title: "Manajemen Vendor ICT DORA dengan ISO 27001" description: "DORA mewajibkan lembaga keuangan mempertahankan pengawasan ketat atas vendor ICT, termasuk penilaian tahunan dan persyaratan pemberitahuan insiden." category: smb-security publishedAt: 2026-05-14 tags:
- manajemen vendor ICT DORA
- ISO 27001 kepatuhan DORA
- risiko vendor lembaga keuangan
- penilaian vendor tahunan
- pengawasan vendor MiFID II readingTime: 8
Kewajiban Vendor ICT dalam DORA
Undang-Undang Ketahanan Operasional Digital EU (DORA), yang berlaku efektif Januari 2025, mewajibkan lembaga keuangan — bank, perusahaan asuransi, firma investasi, penyedia layanan pembayaran — untuk menerapkan program manajemen risiko pihak ketiga ICT yang ketat. Persyaratan utama:
Ketentuan kontraktual wajib (Pasal 30): DORA menetapkan klausul wajib dalam kontrak dengan penyedia layanan pihak ketiga ICT, termasuk hak akses penuh, inspeksi, dan audit; batas waktu pemberitahuan insiden; strategi keluar; dan standar kinerja.
Penilaian tahunan (Pasal 28): Lembaga keuangan harus melakukan uji tuntas terhadap semua penyedia layanan pihak ketiga ICT yang material setidaknya setahun sekali. "Material" didefinisikan secara luas — setiap penyedia ICT yang gangguannya akan berdampak signifikan terhadap operasional, termasuk alat anonimisasi yang digunakan dalam alur kerja kepatuhan.
Register pihak ketiga ICT (Pasal 28(3)): Lembaga keuangan harus memelihara dan memperbarui register semua perjanjian pihak ketiga ICT yang material, termasuk dokumentasi keamanan.
Mengelola penilaian ulang tahunan untuk puluhan vendor ICT sangat mahal secara operasional. Perkiraan umum untuk penilaian kustom yang tidak terstruktur: 40–80 jam per vendor per tahun. Bagi bank Belanda dengan 50 vendor ICT material, penilaian tahunan mencakup 2.000–4.000 jam waktu tim kepatuhan — setara dengan satu hingga dua staf penuh waktu yang didedikasikan semata-mata untuk penilaian vendor.
Cara Pintas Penilaian Tahunan dengan ISO 27001
Nilai sertifikasi ISO 27001 untuk kepatuhan DORA terletak pada struktur surveilans tahunannya. Badan sertifikasi melakukan audit surveilans setiap tahun dan audit resertifikasi setiap tiga tahun. Sertifikasi tetap berlaku selama audit surveilans mengonfirmasi kepatuhan yang berkelanjutan. Sertifikat itu sendiri mencantumkan tanggal kedaluwarsa.
Untuk persyaratan penilaian tahunan DORA, lembaga keuangan dapat memenuhi standar "telah melakukan uji tuntas" dengan memeriksa sertifikat ISO 27001 vendor yang masih berlaku setiap tahun dan memverifikasi kemutakhirannya. Sertifikat tersebut membuktikan bahwa badan audit independen telah menilai 93 kontrol keamanan vendor dalam setahun terakhir. Bukti ini didokumentasikan dalam register pihak ketiga ICT.
Bank Belanda yang tunduk pada DORA dapat menilai vendor anonimisasi bersertifikat ISO 27001 hanya dengan memverifikasi kemutakhiran sertifikat — membutuhkan hitungan jam, bukan berminggu-minggu. Bank menghemat 60 jam waktu penilaian per vendor per tahun. Dari 20 vendor bersertifikat ISO 27001 dalam register mereka, penghematan tahunan mencapai 1.200 jam — cukup untuk mengalokasikan kembali sumber daya kepatuhan yang signifikan.
Relevansi DORA bagi Alat Privasi
Alat privasi dan anonimisasi termasuk dalam lingkup penyedia ICT DORA bagi lembaga keuangan yang menggunakannya untuk memproses data klien, mematuhi GDPR, menyiapkan pengajuan regulasi, atau menangani dokumentasi KYC. Alat anonimisasi yang memproses data klien merupakan penyedia ICT material jika gangguannya akan mencegah lembaga dari kepatuhan persyaratan minimisasi data GDPR atau produksi pengajuan regulasi yang sesuai GDPR.
Sumber: