Co vyzaduje DORA
DORA sa stalo zákonom EÚ v januári 2025. Banky, poistovne, investicné spolocnosti a platobné firmy musia teraz riadit riziko od kazdeho technologického dodávatela, ktorého pouzívajú. Tri pravidlá sú zvlást výrazné.
Povinné zmluvné podmienky (clánok 30). Kazda zmluva s technologickým poskytovatelom musí pokrývat styri body: práva na audit, upozornenia pri incidentoch, plány odchodu a výkonnostné ciele. Tieto klauzuly nie sú volitelné.
Rocné preskúmania (clánok 28). Firmy musia kontrolovat kazdeho klúcového dodávatela aspon raz rocne. Poskytovatel je klúcový, ak by jeho zlyhanie zastavilo béznou cinnost. Nástroje na anonymizáciu pouzívané pri úlohách zhody patria do tejto skupiny.
Register dodávatelov (clánok 28 ods. 3). Firmy musia viest aktuálny zoznam vsetkých klúcových zmlúv s tretími stranami. Zoznam musí obsahovat bezpecnostné záznamy pre kazdeho z nich.
Prebehnutie rocných preskúmaní pre desiatky poskytovatelov zaberie cas. Jedno vlastné preskúmanie — vykonané od základov — trvá odhadom 40 az 80 hodín na poskytávatela. Holandská banka s 50 klúcovymi dodávatelmi celi az 4 000 hodinám prác rocne. To su dvaja zamestnanci na plný úväzok venujúci sa výlucne preskúmaniam.
ISO 27001 skracuje pocet hodín preskúmania
Certifikácia ISO 27001 dáva firmám rýchlejsiu cestu cez rocné pravidlo preskúmania DORA. Certifikacná organizácia kazdý rok uskutocní kontrolný audit a kazdé tri roky úplný audit. Certifikát má dátum platnosti. Zostáva platný len vtedy, ak rocné kontroly prejdú.
Podla rocného pravidla preskúmania DORA môze firma raz rocne stiahnut aktuálny certifikát ISO 27001 poskytávatela a skontrolovat dátum. Platný dátum znamená, ze vonkajsí certifikacný orgán skontroloval 93 bezpecnostných kontrol poskytávatela za posledných dvanást mesiacov. Firma to zaprotokoluje v registri dodávatelov. Preskúmanie je hotové.
Casový zisk je reálny. Holandská banka kontrolujúca certifikovaný nástroj na anonymizáciu strávi preskúmaním niekolko hodín. Rovnaké preskúmanie vykonané od základov trvá tydne. V prípade 20 certifikovaných tretích strán môze rocná úspora dosiahnút 1 200 hodín. Tento cas mozno venovat inej práci.
Preco sú nástroje na ochranu súkromia v rozsahu
Nástroje na ochranu súkromia a anonymizáciu patria do pôsobnosti DORA, ak ich firma pouzíva na spracovanie klientskych dát, plnenie pravidiel GDPR alebo spracovanie súborov KYC. Ak nástroj prestane funckiovat a firma nemôze produkovat výstup bezpecný z hadiska GDPR, ide o klúcovú tretiu stranu podla DORA. Musí byt preskúmavaný kazdý rok.
Nás sprievodca súladom s GDPR vysvetluje pravidlá minimalizácie dát. Pozrite si tiez hodnotu ISO 27001 pri zhode v dodávatelskom retazci a skrátenie hodnotení dodávatelov vdaka ISO 27001 pre viac informácií o tom, ako certifikácia znizuje záraz práce pri zhode.