Mitä DORA edellyttää
DORA tuli EU:n lainsäädäntöön tammikuussa 2025. Pankkien, vakuutusyhtiöiden, sijoitusyritysten ja maksulaitosten on nyt hallittava riskejä jokaiselta käyttämältään teknologiatoimittajalta. Kolme sääntöä nousee esiin.
Pakolliset sopimusehdot (37 artikla). Jokaisen teknologiatoimittajan sopimuksen on katettava neljä kohtaa: auditointioikeudet, häiriöilmoitukset, poistumissuunnitelmat ja suorituskykytavoitteet. Nämä lausekkeet eivät ole valinnaisia.
Vuosittaiset tarkastukset (28 artikla). Yritysten on tarkistettava jokainen avaintoimittaja vähintään kerran vuodessa. Toimittaja on "avaintoimittaja", jos sen toiminnan keskeytyminen pysäyttäisi normaalin toiminnan. Compliance-tehtävissä käytetyt anonymisointityökalut kuuluvat tähän ryhmään.
Toimittajarekisteri (28(3) artikla). Yritysten on pidettävä ajantasaista listaa kaikista avaintoimittajasopimuksista. Listan on sisällettävä turvallisuustiedot jokaisesta toimittajasta.
Vuosittaisten tarkastusten tekeminen kymmenille toimittajille vie aikaa. Yksi räätälöity tarkastus — alusta alkaen tehty — vie arviolta 40–80 tuntia toimittajaa kohti. Hollantilaisella pankilla, jolla on 50 avaintoimittajaa, on edessään jopa 4 000 tunnin tarkastustyö vuosittain. Se on kaksi kokopäiväistä työntekijää tekemässä pelkästään tarkastuksia.
ISO 27001 vähentää tarkastustunteja
ISO 27001 -sertifiointi antaa yrityksille nopeamman reitin DORA:n vuosittaisen tarkastussäännön läpi. Sertifiointielin tekee valvontatarkastuksen vuosittain ja täyden tarkastuksen kolmen vuoden välein. Sertifikaatilla on päättymispäivä. Se pysyy voimassa vain, kun vuosittaiset tarkastukset läpäistään.
DORA:n vuosittaisen tarkastussäännön mukaisesti yritys voi hakea toimittajan voimassa olevan ISO 27001 -sertifikaatin kerran vuodessa ja tarkistaa päivämäärän. Voimassa oleva päivämäärä tarkoittaa, että ulkopuolinen auditointielin on tarkistanut toimittajan 93 turvallisuusohjainta viimeisten kahdentoista kuukauden aikana. Yritys kirjaa tämän toimittajarekisteriin. Tarkastus on tehty.
Aikavoitto on todellinen. Hollantilaisella pankilla, joka tarkistaa sertifioitua anonymisointityökalua, kuluu tarkastukseen muutamia tunteja. Sama tarkastus alusta alkaen tehtynä kestää viikkoja. Kahdenkymmen sertifioidun kolmannen osapuolen kohdalla vuosittainen säästö voi olla 1 200 tuntia. Se aika voidaan käyttää muuhun työhön.
Miksi tietosuojatyökalut kuuluvat soveltamisalaan
Tietosuoja- ja anonymisointityökalut kuuluvat DORA:n soveltamisalaan, kun yritys käyttää niitä asiakastietojen käsittelyyn, GDPR-sääntöjen noudattamiseen tai KYC-tiedostojen käsittelyyn. Jos työkalu lakkaa toimimasta ja yritys ei pysty tuottamaan GDPR-turvallista tuotosta, työkalu on DORA:n mukainen avaintoimittaja. Se on tarkistettava vuosittain.
GDPR-vaatimustenmukaisuusoppaassamme selitetään tietojen minimointivelvoitteet. Katso myös ISO 27001:n arvoketjun compliance-hyödyt ja ISO 27001 toimittaja-arviointioikotiet siitä, miten sertifiointi vähentää compliance-työtä.