Kurz: DORA (The Digital Operational Resilience Act)

Hlavné oblasti kurzu DORA

Regulácia DORA je rozdelená do 5 základných pilierov, ktoré sa zaoberajú rôznymi aspektmi alebo doménami v rámci IKT a kybernetickej bezpečnosti a poskytujú komplexný rámec digitálnej odolnosti pre príslušné subjekty. Kľúčové požiadavky:

1. Riadenie rizík IKT

2. Hlásenie incidentov súvisiacich s IKT

3. Digitálne testovanie prevádzkovej odolnosti

4. IKT riziko tretích strán

5. Zdieľanie informácií

Kurz DORA

Digitálna prevádzková odolnosť je schopnosť finančnej jednotky vybudovať, zabezpečiť a prehodnotiť svoju prevádzkovú integritu z technologického hľadiska. Subjekt musí byť schopný zabezpečiť, či už priamo alebo nepriamo, prostredníctvom využívania služieb poskytovateľov IKT tretích strán, celý rozsah schopností súvisiacich s IKT, ktoré sú potrebné na riešenie bezpečnosti siete a informačných systémov, ktoré subjekt využíva, a ktoré podporujú ďalšie poskytovanie finančných služieb a ich kvalitu.

1. Riadenie rizík IKT

• Potreba identifikovať, klasifikovať a primerane zdokumentovať všetky obchodné funkcie, úlohy a zodpovednosti podporované IKT, informačné aktíva a aktíva IKT podporujúce tieto funkcie a ich úlohy a závislosti vo vzťahu k riziku IKT. •Učenie sa a vývoj, zhromažďovanie informácií o zraniteľnostiach a kybernetických hrozbách.

• Komunikácia, plány krízovej komunikácie umožňujúce zodpovedné zverejnenie aspoň veľkých incidentov alebo zraniteľností súvisiacich s IKT klientom a partnerom, ako aj verejnosti.

2. Riadenie, klasifikácia a podávanie správ o incidentoch súvisiacich s IKT

• Proces riadenia incidentov súvisiacich s IKT na zisťovanie, riadenie a oznamovanie incidentov súvisiacich s IKT - Klasifikácia incidentov a kybernetických hrozieb súvisiacich s IKT

• Nahlasovanie závažných incidentov súvisiacich s IKT a dobrovoľné oznamovanie významných kybernetických hrozieb

• Harmonizácia obsahu prehľadov a šablón

• Centralizácia podávania správ o veľkých incidentoch súvisiacich s IKT

3. Digitálne testovanie prevádzkovej odolnosti

• Všeobecné požiadavky na vykonávanie testovania digitálnej prevádzkovej odolnosti

• Testovanie nástrojov a systémov IKT

• Pokročilé testovanie IKT nástrojov, systémov a procesov založené na penetračnom testovaní vedenom hrozbami (TLPT)

• Požiadavky na testerov na vykonávanie TLPT

4. IKT riziko tretích strán

• Predbežné posúdenie rizika koncentrácie IKT na úrovni subjektu.

• Kľúčové zmluvné ustanovenia

• Určenie kritických poskytovateľov služieb IKT tretích strán.

• Štruktúra rámca dohľadu.

• Úlohy vedúceho dozoru.

• Operatívna koordinácia medzi vedúcimi dozornými orgánmi.

• Právomoci vedúceho dozoru.

• Výkon právomocí vedúceho dozoru mimo Únie.

• Všeobecné vyšetrovania, inšpekcie, priebežný dohľad.

• Harmonizácia podmienok umožňujúcich vykonávanie činností dohľadu.

• Medzinárodná spolupráca.

5. Zdieľanie informácií a príslušné orgány

• Spolupráca so štruktúrami a úradmi

• Spolupráca medzi úradmi

• Finančné medzisektorové cvičenia, komunikácia a spolupráca

• Správne sankcie a nápravné opatrenia

• Výkon právomoci ukladať správne sankcie a opatrenia na nápravu

• Trestné sankcie

• Zverejňovanie správnych pokút

• Profesionálne tajomstvo, ochrana údajov

6. Hlavný plán a zoznam okamžitých opatrení pre firmy so sídlom v EÚ

7. Ďalšie nové smernice a nariadenia EÚ, ktoré prinášajú problémy s dodržiavaním predpisov