title: DORA, gestionarea furnizorilor ICT și ISO 27001 description: DORA a intrat în vigoare în ianuarie 2025. Băncile și asigurătorii trebuie să verifice anual furnizorii-cheie. ISO 27001 reduce cu până la 1.200 de ore pe an munca de revizuire. category: compliance publishedAt: 2025-10-01 tags:
- DORA furnizori ICT
- ISO 27001 servicii financiare
- revizuire anuală furnizori
- registru furnizori
- conformitate DORA 2025 readingTime: 6
Ce impune DORA
DORA a devenit lege europeană în ianuarie 2025. Băncile, asigurătorii, firmele de investiții și firmele de plăți trebuie acum să gestioneze riscurile provenite de la fiecare furnizor de tehnologie pe care îl utilizează. Trei reguli ies în evidență.
Clauze contractuale obligatorii (Articolul 30). Fiecare contract cu un furnizor de tehnologie trebuie să acopere patru puncte: drepturi de audit, notificări privind incidentele, planuri de ieșire și obiective de performanță. Aceste clauze nu sunt opționale.
Revizuiri anuale (Articolul 28). Firmele trebuie să verifice fiecare furnizor-cheie cel puțin o dată pe an. Un furnizor este „cheie” dacă eșecul său ar opri activitatea normală. Instrumentele de anonimizare utilizate în sarcini de conformitate se încadrează în această categorie.
Registrul furnizorilor (Articolul 28(3)). Firmele trebuie să mențină o listă actualizată a tuturor contractelor-cheie cu terțe părți. Lista trebuie să includă înregistrări de securitate pentru fiecare furnizor.
Efectuarea revizuirilor anuale pentru zeci de furnizori necesită timp. O revizuire personalizată — realizată de la zero — durează estimativ 40–80 de ore pe furnizor. O bancă olandeză cu 50 de furnizori-cheie se confruntă cu până la 4.000 de ore de muncă de revizuire pe an. Adică doi angajați cu normă întreagă dedicați exclusiv revizuirilor.
ISO 27001 reduce orele de revizuire
Certificarea ISO 27001 oferă firmelor un traseu mai rapid prin regula DORA privind revizuirile anuale. Organismul de certificare realizează un audit de supraveghere în fiecare an și un audit complet la fiecare trei ani. Certificatul are o dată de expirare. Rămâne valabil doar atât timp cât verificările anuale sunt trecute.
În baza regulii DORA privind revizuirile anuale, o firmă poate extrage o dată pe an certificatul ISO 27001 curent al furnizorului și verifica data. O dată validă înseamnă că un organism extern de audit a verificat cele 93 de controale de securitate ale furnizorului în ultimele douăsprezece luni. Firma înregistrează acest lucru în registrul furnizorilor. Revizuirea este finalizată.
Câștigul de timp este real. O bancă olandeză care verifică un instrument certificat de anonimizare petrece câteva ore pe revizuire. Aceeași revizuire realizată de la zero durează săptămâni. Pe parcursul a 20 de terțe părți certificate, economiile anuale pot atinge 1.200 de ore. Acel timp poate fi alocat altor activități.
De ce instrumentele de confidențialitate intră în domeniu de aplicare
Instrumentele de confidențialitate și de anonimizare intră sub incidența DORA atunci când o firmă le utilizează pentru a gestiona datele clienților, a respecta regulile GDPR sau a procesa dosarele KYC. Dacă instrumentul se defectează și firma nu mai poate produce rezultate conforme GDPR, instrumentul este o terță parte-cheie conform DORA. Trebuie revizuit anual.
Ghidul nostru de conformitate GDPR explică regulile de minimizare a datelor. Consultați și valoarea de conformitate în aval a ISO 27001 și reducțiile ISO 27001 în evaluarea furnizorilor pentru mai multe detalii despre cum certificarea reduce volumul de muncă pentru conformitate.