Nařízení DORA pro fintechy: rizika ICT a třetích stran

Co to je?

DORA je nařízení, a proto se ve členských státech uplatňuje přímo, doplněné technickými normami. Stojí na pěti pilířích. Řízení rizik v oblasti ICT vyžaduje zdokumentovaný rámec zahrnující identifikaci, ochranu, detekci, reakci a obnovu, poučení a komunikaci, přičemž konečnou odpovědnost nese řídicí orgán. Řízení incidentů souvisejících s ICT vyžaduje klasifikaci incidentů a hlášení závažných incidentů příslušnému orgánu ve stanovených lhůtách. Testování digitální provozní odolnosti vyžaduje program testování přiměřený danému subjektu; některé subjekty určené orgány musí navíc podstoupit penetrační testování vedené hrozbami podle zvláštních pravidel. Řízení rizik v oblasti ICT spojených s třetími stranami vyžaduje registr informací o všech smluvních ujednáních o službách ICT, posouzení rizik před uzavřením smlouvy, konkrétní smluvní ustanovení a strategie ukončení. Sdílení informací o hrozbách v rámci důvěryhodných komunit je podporováno. Všude se uplatňuje zásada proporcionality a vymezený okruh menších subjektů, například malé a nepropojené investiční podniky a některé vyjmuté platební instituce a instituce elektronických peněz, může uplatňovat zjednodušený rámec řízení rizik v oblasti ICT podle článku 16.

Pro koho to je?

Tento průvodce je určen pro:

• Platební, e-money, kryptoaktivové, investiční a další licencované fintechy, které spadají do výčtu finančních subjektů podle DORA
• Vedoucí pro compliance, rizika a technologie, kteří budují nebo přezkoumávají program DORA
• Poskytovatele ICT a dodavatele softwaru, kteří obsluhují finanční subjekty a dostávají smluvní požadavky podle DORA
• Zakladatele, kteří potřebují vysvětlit požadavky DORA investorům nebo představenstvu

Co to pomůže objasnit

Přezkum jednotlivých pilířů pomáhá ujasnit:

• Které kritické nebo důležité funkce vaše firma podporuje a na kterých systémech ICT závisejí
• Zda váš registr třetích stran a smlouvy obsahují to, co DORA očekává
• Co by měl zahrnovat váš program testování odolnosti s ohledem na vaši velikost a rizikový profil
• Kde chybějí technické důkazy, které by podložily řídicí dokumenty

Co je zahrnuto

• Řízení: potvrďte schválení rámce řízení rizik ICT řídicím orgánem a jeho dohled nad ním a zdokumentujte role
• Mapování aktiv a funkcí: určete kritické nebo důležité funkce a systémy, data a poskytovatele, kteří za nimi stojí
• Ochrana a detekce: přezkoumejte řízení přístupu, MFA, logování a monitorování těchto systémů
• Řízení incidentů: definujte klasifikační kritéria, osoby s rozhodovací pravomocí a postup hlášení závažných incidentů
• Kontinuita: otestujte zálohování, obnovu a cíle obnovy pro kritické funkce
• Program testování: naplánujte posouzení zranitelností, scénářové testy a penetrační testy přiměřené riziku
• Registr třetích stran: sepište všechna ujednání o ICT s uvedením funkce, dat, umístění a subdodávek
• Smlouvy: ověřte požadovaná ustanovení, jako jsou popisy služeb, umístění dat, práva na audit a přístup, podpora při incidentech a podmínky ukončení
• Strategie ukončení: zdokumentujte, jak byste přešli od kritického poskytovatele jinam
• Riziko koncentrace: poznamenejte si, kde několik kritických funkcí závisí na jednom poskytovateli

Co není součástí

• Právní poradenství nebo regulatorní výklad pro vaši konkrétní licenci
• Penetrační testování vedené hrozbami v rámci určeném regulátorem
• Podávání hlášení o incidentech nebo registrů orgánům
• Certifikace nebo schválení souladu

Kdy si ji vybrat

Použijte tohoto průvodce při přípravě nebo přezkumu svého programu DORA, před obnovením smluv s klíčovými poskytovateli ICT a před stanovením ročního plánu testování. Pokud váš příslušný orgán vydal konkrétní pokyny nebo požadavky, řiďte se nejprve jimi. Dodavatelé obsluhující finanční subjekty by měli využít část o třetích stranách, aby předvídali smluvní požadavky a žádosti o audit. Tento článek je obecnou informací a není právním poradenstvím.

Náš přístup

Většina fintechů zjistí, že dokumentace existuje, ale technických důkazů je málo. Začněte mapováním kritických funkcí na systémy a poskytovatele; toto jediné cvičení určuje registr, rozsah testování i plánování kontinuity. Poté shromážděte důkazy o tom, jak klíčová opatření skutečně fungují. Naše služba Security Baseline Review může poskytnout písemný pohled na dohodnutá aktiva odstupňovaný podle závažnosti, který pomáhá ukázat, jak na tom je konfigurace a řízení přístupu. Pro testování aplikací a API v rámci programu testování odolnosti vychází naše služba Penetration Testing z písemného rozsahu a oprávnění a dodává nálezy odstupňované podle závažnosti, s opakovaným testem dohodnutých nálezů, pokud je zahrnut. Obě služby doplňují testování vedené hrozbami určené regulátorem, právní poradenství a schválení souladu, které probíhají vlastními postupy. Každý důkaz opatřete datem a propojte jej s funkcí, kterou podporuje, aby bylo možné na přezkumy vedení a dotazy orgánů dohledu odpovídat ze záznamů, a ne z paměti.

Security Baseline Review

Často kladené otázky

Související články