.png)
Понимание требований регламента DORA — необходимость для финансовых организаций, работающих в рамках европейской системы цифровой операционной устойчивости. От требований DORA к отчётности до критериев тестирования и стандартов корпоративного управления — организации должны демонстрировать полное соответствие. Давайте разберём, что именно от них требуется и как уверенно ориентироваться в DORA и других регламентах ЕС.
Samson Solutions предоставляет комплексную поддержку по комплаенсу — от внедрения фреймворков до выстраивания процессов отчётности. Мы обеспечим выполнение всех обязательств вашей организации.
Регламент (ЕС) 2022/2554, известный как Digital Operational Resilience Act (DORA), устанавливает обязательные требования к цифровой операционной устойчивости для финансовых организаций ЕС. Регламент направлен на устранение критических уязвимостей, связанных с цифровизацией финансового сектора, и полностью применяется с января 2025 года.
Цель регламента — повысить операционную устойчивость к киберугрозам, унифицировать требования к кибербезопасности вместо фрагментированных национальных подходов и гармонизировать финансовое регулирование в ЕС на основе единых стандартов для всех государств-членов.
Комплексные фреймворки должны охватывать полный жизненный цикл рисков и включать документированные политики, утверждённые руководством, технические меры защиты критически важных систем, непрерывный мониторинг для выявления угроз в режиме реального времени, регулярные оценки рисков и планы обеспечения непрерывности бизнеса.
чёткая ответственность совета директоров за ИКТ-риски (Information and Communications Technology), достаточное выделение ресурсов, регулярная управленческая отчётность и интеграция ИКТ-рисков в систему управления рисками организации.
Обязательные элементы: автоматизированные системы выявления, критерии классификации, определяющие критичность, протоколы эскалации, процедуры локализации, планы восстановления и анализ первопричин после инцидента.
Ежегодные программы тестирования включают оценку уязвимостей, сценарное тестирование, тесты на проникновение и TLPT (Threat-Led Penetration Testing) для значимых организаций — углублённые проверки не реже одного раза в три года с использованием тактик реальных злоумышленников.
Ведение полных реестров ИКТ-договорённостей, due diligence провайдеров, договоры с обязательными требованиями к безопасности и правами на аудит, непрерывный мониторинг поставщиков и документированные стратегии выхода.
Органы управления несут конечную ответственность: они должны прямо утверждать фреймворки, контролировать их внедрение и отвечать за соблюдение требований.
Больше информации по теме вы найдёте в нашем руководстве по комплаенсу DORA и в чек-листе по комплаенсу DORA.
Наши специалисты внедряют комплексные фреймворки, закрывающие каждый критерий. Свяжитесь с нами для консультации — и давайте начнём!
В соответствии с DORA финансовые организации обязаны сообщать о существенных ИКТ-инцидентах, таких как значительные операционные сбои, утечки данных, атаки программ-вымогателей и инциденты, указывающие на системные риски.
Инциденты классифицируются как «существенные» на основании длительности сбоя, количества затронутых клиентов или транзакций, финансового воздействия, степени компрометации данных и потенциального системного эффекта.
После инцидента также действуют требования к документированию. Компания должна предоставить полный комплект записей, включая журналы обнаружения, хронологию реагирования, оценку воздействия, анализ первопричин, меры по устранению и извлеченные уроки.
Европейские надзорные органы разрабатывают регуляторные технические стандарты (RTS), которые определяют шаблоны отчетности по инцидентам, методологии TLPT, требования к управлению рисками и обязательные положения договоров с третьими ИКТ-провайдерами. Исполнительные технические стандарты (ITS) устанавливают унифицированные форматы для обеспечения единообразного применения.
Требования DORA применяются с учетом размера организации, сложности ее деятельности, профиля рисков и системной значимости. Для небольших компаний предусмотрены более мягкие обязательства по сравнению с системно значимыми финансовыми институтами.
Директива NIS2 применяется в общем порядке, однако для финансовых организаций приоритет имеет DORA. Стандарт ISO 27001 может использоваться как ориентир, но наличие сертификата само по себе не гарантирует соответствие DORA. Для провайдеров криптоактивов MiCA применяется параллельно с DORA и дополняет ее требования.
Наши эксперты разрабатывают интегрированные стратегии, позволяющие эффективно выполнять требования сразу нескольких нормативных режимов. Обеспечьте соответствие и сосредоточьтесь на развитии бизнеса без лишнего стресса.
Для регистрации компании или продолжения её деятельности в рамках DORA требуется следующее:
Усиленные требования: комплексные фреймворки управления рисками, устойчивые процессы реагирования на инциденты в платёжных системах, TLPT для значимых организаций и расширенный контроль третьих сторон.
Требования охватывают защиту данных страхователей, устойчивость процессов урегулирования убытков, целостность актуарных систем и зависимости каналов дистрибуции.
Фокус — на доступности торговых платформ, устойчивости исполнения ордеров, непрерывности рыночных данных и зависимостях от клиринговой инфраструктуры.
Критически важные требования к обработке транзакций, целостности механизмов выявления мошенничества и доступности платежей в режиме реального времени.
Специализированные требования к управлению приватными ключами, безопасности блокчейн-нод, оценке безопасности смарт-контрактов и устойчивости DeFi-протоколов.
Прямые требования к фреймворкам корпоративного управления, мерам безопасности, уведомлению об инцидентах и взаимодействию с надзорными органами.
Оцените текущее состояние относительно требований DORA, выявите недостатки и расставьте приоритеты с учётом уровня риска.
Создайте документированные политики, технические меры контроля, планы обеспечения непрерывности бизнеса и процессы постоянного улучшения.
Внедрите системы выявления, классификации, эскалации, уведомления и документирования, соответствующие регуляторным срокам.
Сформируйте полный инвентарь, проведите due diligence, пересогласуйте договоры с положениями DORA, внедрите мониторинг и зафиксируйте стратегии выхода.
Ведите доказательную базу: утверждения политик, результаты тестирования, оценки поставщиков, журналы инцидентов и протоколы органов управления.
Наши специалисты обеспечивают практическую поддержку, эффективно превращая требования в завершённые результаты в сжатые сроки.
Определение того, какие требования применяются и с какой интенсивностью, требует тщательного анализа принципов пропорциональности.
Координация DORA с ISO 27001, NIS2 и отраслевыми требованиями усложняет работу: важно сохранять эффективность, не создавая пробелов в комплаенсе.
Требуется взаимодействие между IT, рисками, комплаенсом, закупками, юристами и бизнес-подразделениями, которые нередко работают разрозненно.
Комплексный комплаенс требует существенных инвестиций в технологическую инфраструктуру, специализированных сотрудников, услуги третьих сторон и дальнейшее сопровождение.
Мы предоставляем поддержку по комплаенсу DORA «под ключ»:
Однако этим спектр наших услуг не ограничивается. Мы предоставляем финансовым и криптокомпаниям всю необходимую поддержку, чтобы оставаться конкурентоспособными на быстро меняющемся рынке: AML-консалтинг, юридическое сопровождение, помощь с регистрацией компаний (в том числе в некоторых из лучших криптоюрисдикций 2025 года и криптоналоговых гаваней), управленческая поддержка и многое другое.
Выполнение требований регламента DORA требует системного подхода, охватывающего корпоративное управление, меры контроля, тестирование, управление поставщиками и отчетность. Организации, которые подходят к DORA стратегически, выстраивают по-настоящему устойчивые операционные процессы, способные противостоять киберугрозам и сохранять непрерывность оказания услуг.
Сотрудничайте с Samson Solutions для комплексной поддержки, закрывающей каждое требование, и обеспечьте стабильную и бесперебойную работу вашего бизнеса.
Мы свяжемся с Вами в течение 20 минут
.svg){kind=icon}
