Digital Operational Resilience Act

DORA поставя нови изисквания към финансовите институции и техните доставчици за управление на рисковете от дигиталната среда. Нашите услуги са насочени към подготовка и внедряване на необходимите мерки за съответствие. Ние ви помагаме да разберете и внедрите промените, като предоставяме:

• Консултации и оценка на готовността: Анализираме текущото ви състояние спрямо DORA и разработваме стратегия за постигане на съответствие с новите изисквания.
• Разработка на стратегии за устойчивост: Създаваме стратегии, които включват управление на инциденти, продължаване на бизнеса и планове за възстановяване, като използваме най-добрите практики в индустрията.
• Техническа поддръжка и внедряване: Подкрепяме ви с внедряването на необходимите технологични решения и инструменти за повишаване на дигиталната устойчивост на вашата организация.
• Обучения и развитие на персонала: Провеждаме обучения, които да повишат осведомеността и компетентностите на вашия екип в управлението на дигитални рискове.

Регламент 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор (DORA – Digital Operational Resilience Act) има за цел да установи единни правила за сигурността на мрежите и информационните системи във финансовия сектор. Регламентът е в сила от 16 януари 2023 г., като от 17 януари 2025 г. за неизпълнение на изискванията на DORA могат да бъдат налагани ефективни санкции, които са в размер на до 2% от общия годишен оборот в световен мащаб или до 1% от средния дневен оборот в световен мащаб за период до шест месеца, докато не се постигне съответствие. За физически лица глобите могат да достигнат до 1 милион евро, а за критични трети страни доставчици на ИКТ услуги - до 5 милиона евро.

В обхвата на регламента попадат широк кръг финансови субекти и трети страни, предоставящи ИКТ услуги, сред които:

Регламентът налага на тези субекти да внедрят и поддържат ефективни и надеждни мерки за управление на ИКТ риска, които включват идентификация, класификация, документиране и редовно преразглеждане на всички бизнес функции, подпомагани от ИКТ. Субектите трябва също така да осигурят непрекъснат мониторинг и бързо реагиране при ИКТ инциденти

Основните предлагани от Сентинал Сълюшънс услуги, отговарящи на изискванията на Регламента са:

1. Разработка на Вътрешна рамка за управление и контрол, която гарантира ефективно и разумно управление на риска в областта на ИКТ (чл. 5, ал. 1, във връзка с чл. 6)
2. Разработка на рамка за управление на риска в областта на ИКТ (чл. 6, ал. 8)
3. Изпълнение (делегиране) на правомощията на Ръководния орган по отношение на надзора върху Вътрешната рамка (чл. 6, ал. 2), процесът на оценка на риска (чл. 8, ал. 3), вкл. по отношение на наследените системи (чл. 8, ал. 7), идентификацията и описанието на ИКТ активите (чл. 8, ал. 3), идентификацията и описанието (документирането) на всички процеси, които зависят от трети страни доставчици на услуги в областта на ИКТ (чл. 8, ал. 5)
4. Изпълнение (делегиране) на правомощията на Ръководния орган по отношение на периодичния преглед на изпълнението на политиката на финансовия субект за непрекъснатост на дейността на ИКТ и на плановете му за реакция и възстановяване на ИКТ (чл. 6, ал. 2, т. „д“)
5. Участие или цялостно извършване (аутсорсинг) на вътрешните одити на ИКТ, на одитите на ИКТ и на съществените промени в тях (чл. 6, ал. 2, т. „е“)
6. Осъществяване на наблюдение върху сключените с третите страни доставчици на услуги в областта на ИКТ договорни споразумения за използване на услуги в областта на ИКТ (чл. 6, ал. 3)
7. Провеждане на обучения на членовете на ръководния орган на финансовия субект по отношение на изискването за активно поддържане на достатъчно актуални знания и умения, за да разбират и оценяват рисковете в областта на ИКТ и тяхното въздействие върху дейността на финансовия субект, включително като редовно преминават специално обучение, съизмеримо с управлявания риск в областта на ИКТ (чл. 6, ал. 4)
8. Организиране на обучения на персонала за повишаване на осведомеността за сигурността на ИКТ и обучения по оперативна устойчивост на цифровите технологии (чл. 13, ал. 6)
9. Разработване, изпълнение и/или подпомагане на разработването/изпълнението на всеобхватната програма за тестване на оперативната устойчивост на цифровите технологии (чл. 24, ал. 1, във връзка с ал. 4 и 6 и чл. 26, ал. 8), в това число разработване и изпълнение на различни тестове (чл. 25, ал. 1)

Съгласно чл. 27, ал. 1 „Изисквания към лицата, провеждащи тестване за проникване“: За провеждането на тестване за проникване финансовите субекти използват само лица, провеждащи такива тестове, които:

• са най-подходящи за целта и са с най-добра репутация;
• разполагат с необходимия технически и организационен капацитет и притежават специална експертни познания в областта на разузнавателните сведения за заплахи, тестването за проникване и тестването на защитните механизми при симулиране на реални условия (червен екип);
• са акредитирани от акредитиращ орган на държава членка или се придържат към официални етични кодекси или изисквания;
• предоставят независима гаранция или одитен доклад за доброто управление на рисковете, свързани с провеждането на тестване за проникване, включително подходяща защита на поверителната информация на финансовия субект и средства за правна защита във връзка с рисковете за дейността на финансовия субект;
• разполагат с надлежно и цялостно застрахователно покритие за професионална отговорност, включително срещу риска от неправомерно поведение и небрежност.