DORA
Rozporządzenie 2022/2554 o cyfrowej odporności operacyjnej sektora finansowego. Obowiązuje od 17.01.2025.
DORA wymaga od podmiotów finansowych w UE spójnego zarządzania ryzykiem ICT: rejestru dostawców usług ICT z klasyfikacją funkcji krytycznych, testów odporności, raportowania incydentów i kontroli nad ryzykiem koncentracji (concentration risk).
To rozporządzenie, czyli obowiązuje wprost, bez transpozycji. Dotyczy banków, firm inwestycyjnych, instytucji płatniczych, ubezpieczycieli oraz kluczowych zewnętrznych dostawców ICT dla tego sektora. W Polsce nadzór sprawuje KNF.
Częsta pułapka to RTO mismatch: czas odtworzenia zapisany w umowie z dostawcą jest dłuższy niż wymagany w analizie wpływu na działalność (BIA). Na papierze wygląda dobrze, przy realnej awarii się sypie. Rejestr dostawców musi być żywy i gotowy do eksportu do KNF.
W praktyce: zobacz odpowiedni moduł RealSec.
Maksymalny czas, w jakim proces lub system musi wrócić do działania po awarii.
Maksymalna ilość danych, jaką możesz stracić po awarii, wyrażona w czasie (np. ostatnia godzina).
Dyrektywa UE 2022/2555 o wysokim wspólnym poziomie cyberbezpieczeństwa. W Polsce wdrażana przez nowelizację KSC.
Compliance, który łączy.
Pojęcia to mapa. RealSec spina je z procesami, systemami i dostawcami w jeden silnik.