Overovanie súladu so smernicou DORA a budovanie kybernetickej bezpečnosti odolnej voči budúcnosti s TÜV SÜD

28. April 2025

Zákon o digitálnej prevádzkovej odolnosti (DORA) ukladá finančnému sektoru prísne opatrenia v oblasti kybernetickej bezpečnosti. Finančné subjekty a ich externí poskytovatelia služieb IKT musia preukázať spoľahlivú bezpečnosť IT, vykonať analýzy rizík a zabezpečiť dodržiavanie zmluvných podmienok. Po prvýkrát musia príslušné orgány v jednotlivých členských štátoch EÚ nahlasovať registre informácií finančných subjektov európskym orgánom dohľadu, pričom termín je stanovený na 30. apríla 2025. V týchto registroch musia byť uvedené všetky zmluvné dohody finančných subjektov upravujúce zamestnávanie poskytovateľov služieb IKT - tretích strán. Aj po uplynutí lehoty na nahlasovanie musia finančné subjekty pokračovať v posilňovaní súladu so smernicou DORA a zapojiť do nej svojich poskytovateľov služieb IKT.

„DORA podnecuje finančný sektor a jeho poskytovateľov služieb IKT k prijatiu účinných opatrení na zvýšenie kybernetickej odolnosti,“ hovorí Richard Skalt, manažér pre kybernetickú bezpečnosť v spoločnosti TÜV SÜD. "Regulačné požiadavky sú plne účinné od začiatku roka. V súčasnosti zaznamenávame medzi finančnými subjektmi výrazný dopyt po posúdení zhody doteraz zavedených opatrení treťou stranou."

Súlad s predpismi DORA: trvalý záväzok

V súčasnosti už väčšina finančných subjektov zosúladila svoje systémy a procesy s požiadavkami DORA. Finančné subjekty, ktoré chcú nezávisle overiť svoje zavedené opatrenia, môžu na získanie kvalifikovaného posúdenia treťou stranou využiť hodnotenie DORA od spoločnosti TÜV SÜD. Prostredníctvom cielených auditov súladu odborníci TÜV SÜD identifikujú nedostatky v implementácii nariadenia a vypracujú plán na odstránenie týchto nedostatkov. Odborníci môžu napríklad vypracovať a implementovať bezpečnostnú stratégiu v súlade s nariadením DORA a vytvoriť rámec na odhaľovanie a hlásenie incidentov.

Riadenie rizík a kybernetická odolnosť sú obzvlášť dôležité na dosiahnutie súladu s predpismi DORA. V budúcnosti budú musieť aj poskytovatelia služieb IKT tretích strán pre finančné subjekty klasifikované ako „kritické“ preukázať súlad s týmito požiadavkami ako súčasť zmluvných záväzkov voči svojim klientom. Podrobné hodnotenia spoločnosti TÜV SÜD pomáhajú spoločnostiam identifikovať nedostatky v ich existujúcich stratégiách kybernetickej bezpečnosti a vypracovať praktické zlepšenia.

Zapojenie zamestnancov

Finančné subjekty a poskytovatelia kritických služieb IKT musia nielen spĺňať požiadavky na dodržiavanie predpisov, ale aj pestovať silnú internú kultúru kybernetickej bezpečnosti. Na tento účel je veľmi dôležité zapojiť ich zamestnancov prostredníctvom školení o kybernetickej bezpečnosti. Školenia pre vedúcich pracovníkov sú tiež nevyhnutné na zosúladenie súladu s predpismi DORA s obchodnou stratégiou. TÜV SÜD Academy podporuje túto potrebu ponukou komplexného programu školení o kybernetickej bezpečnosti, od seminárov zameraných na zvyšovanie povedomia až po špecializované školiace programy pre vedúcich pracovníkov.

„Metódy útokov používané kyberzločincami sa rýchlo vyvíjajú, čo núti finančné subjekty neustále kontrolovať a zlepšovať prijaté opatrenia, a to aj v prípade, že do konca apríla splnili svoju povinnosť podať prvé hlásenie,“ dodáva Skalt.

Viac informácií o službách DORA spoločnosti TÜV SÜD nájdete na tuvsud.com/en/themes/cybersecurity/digital-operational-resilience-act