti pružatelje koji podupiru kritične ili važne funkcije. Ugovori trebaju jasno urediti razinu usluge, sigurnosne obveze, prijavu incidenata, prava na pristup i reviziju, lokaciju obrade podataka, podugovaranje, kontinuitet poslovanja te uvjete raskida i izlaznu strategiju.
Izlazna strategija često ostaje samo općenita odredba ugovora. DORA zahtijeva praktičniji pristup: može li se usluga prebaciti drugom pružatelju, koliko bi to trajalo, jesu li podaci prenosivi, postoje li potrebne licence i interne kompetencije te kako bi se izbjegao neprihvatljiv prekid poslovanja? Odgovor ovisi o vrsti usluge, ali za kritične funkcije ne smije ostati neprovjeren.
Dokazivost je jednako važna kao i provedba
Usklađenost s DORA-om ne dokazuje se samo politikama. Dokazuje se ažurnim zapisima o procjenama rizika, odlukama uprave, inventarima imovine, incidentima, testovima, ugovorima, nalazima, planovima postupanja i zatvorenim korektivnim mjerama. Ako su ti dokazi raspršeni po mapama, e-pošti i tablicama, trošak pripreme za nadzor raste, a rizik od nepotpunih odgovora postaje stvaran.
Operativno učinkovito rješenje povezuje zahtjev regulative s kontrolom, vlasnikom, dokazom i statusom provedbe. Platforma ITrevizija može pomoći organizacijama strukturirati samoprocjenu, upravljati dokazima i nesukladnostima te izraditi akcijski plan bez dugotrajne implementacije klasičnog GRC sustava. Međutim, tehnologija ne zamjenjuje odgovornost uprave ni stručnu procjenu rizika. Ona smanjuje administrativni teret i omogućuje jasniji pregled stvarnog stanja.
Najbolji početak nije pisanje desetaka novih politika. Počnite s realnim pregledom: koje su vam kritične funkcije, o kojim sustavima i dobavljačima ovise, koje dokaze već imate, gdje su otvorene nesukladnosti i tko je odgovoran za njihovo zatvaranje. Kada su odgovori vidljivi i povezani s konkretnim aktivnostima, DORA prestaje biti apstraktan regulatorni zahtjev i postaje upravljački okvir koji štiti kontinuitet poslovanja.