Что такое DORA? Узнайте больше о законе цифровой операционной устойчивости ЕС

В контексте информационных технологий и кибербезопасности DORA представляет собой комплекс требований к управлению ИКТ-рисками (Information and Communications Technology), реагированию на инциденты, тестированию устойчивости и контролю третьих сторон.

Регламент определяет, как финансовые организации должны защищать свои цифровые операции от киберугроз и операционных сбоев.

Поскольку DORA является регламентом ЕС, он применяется напрямую во всех 27 государствах-членах и не требует принятия национальных законов для вступления в силу.

Это обеспечивает единые стандарты на уровне всего союза и устраняет прежнюю фрагментацию, когда в каждой стране действовали разные требования к кибербезопасности для финансовых организаций.

Если вы, например, планируете регистрацию финансовой или криптокомпании в Чехии, соблюдение DORA является одним из требований — так же, как и соблюдение криптозаконодательства ЕС.

В рамках регуляторной системы Европейского союза DORA выступает отраслевым регулированием (lex specialis) для финансовых услуг и имеет приоритет над общими правилами по кибербезопасности.

Регламент стал полностью применимым 17 января 2025 года, сделав соблюдение обязательным для всех охватываемых организаций.

В Европе DORA является наиболее комплексным подходом к кибербезопасности и операционной устойчивости финансового сектора и потенциально может стать моделью для других юрисдикций по всему миру, которые разрабатывают похожие рамки регулирования.

Комплексные системы, охватывающие идентификацию рисков, меры защиты, обнаружение угроз, реагирование на инциденты и возможности восстановления.

Требования включают документированные политики, утверждённые руководством, технические меры безопасности, планы обеспечения непрерывности бизнеса, регулярные оценки рисков и системы непрерывного мониторинга.

Надёжные процессы управления инцидентами, обеспечивающие быстрое обнаружение, классификацию и реагирование. Существенные ИКТ-инциденты подлежат обязательному уведомлению надзорных органов: первичное уведомление — в течение 4 часов, промежуточный отчёт — в течение 72 часов, итоговый отчёт — в течение одного месяца.

Критерии классификации определяют серьёзность инцидента с учётом длительности сбоя, количества затронутых клиентов, финансовых последствий и потенциальных системных рисков.

Регулярные программы тестирования, подтверждающие устойчивость систем посредством анализа уязвимостей, сценарного тестирования и тестов на проникновение.

Существенные организации обязаны проводить тестирование на основе реальных угроз (TLPT) не реже одного раза в три года — это сложные проверки, моделирующие реальные кибератаки с использованием тактик реальных злоумышленников.

Комплексный надзор за поставщиками с учётом концентрационных рисков: ведение полных реестров ИКТ-договоров, проведение due diligence, заключение контрактов с обязательными положениями по безопасности и правами аудита, непрерывный мониторинг работы поставщиков и разработка стратегий выхода для критически важных зависимостей.

Участие в механизмах обмена разведданными об угрозах для распространения информации о киберрисках в финансовом секторе. Чёткая ответственность на уровне совета директоров за управление ИКТ-рисками, включая регулярную управленческую отчётность и надзор.

Мы проводим комплексную оценку текущего состояния вашей организации по всем требованиям DORA, выявляя пробелы в управлении, политиках, технических контролях, программах тестирования и управлении поставщиками. По итогам вы получаете понятную дорожную карту с приоритетами по устранению несоответствий с учётом регуляторного влияния и операционных рисков.

Наши специалисты разрабатывают полный комплект документации, соответствующей DORA, под вашу организацию: политики и процедуры управления ИКТ-рисками, протоколы выявления инцидентов и реагирования, планы непрерывности бизнеса и аварийного восстановления, методологии и графики тестирования, а также рамки управления рисками третьих сторон вместе с шаблонами договоров.

Мы выстраиваем процессы отчётности по инцидентам в соответствии с регуляторными сроками и требованиями к шаблонам, координируем комплексные программы тестирования устойчивости, организуем TLPT для значимых организаций через нашу сеть квалифицированных тестировщиков и документируем результаты в формате, соответствующем ожиданиям надзорных органов.

Мы оказываем непрерывную поддержку для устойчивого соблюдения требований: периодические повторные оценки соответствия, подготовка отчётов об инцидентах для регуляторов, управленческая и совет-директоров отчётность, подготовка к надзорным проверкам и обновление политик с учётом регуляторных разъяснений.