Подготовка за одити и регулаторни изисквания
DORA: оценка и подготовка за съответствие
Преглеждаме договорите, процесите и документацията ви, за да установим кои изисквания изпълнявате и какво още е необходимо.
Нашият опит
Проектът се ръководи от бивш консултант по сигурността в Microsoft
01 / ПОДРОБНОСТИ
Как помагаме за DORA
02 / ПОДРОБНОСТИ
За кого е подходяща услугата
Банки и клонове на банки под надзора на БНБ
Платежни институции и дружества за електронни пари
Инвестиционни посредници и управляващи дружества под надзора на КФН
Застрахователи и презастрахователи, включително застрахователни посредници в обхвата
Доставчици на услуги за криптоактиви и финтех дружества с лиценз в ЕС
ИКТ доставчици, които обслужват финансови субекти и получават въпросници по член 30
Готови ли сте да започнете?
Запазете безплатна консултация с нашите специалисти с опит в Microsoft. Уточняваме обхвата и ви изпращаме оферта с фиксирана цена до 24 часа.
03 / ПОДРОБНОСТИ
Нашата методология
Определяне на обхвата
Уточняваме вида и размера на организацията, компетентния орган и дали се прилага опростен или пълен режим.
Рамка и регистър
Разработваме или актуализираме рамката и политиките за ИКТ риск. Попълваме регистъра на информацията и го съпоставяме с договорите.
Инциденти и тестване
Подготвяме критерии за класификация, образци за докладване, отговорности и практически учения. Изготвяме график за тестовете и обхват на TLPT, когато е приложим.
Текущ контрол и отчетност
Докладваме на всяко тримесечие пред управленския орган, поддържаме регистъра и координираме тестовете и комуникацията с надзорния орган.
04 / РЕЗУЛТАТИ
Какво получавате
- Определяне на приложимите изисквания и компетентния надзорен орган
- Рамка и политики за управление на ИКТ риска по член 6
- Назначаване на контролната функция по член 6(4) с описан обхват и независимост
- Изграждане и съгласуване на регистъра на информацията с реалните договори
- Матрица за класификация на инциденти и шаблони за трите доклада
- Договорни клаузи с ИКТ доставчици по член 30
- Годишна програма за тестване и подготовка на обхват за TLPT, когато е приложим
- Тримесечни доклади пред управленския орган и подготовка за проверки от регулатора
05 / ЦЕНИ
Обхват и цени за DORA
Оценка на готовността
Уточняване на обхвата, оценка на пропуските в петте области на DORA и план за действие с приоритети.
- Вид организация, надзорен орган и приложими изисквания
- Анализ на пропуските по членове 5 до 30
- Преглед на текущия регистър на информацията
- План за действие с приоритети и отговорници
Подготовка за изпълнение на DORA
Рамка за управление, регистър на информацията, процедури при инцидент и график за тестове за една организация.
- Рамка и политики за ИКТ риск
- Попълнен и съгласуван регистър на информацията
- Матрица за класификация и шаблони за докладване
- Годишна програма за тестване на устойчивостта
Текуща функция по чл. 6(4)
Изпълняваме контролната функция: тримесечни доклади, поддръжка на регистъра и контрол върху програмата за тестване.
- Определен специалист с писмено възложени отговорности и независимост
- Тримесечен доклад до управленския орган
- Поддръжка на регистъра и надзор на тестването
- Участие в комуникацията с надзорния орган
За групи с няколко дружества изготвяме писмена оферта преди началото на работата.
06 / ВЪПРОСИ
Често задавани въпроси
За кого се прилага DORA?
DORA обхваща финансови организации в ЕС, включително банки, платежни институции, дружества за електронни пари, инвестиционни посредници, застрахователи, управляващи дружества и доставчици на услуги за криптоактиви — около 22 000 организации в 20 категории. Регламентът урежда и отношенията им с ИКТ доставчиците. В България компетентният орган е БНБ или КФН според вида на организацията.
От кога се прилага?
DORA се прилага от 17 януари 2025 г. От тази дата организациите в обхвата му трябва да изпълняват приложимите изисквания.
Какво е регистърът на информацията?
Това е структуриран регистър на договорите с ИКТ доставчици. Той описва услугите, поддържаните критични или важни функции, подизпълнителите и договорните условия. Поддържа се актуален и се предоставя на надзорния орган при поискване. Помага и при оценката на зависимостта от отделни доставчици и подготовката за тяхната смяна.
Всички организации ли трябва да провеждат TLPT?
Не. TLPT се изисква от организациите, определени от компетентния орган, и се провежда най-малко веднъж на три години. Останалите приложими проверки на устойчивостта се планират според риска и изискванията към съответната организация.
Може ли нашият ИТ доставчик да бъде и контролната функция по член 6(4)?
Необходимо е да се оцени независимостта на тази функция. Доставчик, който управлява ИТ средата, може да се окаже в положение да проверява собствената си работа. Затова отговорностите, независимостта и редът за докладване трябва да бъдат ясно определени и отделени от оперативното управление на ИТ.
Имаме ISO 27001. Достатъчно ли е?
ISO 27001 дава добра основа за управлението на сигурността, но DORA има допълнителни конкретни изисквания: регистър на информацията, класификация и докладване на инциденти, програма за тестове, договори с ИКТ доставчици и отговорности на ръководството. Съпоставяме съществуващата система за управление с DORA и установяваме какво още е необходимо.
07 / ПОДРОБНОСТИ
Запазете безплатна консултация
Запазете удобен час за безплатна 30-минутна консултация. Разговорът не ви обвързва с договор.
Изберете удобен час, за да обсъдим нуждите ви.