DORA 的核心要求
DORA（《数字运营韧性法》）于 2025 年 1 月正式成为欧盟法律。银行、保险公司、投资机构和支付机构现在必须对其使用的每一家科技供应商进行风险管理。以下三项规定尤为关键。
强制合同条款（第 30 条）。 与每家科技供应商签订的合同必须涵盖四项内容：审计权限、事件通知、退出计划和绩效指标。这些条款没有任何弹性空间。
年度审查（第 28 条）。 机构必须至少每年对每一家关键供应商进行一次审查。若某家供应商发生故障会导致正常业务中断，则将其认定为「关键供应商」。用于合规业务的匿名化工具通常归入此类。
供应商名册（第 28 条第 3 款）。 机构必须维护一份涵盖所有关键第三方合同的实时清单，并为每家供应商记录安全文件。
对数十家供应商每年从头开展审查需要耗费大量时间。据估算，单次定制化审查需要约 40 至 80 小时。一家拥有 50 家关键供应商的荷兰银行，每年的审查工作量高达 4,000 小时——相当于两名全职人员全年只做审查，别无其他职责。
ISO 27001 大幅压缩审查工时
ISO 27001 认证为机构提供了满足 DORA 年度审查要求的快速通道。认证机构每年进行一次监督审计，每三年进行一次完整再认证审计。证书设有有效期，且仅在年度审计持续通过的情况下保持有效。
依据 DORA 的年度审查规则，机构每年只需调取供应商当前有效的 ISO 27001 证书，核查有效日期即可。有效日期意味着外部审计机构在过去十二个月内已对该供应商的 93 项安全控制措施完成核查。机构将此记入供应商名册，审查即告完成。
效率提升立竿见影。一家荷兰银行对经认证匿名化工具的年度审查只需数小时；从头自查则需数周。以 20 家经认证第三方供应商为例，每年可节省约 1,200 小时，这些时间可用于其他更具价值的工作。
隐私工具为何纳入 DORA 管辖范围
当金融机构使用隐私和匿名化工具处理客户数据、满足 GDPR 要求或处理 KYC 文件时，这些工具将受到 DORA 的约束。如果该工具停止服务导致机构无法生成符合 GDPR 要求的输出，则该工具即构成 DORA 定义下的关键第三方，必须接受年度审查。
关于数据最小化规则，请参阅GDPR 合规指南。关于认证如何减少合规工作量，请参阅 ISO 27001 供应链下游合规价值和 ISO 27001 供应商评估捷径。