Co wymaga DORA
DORA weszła w życie jako prawo UE w styczniu 2025 roku. Banki, ubezpieczyciele, firmy inwestycyjne i instytucje płatnicze muszą teraz zarządzać ryzykiem wynikającym z każdego dostawcy technologicznego, z którego korzystają. Wyróżniają się trzy kluczowe obowiązki.
Obowiązkowe klauzule umowne (art. 30). Każda umowa z dostawcą technologii musi obejmować cztery elementy: prawa do audytu, powiadamianie o incydentach, plany wyjścia oraz cele dotyczące poziomu usług. Klauzule te nie są opcjonalne.
Coroczne przeglądy (art. 28). Podmioty muszą weryfikować każdego kluczowego dostawcę co najmniej raz w roku. Dostawca jest „kluczowy", jeśli jego awaria uniemożliwiałaby normalne funkcjonowanie. Narzędzia do anonimizacji używane w zadaniach compliance wchodzą w ten zakres.
Rejestr dostawców (art. 28 ust. 3). Podmioty muszą prowadzić aktualną listę wszystkich kluczowych umów z podmiotami trzecimi. Lista musi zawierać dokumentację bezpieczeństwa dla każdego z nich.
Prowadzenie corocznych przeglądów dziesiątek dostawców pochłania ogromną ilość czasu. Jeden przegląd przeprowadzany od zera zajmuje szacunkowo 40–80 godzin na dostawcę. Holenderski bank obsługujący 50 kluczowych dostawców mierzy się z nawet 4 000 godzin pracy przeglądowej rocznie — to dwoje pracowników etatowych zajmujących się wyłącznie przeglądami.
ISO 27001 redukuje czas przeglądów
Certyfikacja ISO 27001 daje instytucjom finansowym szybszą ścieżkę przez roczny obowiązek przeglądowy wynikający z DORA. Jednostka certyfikująca przeprowadza audyt nadzoru co roku oraz pełny audyt co trzy lata. Certyfikat ma datę ważności — pozostaje aktualny tylko wtedy, gdy coroczne kontrole są zaliczone.
W ramach rocznego obowiązku przeglądowego wynikającego z DORA instytucja finansowa może raz w roku pobrać aktualny certyfikat ISO 27001 dostawcy i sprawdzić datę ważności. Aktualna data oznacza, że zewnętrzna jednostka audytująca skontrolowała 93 kontrole bezpieczeństwa dostawcy w ciągu ostatnich dwunastu miesięcy. Instytucja odnotowuje ten fakt w rejestrze dostawców. Przegląd jest zakończony.
Zysk czasowy jest realny. Holenderski bank weryfikujący certyfikowane narzędzie do anonimizacji spędza na przeglądzie kilka godzin. Ten sam przegląd przeprowadzony od zera trwa tygodniami. W przypadku 20 certyfikowanych podmiotów trzecich roczna oszczędność może sięgnąć 1 200 godzin. Ten czas można przeznaczyć na inne zadania.
Dlaczego narzędzia privacy są objęte zakresem DORA
Narzędzia privacy i anonimizacji wchodzą w zakres DORA, gdy podmiot finansowy używa ich do obsługi danych klientów, spełniania wymogów GDPR lub przetwarzania plików KYC. Jeśli narzędzie przestaje działać i podmiot nie jest w stanie generować danych wyjściowych zgodnych z GDPR, narzędzie to jest kluczowym podmiotem trzecim w rozumieniu DORA. Musi być przeglądane co roku.
Nasz przewodnik po zgodności z GDPR wyjaśnia zasady minimalizacji danych. Warto zapoznać się też z artykułami ISO 27001 a zgodność w łańcuchu dostaw i ISO 27001 jako skrót przy ocenie dostawców, które pokazują, jak certyfikacja redukuje nakład pracy compliance.