Bankok és hitelintézetek
Az IKT-kockázatkezelés, a tesztelés és a harmadik felek kezelése kötelező elem, az incidensek bejelentése szigorú határidőkhöz kötött.
/ DORA
DORA megfelelés
A DORA a pénzügyi szektor digitális működési ellenállóképességének uniós szabálya. Segítünk megérteni az elvárásokat, felmérni a hiányosságokat, és a technikai követelményeket – különösen a tesztelést – a gyakorlatban teljesíteni.
[ 01 ] / MI EZ
Mi a DORA, és mit vár el a pénzügyi szervezetektől?
Röviden
A DORA (Digital Operational Resilience Act, az (EU) 2022/2554 rendelet) a pénzügyi szervezetek és kritikus IKT-szolgáltatóik digitális működési ellenállóképességét szabályozza. Öt területet fed le: IKT-kockázatkezelés, incidenskezelés és -bejelentés, rendszeres tesztelés, harmadik felek kockázata és információmegosztás. 2025. január 17-től kell alkalmazni.
A DORA célja, hogy a pénzügyi szektor ellenálljon az információs és kommunikációs technológiákat (IKT) érintő zavaroknak és támadásoknak, és ha mégis bekövetkeznek, gyorsan helyreálljon. A rendelet egységes szabályokat ad az egész EU-ban, és közvetlenül kötelező: nem kell hozzá hazai átültetés, de a részletes technikai előírásokat szabályozástechnikai standardok (RTS) pontosítják.
A DORA öt fő pillérre épül. Az IKT-kockázatkezelés a szervezet teljes IKT-környezetének irányítását és védelmét várja el. Az incidenskezelés és -bejelentés rövid, többlépcsős határidőket ír elő a súlyos incidensekre. A digitális működési ellenállóképesség tesztelése rendszeres tesztprogramot jelent, a jelentős szervezeteknél fenyegetésvezérelt behatolástesztelést (TLPT) is. A harmadik felek kockázatkezelése az IKT-szolgáltatók szerződéses és biztonsági kezelését, valamint az információs nyilvántartást foglalja magában. Az információmegosztás a fenyegetési információk önkéntes cseréjét ösztönzi.
A DORA a vezetőség felelősségét is hangsúlyozza: a vezető testület hagyja jóvá és felügyeli az IKT-kockázatkezelési keretet. A tesztelésnél a rendelet példaszerűen sorol fel módszereket: sérülékenységvizsgálat és -szkennelés, hálózatbiztonsági értékelés, forráskód-felülvizsgálat, forgatókönyv-alapú tesztek, penetrációs tesztelés. Nem jogi tanácsadás: a konkrét kötelezettségekhez jogi szakértő és a felügyelet iránymutatásai is szükségesek.
Szabályozás és keretrendszerek
- DORA (EU) 2022/2554
- RTS és ITS a DORA-hoz
- TLPT
- ISO/IEC 27001
- NIST CSF
- NIS2
[ 02 ] / KINEK AJÁNLJUK
Kiket érint a DORA?
A rendelet a pénzügyi szektor szereplőire és a számukra kritikus IKT-szolgáltatásokat nyújtó külső cégekre vonatkozik.
Biztosítók és viszontbiztosítók
A rendszerek ellenállóképessége és a külső szolgáltatók (például felhő, adatfeldolgozás) kockázata is a rendelet hatálya alá tartozik.
Befektetési szolgáltatók és alapkezelők
A kereskedési és ügyviteli rendszerek rendelkezésre állása és biztonsága kiemelt elvárás.
Fizetési és e-pénz intézmények, kriptoeszköz-szolgáltatók
A folyamatos szolgáltatás és a csalás elleni védelem miatt kiemelt a tesztelés és az incidenskezelés.
Kritikus IKT-szolgáltatók és beszállítók
A pénzügyi ügyfeleik szerződéses és biztonsági követelményeket támasztanak velük szemben, egyes szolgáltatók közvetlen felügyelet alá is kerülhetnek.
Megfelelőségi és kockázatkezelési vezetők
Segítünk lefordítani a jogi szöveget konkrét technikai teendőkre és bizonyítékokra.
[ 03 ] / MIT TARTALMAZ
A DORA megfelelési támogatás elemei
A szolgáltatást a szervezet méretéhez, érettségéhez és meglévő kontrolljaihoz igazítjuk. A jogi értelmezésben jogásszal együttműködünk, mi a technikai és biztonsági megvalósításra fókuszálunk.
01
DORA hiányelemzés (gap analysis)
Összevetjük a jelenlegi gyakorlatot a rendelet és az RTS követelményeivel, és prioritásokkal ellátott megvalósítási tervet adunk.
02
IKT-kockázatkezelési keret technikai támogatása
Az eszközleltár, a hozzáférés-kezelés, a naplózás, a mentés és helyreállítás, a hálózati védelem és a változáskezelés technikai ellenőrzése és fejlesztési javaslatai.
03
Incidensbesorolás és -bejelentés
Segítünk kialakítani az incidensek besorolási módszerét és a többlépcsős (kezdeti, köztes, záró) bejelentési folyamatot. Részletek: incidenskezelés.
04
Ellenállóképesség-tesztelési program
Éves tesztterv a DORA által felsorolt módszerekkel: sérülékenységvizsgálat, penetrációs teszt, forráskód-felülvizsgálat, forgatókönyv-alapú tesztek.
05
TLPT felkészülés és tesztelés
A jelentős szervezeteknél a fenyegetésvezérelt behatolástesztelés előkészítése és a tesztelői oldal támogatása. Részletek: fenyegetésvezérelt behatolástesztelés.
06
Harmadik felek kockázatkezelése
Az IKT-szolgáltatók biztonsági felmérése, a szerződéses technikai követelmények meghatározása és az információs nyilvántartás (register of information) támogatása.
07
Kilépési és üzletmenet-folytonossági tervek
A kritikus szolgáltatókhoz kapcsolódó kilépési stratégiák, a helyreállítási tervek és azok gyakorlatban való tesztelése.
08
Bizonyítékgyűjtés és auditfelkészítés
A felügyeleti vizsgálatra és a belső auditra való felkészülés: dokumentációk, naplók, tesztjelentések rendszerezése.
[ 04 ] / HOGYAN ZAJLIK
A DORA-felkészülés folyamata
A folyamat a hiányok feltárásától a tesztelésig és a fenntartásig vezet. Mindegyik lépésnek mérhető kimenete van.
Hatókör és érintettség
Meghatározzuk, mely szervezeti egységek, rendszerek és szolgáltatók tartoznak a hatály alá, és melyik funkció kritikus vagy fontos.
Hiányelemzés
Felmérjük a jelenlegi állapotot a DORA pillérei szerint, és feltárjuk a technikai és folyamatbeli hiányosságokat.
Megvalósítási terv
Priorizált, felelősökkel és határidőkkel ellátott ütemtervet készítünk, amely az üzleti kockázatot és a kötelezettségeket egyaránt figyelembe veszi.
Technikai intézkedések bevezetése
Támogatjuk a hozzáférés-kezelés, a naplózás, a mentés, a hálózati védelem és az incidenskezelés fejlesztését.
Tesztelési program
Elindítjuk a rendszeres tesztelést: sérülékenységvizsgálat, penetrációs teszt, forgatókönyv-tesztek, a jelentős szervezeteknél a TLPT előkészítése.
Bizonyítékok és fenntartás
Rendszerezzük az auditbizonyítékokat, és kialakítjuk a folyamatos fejlesztés és a rendszeres felülvizsgálat ritmusát.
[ 05 ] / MIT OLD MEG
Mit old meg a DORA-felkészülés, és miért éri meg?
A DORA nem pusztán megfelelési feladat: a pénzügyi szolgáltatások folytonossága és az ügyfelek bizalma múlik rajta. A jól felépített megfelelés a valódi ellenállóképességet is javítja, mert a technikai kontrollokat és a tesztelést a gyakorlatban is működtetni kell.
A felkészülés csökkenti a felügyeleti szankciók és a vizsgálati meglepetések kockázatát is, és egyszerűsíti a pénzügyi ügyfelekkel való kapcsolatot azoknak az IKT-szolgáltatóknak, amelyek a DORA-követelményeket szerződésben megkapják.
- a DORA technikai követelményeinek átlátható teljesítése
- rendszeres, dokumentált tesztelési program
- gyors, szabályos incidensbejelentés
- jobban kezelt IKT-szolgáltatói kockázat
- auditra és felügyeleti vizsgálatra kész bizonyítékok
Amit kézhez kap
- DORA hiányelemzési jelentés
- priorizált megvalósítási terv
- éves ellenállóképesség-tesztelési terv
- incidensbesorolási és -bejelentési folyamatleírás
- harmadik fél biztonsági felmérési jelentések
- bizonyítékcsomag a felügyeleti és belső auditokhoz
[ 06 ] / MIÉRT A QYNTAR
Miért a Qyntar segítsen a DORA-felkészülésben?
Mert a DORA technikai oldalát csak az tudja jól támogatni, aki a támadó és a védő oldalát is ismeri.
Tesztelési tapasztalat
A DORA tesztelési követelményeit ugyanazok a szakemberek tudják teljesíteni, akik a gyakorlatban végeznek penetrációs teszteket, red teaminget és forráskód-felülvizsgálatot.
Gyakorlati megvalósítás
A jogi szöveget konkrét, megvalósítható technikai teendőkre fordítjuk, nem csak szabályzati dokumentumokat készítünk.
Teljes lánc egy helyen
A hiányelemzéstől a TLPT-ig egy partnerrel dolgozhat, aki az incidenskezeléshez és a megfelelőségi támogatáshoz is kapcsolódik. Lásd: megfelelőségi támogatás.
Bizonyíték-központú munka
Minden lépésnél figyelünk arra, hogy a felügyelet és az auditor számára is elfogadható bizonyíték keletkezzen.
[ 07 ] / GYAKORI KÉRDÉSEK
Gyakran ismételt kérdések – dora megfelelés
Mi az a DORA?
A DORA (Digital Operational Resilience Act) az (EU) 2022/2554 rendelet, amely a pénzügyi szervezetek digitális működési ellenállóképességére vonatkozó egységes szabályokat tartalmaz. 2025. január 17-től kell alkalmazni.
Kiket érint a DORA?
A pénzügyi szektor széles körét: bankokat, biztosítókat, befektetési szolgáltatókat, fizetési és e-pénz intézményeket, kriptoeszköz-szolgáltatókat és más szereplőket, valamint a nekik kritikus IKT-szolgáltatást nyújtó külső cégeket. Az érintettséget a rendelet pontosan felsorolja.
Mi a különbség a DORA és a NIS2 között?
Mindkettő kiberbiztonsági elvárásokat ír elő, de a DORA a pénzügyi szektorra vonatkozó, részletesebb ágazati szabály (lex specialis), míg a NIS2 több ágazatra általános. A pénzügyi szervezeteknél a DORA az irányadó. Részletek: NIS2 megfelelés.
Mi a DORA szerinti tesztelés követelménye?
A szervezeteknek kockázatalapú, rendszeres tesztprogramot kell működtetniük (legalább évente a kritikus rendszereken), a jelentős szervezeteknek pedig legalább háromévente TLPT-t is végezniük kell. Részletek: fenyegetésvezérelt behatolástesztelés.
Milyen határidők vonatkoznak az incidensek bejelentésére?
A súlyos IKT-incidenseket többlépcsős rendben kell bejelenteni: kezdeti értesítés, köztes és záró jelentés. Az első értesítés határideje órákban mérhető. A pontos határidőket és tartalmi követelményeket a szabályozástechnikai standardok rögzítik.
Mi a harmadik felek információs nyilvántartása?
A pénzügyi szervezetnek nyilvántartást (register of information) kell vezetnie az IKT-szolgáltatókkal kötött szerződéses megállapodásairól, és ezt a felügyelet kérésére szolgáltatnia kell. A nyilvántartás a harmadik felek kockázatkezelésének alapja.
Segítenek, ha csak a tesztelési követelményeket kell teljesítenünk?
Igen. A DORA-felkészülésnek külön részeként is vállaljuk a tesztprogram kialakítását és végrehajtását: sérülékenységvizsgálat, penetrációs teszt, forráskód-felülvizsgálat és TLPT.
[ 08 ] / KAPCSOLÓDÓ SZOLGÁLTATÁSOK
Ezek is érdekelhetik
[ + ] / KAPCSOLAT
Kapcsolat
E-mail
Mondja el, milyen biztonsági kihívással áll szemben.
Egy konkrét technikai kérdéstől a komplex biztonsági projektekig segítünk tisztázni a lehetőségeket, a prioritásokat és a továbblépés irányát.
Mutasd az e-mail címet
info
qyntar
com