Съответствие с DORA

DORA (Регламент (ЕС) 2022/2554) се прилага от 17 януари 2025 г. Той обхваща около 22 000 финансови субекта в 20 категории в целия ЕС, както и ИКТ доставчиците, които ги обслужват. В България надзорът се разделя между БНБ и КФН според вида на субекта, така че първата работа е да се установи под кой надзорник попадате и каква пропорционалност ви се полага. Регламентът стои на пет стълба: управление на ИКТ риска, докладване на свързани с ИКТ инциденти, тестване на цифровата оперативна устойчивост, управление на риска от трети страни доставчици на ИКТ и обмен на информация. На практика повечето субекти се спъват в три от тях. Първото е член 6(4). Той изисква от финансовите субекти, различни от микропредприятия, да възложат управлението на ИКТ риска на контролна функция с достатъчна независимост, за да оспори бизнеса. Презентация за готовност не отговаря на този въпрос. Отговаря конкретно назначен човек, с описан обхват, независимост и път на ескалация. Второто е регистърът на информацията. Всяко договорно отношение с ИКТ доставчик трябва да е вписано, поддържано актуално и представимо на надзорника при поискване, включително дали услугата поддържа критична или важна функция, веригата от подизпълнители, договорните условия и клаузите за изход. При повечето средни по големина субекти регистърът е наполовина направен в таблица, която никой не е отварял след първото подаване. Третото е докладването на инциденти. Значимите инциденти се класифицират по критериите на DORA и се докладват с първоначално уведомление, междинен и окончателен доклад в определените срокове. Класификацията трябва да се направи в рамките на часове, което означава, че матрицата, шаблоните и правомощието кой решава трябва да са договорени предварително, а не в самия ден. Тестването е отделна тема. Всеки субект има нужда от пропорционална програма за тестване на устойчивостта всяка година. TLPT (тестване, базирано на заплахи, по рамката TIBER-EU) се дължи само от субекти, определени от компетентния орган, и то най-малко веднъж на три години. В България режимът за атестация на TLPT е в сила от юли 2025 г.