Mida DORA nõuab
DORA sai EL-i seaduseks jaanuaris 2025. Pangad, kindlustusandjad, investeerimisettevõtted ja maksefirmad peavad nüüd haldama riski iga kasutatava tehnoloogiatarnija puhul. Kolm reeglit paistavad silma.
Kohustuslikud lepingutingimused (artikkel 30). Iga leping tehnoloogiatarnijaga peab katma neli punkti: auditi õigused, intsidentide teated, väljumisplaanid ja tulemuseesmärgid. Need klauslid ei ole vabatahtlikud.
Iga-aastased ülevaatused (artikkel 28). Ettevõtted peavad kontrollima iga põhitarnijat vähemalt kord aastas. Tarnija on "põhi", kui selle rike peataks normaalse töö. Vastavustoimingutes kasutatavad anonüümimistööriistad kuuluvad sellesse rühma.
Tarnijate register (artikkel 28(3)). Ettevõtted peavad pidama elavat nimekirja kõigist põhiliste kolmandatest osapooltest sõlmitud lepingutest. Nimekiri peab sisaldama iga tarnija turvaandmeid.
Aasta-aastaste ülevaatuste läbiviimine kümnete tarnijate puhul võtab aega. Üks kohandatud ülevaatus - tehes kõik nullist - võtab hinnanguliselt 40-80 tundi tarnija kohta. Hollandi pangal, kellel on 50 põhitarnijat, on kuni 4 000 tundi ülevaatustööd aastas. See on kaks täiskohaga töötajat, kes tegelevad ainult ülevaatustega.
ISO 27001 vähendab ülevaatustunde
ISO 27001 sertifikaat annab ettevõtetele kiirema tee DORA iga-aastase ülevaatuse reegli täitmiseks. Sertifitseerimisasutus teeb järelevalveauditi iga aasta ja täisauditi iga kolme aasta järel. Sertifikaadil on lõppkuupäev. See kehtib ainult siis, kui aastased kontrollid on läbitud.
DORA iga-aastase ülevaatuse reegli kohaselt saab ettevõte kord aastas tarnija kehtiva ISO 27001 sertifikaadi hankida ja kuupäeva kontrollida. Kehtiv kuupäev tähendab, et väline auditeerimisasutus on tarnija 93 turbekontrolli viimase kaheteistkümne kuu jooksul kontrollinud. Ettevõte logib selle tarnijate registrisse. Ülevaatus on tehtud.
Ajavõit on reaalne. Hollandi pank, mis kontrollib sertifitseeritud anonüümimistööriista, kulutab ülevaatusele mõned tunnid. Sama ülevaatus nullist tehes võtab nädalaid. 20 sertifitseeritud kolmanda osapoole puhul võib aastane sääst ulatuda 1 200 tunnini. Seda aega saab kasutada muuks tööks.
Miks privaatsusvahendid on reguleerimisalasse kaasatud
Privaatsus- ja anonüümimistööriistad kuuluvad DORA alla, kui ettevõte kasutab neid kliendi andmete käsitlemiseks, GDPR-i reeglite täitmiseks või KYC-failide töötlemiseks. Kui vahend läheb alla ja ettevõte ei suuda toota GDPR-i kohaseid väljundeid, on see vahend DORA alusel põhiline kolmas osapool. Seda tuleb igal aastal üle vaadata.
Meie GDPR-i vastavuse juhend selgitab andmete minimeerimise reegleid. Vaata ka ISO 27001 allavoolu vastavusväärtus ja ISO 27001 tarnijate hindamise otseteed, et saada rohkem teavet selle kohta, kuidas sertifikaat vähendab vastavuskoormust.