DORA-forordningen for fintechs: ICT- og tredjepartsrisiko

Hvad det er

DORA er en forordning, så den gælder direkte i alle medlemsstater, understøttet af tekniske standarder. Den bygger på fem søjler. ICT-risikostyring kræver en dokumenteret ramme, der dækker identifikation, beskyttelse, detektion, reaktion og genopretning, læring og kommunikation, hvor ledelsesorganet har det endelige ansvar. Håndtering af ICT-relaterede hændelser kræver klassificering af hændelser og rapportering af større hændelser til den kompetente myndighed inden for fastsatte frister. Test af digital operationel modstandsdygtighed kræver et testprogram, der står i forhold til enheden; visse enheder, som myndighederne udpeger, skal også gennemgå trusselsbaseret penetrationstest efter særlige regler. Styring af ICT-tredjepartsrisiko kræver et register over oplysninger om alle ICT-tjenesteaftaler, risikovurdering før kontraktindgåelse, særlige kontraktbestemmelser og exitstrategier. Deling af oplysninger om trusler opfordres inden for betroede fællesskaber. Proportionalitet gælder overalt, og en fastlagt liste over mindre enheder, såsom små og ikke-forbundne investeringsselskaber og visse undtagne betalings- og e-pengeinstitutter, kan anvende den forenklede ramme for ICT-risikostyring i artikel 16.

Hvem er det for?

Denne vejledning henvender sig til:

• Betalings-, e-penge-, kryptoaktiv-, investerings- og andre fintechs med tilladelse, som hører under DORA’s liste over finansielle enheder
• Ansvarlige for compliance, risiko og teknologi, der opbygger eller gennemgår et DORA-program
• ICT-udbydere og softwareleverandører, der betjener finansielle enheder og modtager DORA-krav i kontrakter
• Stiftere, der skal forklare DORA’s forventninger til investorer eller bestyrelser

Hvad det hjælper med at afklare

Når I gennemgår søjlerne, hjælper det med at afklare:

• Hvilke kritiske eller vigtige funktioner jeres virksomhed understøtter, og hvilke ICT-systemer de afhænger af
• Om jeres tredjepartsregister og kontrakter indeholder det, DORA forventer
• Hvad jeres program for test af modstandsdygtighed bør omfatte i lyset af jeres størrelse og risikoprofil
• Hvor der mangler teknisk dokumentation til at understøtte ledelsesdokumenterne

Hvad er inkluderet

• Ledelse: bekræft ledelsesorganets godkendelse af og tilsyn med ICT-risikorammen, og dokumentér roller
• Kortlægning af aktiver og funktioner: identificér kritiske eller vigtige funktioner og de systemer, data og udbydere, der ligger bag dem
• Beskyttelse og detektion: gennemgå adgangskontrol, MFA, logning og overvågning for disse systemer
• Hændelseshåndtering: definér klassificeringskriterier, beslutningstagere og rapporteringsforløb for større hændelser
• Kontinuitet: test backup, gendannelse og genopretningsmål for kritiske funktioner
• Testprogram: planlæg sårbarhedsvurderinger, scenarietest og penetrationstest, der står i forhold til risikoen
• Tredjepartsregister: oplist alle ICT-aftaler med funktion, data, placering og oplysninger om underleverandører
• Kontrakter: kontrollér, at de påkrævede bestemmelser er med, såsom tjenestebeskrivelser, dataplacering, revisions- og adgangsrettigheder, støtte ved hændelser og exitvilkår
• Exitstrategier: dokumentér, hvordan I ville skifte væk fra en kritisk udbyder
• Koncentrationsrisiko: notér, hvor flere kritiske funktioner er afhængige af én udbyder

Hvad er ikke inkluderet?

• Juridisk rådgivning eller regulatorisk fortolkning for jeres specifikke tilladelse
• Trusselsbaseret penetrationstest under en ramme udpeget af tilsynsmyndigheden
• Indsendelse af hændelsesrapporter eller registre til myndigheder
• Certificering eller godkendelse af compliance

Hvornår du skal vælge det

Brug denne vejledning, når I forbereder eller gennemgår jeres DORA-program, før I fornyer kontrakter med vigtige ICT-udbydere, og før jeres årlige testplan fastlægges. Hvis jeres kompetente myndighed har udsendt specifik vejledning eller anmodninger, så følg dem først. Leverandører, der betjener finansielle enheder, bør bruge afsnittet om tredjeparter til at forudse anmodninger om kontrakter og revision. Denne artikel er generel information og ikke juridisk rådgivning.

Vores tilgang

De fleste fintechs oplever, at dokumentationen findes, men at den tekniske dokumentation er sparsom. Start med at kortlægge kritiske funktioner til systemer og udbydere; denne ene øvelse driver registeret, testomfanget og kontinuitetsplanlægningen. Indsaml derefter dokumentation for, hvordan de vigtigste kontroller faktisk fungerer. Vores tjeneste Security Baseline Review kan give en skriftlig vurdering af aftalte aktiver graderet efter alvorlighed, som hjælper med at vise, hvor konfiguration og adgangskontrol står. Til test af applikationer og API’er inden for programmet for test af modstandsdygtighed arbejder vores tjeneste Penetration Testing ud fra et skriftligt omfang og en skriftlig autorisation og leverer fund graderet efter alvorlighed med gentest af aftalte fund, hvor det er inkluderet. Begge supplerer trusselsbaseret test udpeget af tilsynsmyndigheden, juridisk rådgivning og godkendelse af compliance, som følger deres egne processer. Datér hvert stykke dokumentation, og knyt det til den funktion, det understøtter, så ledelsens gennemgange og tilsynets spørgsmål kan besvares ud fra registreringer frem for hukommelse.

Security Baseline Review

Ofte stillede spørgsmål

Relaterede artikler