DORA krok po kroku. Od czego zacząć i czego nie odpuścić.
DORA obowiązuje od stycznia 2025, a połowa firm dalej traktuje ją jak trzy arkusze i nadzieję. No to po kolei, co realnie trzeba zrobić.
No to bez owijania. DORA, czyli rozporządzenie 2022/2554, obowiązuje sektor finansowy od 17 stycznia 2025. Nie dyrektywa do transpozycji, tylko rozporządzenie… działa wprost. A mimo to u wielu firm temat dalej wygląda jak skansen: osobny plik na dostawców, osobny na umowy, osobny na incydenty.
TL;DR
- DORA = jedno rozporządzenie, pięć filarów, obowiązuje wprost od 17.01.2025
- Zacznij od rejestru dostawców ICT i klasyfikacji funkcji krytycznych
- Spójność RTO/RPO między umową a BIA to miejsce, gdzie najczęściej jest dziura
- Rejestr do organu nadzoru (KNF) musi być gotowy do wysłania, nie do sklejenia na ostatnią chwilę
Kogo dotyczy DORA
Podmioty finansowe w UE: banki, firmy inwestycyjne, instytucje płatnicze i pieniądza elektronicznego, zakłady ubezpieczeń i reasekuracji. Plus, i to jest często przeoczane, kluczowi zewnętrzni dostawcy usług ICT dla tego sektora. Jeśli obsługujesz finansówkę technologią, DORA dotyczy też Ciebie, choćbyś nie był bankiem.
No i osobny przypadek: mała firma IT, której bank przysłał ankietę i aneks z art. 30. DORA obowiązuje bank, ale wymagania spływają na Ciebie przez umowę. Co wtedy odpowiedzieć i jakie dokumenty mieć, opisujemy w tekście Bank przysłał ankietę DORA: co musisz mieć, a gotowy pakiet i próbka są na stronie dla dostawców ICT.
Krok 1: rejestr dostawców ICT i funkcje krytyczne
Tu się zaczyna cała robota. Każdy dostawca, który dotyka funkcji krytycznej, musi być sklasyfikowany. Do tego concentration risk, czyli sytuacja, gdy za dużo funkcji wisi u jednego providera… klasyk z chmurą.
Bez tego rejestru reszta nie ma sensu, bo to z niego wynika, co raportujesz do KNF i gdzie masz pojedynczy punkt awarii.
Krok 2: umowy z RTO i RPO
Każda umowa ICT ma deklarowane RTO i RPO. Każdy proces ma swoje wymagane RTO z analizy wpływu na działalność (BIA). I teraz uwaga… jak RTO w umowie jest dłuższe niż RTO z BIA, masz niespójność, której audytor nie wybaczy.
Krok 3: zarządzanie incydentami i testy odporności
Klasyfikacja incydentów, ścieżka zgłoszenia, a dla większych podmiotów także TLPT, czyli testy penetracyjne prowadzone scenariuszem zagrożenia. Do tego scenariusze ciągłości: awaria data center, atak, padnięcie dostawcy. Każdy scenariusz ma właściciela, plan i wnioski po teście.
Krok 4: raport do organu nadzoru
Rejestr dostawców idzie do KNF w określonym formacie. To nie jest dokument, który sklejasz w noc przed terminem… to ma być żywy rejestr, z którego eksport robi się jednym ruchem. Każda zmiana u dostawców powinna aktualizować to, co pokazujesz nadzorowi.
Jak to ogarnąć bez trzech arkuszy
Sedno DORA to powiązania: dostawca ; umowa ; proces ; RTO ; incydent. W arkuszach te powiązania trzymasz w głowie i ręcznie synchronizujesz, aż przestajesz. W module DORA te same dane siedzą raz, a niespójność RTO czy zbyt duży concentration risk same wyskakują jako sygnał.
I jeszcze jedno na koniec, bo to motywuje skuteczniej niż checklisty: nadzór może nakładać dotkliwe kary okresowe, a w finansówce dochodzi reputacja. Szczegóły masz w FAQ modułu DORA. Lepiej mieć to pozamiatane zanim zapyta KNF.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.