DORA atitikties vertinimas ir pasirengimas
Vertiname, kaip finansų sektoriaus organizacijoje įgyvendinti DORA reikalavimai, ir nustatome, kokių veiksmų dar reikia. Peržiūrime IKT rizikos valdymą, incidentų procesus, veiklos atsparumo testavimą ir IKT trečiųjų šalių rizikas, aprašome reikalingus procesus ir parengiame dokumentaciją.
Kam taikoma DORA
DORA taikoma reglamente išvardytiems finansų sektoriaus subjektams, įskaitant kredito ir mokėjimo įstaigas, elektroninių pinigų įstaigas, investicines įmones, draudimo ir perdraudimo įmones bei kitus finansų rinkos dalyvius.
Konkreti taikymo apimtis priklauso nuo organizacijos veiklos, statuso, dydžio ir kitų reglamente nustatytų kriterijų, todėl vertinimą pradedame nuo to, ar ir kokia apimtimi DORA reikalavimai taikomi konkrečiai organizacijai.
Finansų sektoriaus organizacijoms DORA taip pat nustato reikalavimus valdyti IKT trečiųjų šalių riziką. Atskirą ES priežiūros sistemą DORA nustato tiems IKT paslaugų teikėjams, kurie oficialiai pripažįstami kritiniais.
Kaip organizuojame DORA reikalavimų įgyvendinimą
Nustatome taikomus reikalavimus
Apibrėžiame DORA taikymo apimtį ir peržiūrime esamus IKT rizikos, incidentų, testavimo bei tiekėjų valdymo procesus.
Išskiriame spragas ir prioritetus
Nustatome trūkstamas priemones ir sudarome darbų planą pagal prioritetus.
Rengiame reikalingus procesus ir dokumentaciją
Atnaujiname arba parengiame reikalingas politikas, procedūras, registrus ir kitą sutartoje apimtyje numatytą dokumentaciją.
Peržiūrime pasirengimą
Patikriname atliktus darbus, likusias spragas ir pasirengimą tolesniam vidiniam ar priežiūros institucijos vertinimui.
Dažniausi klausimai apie DORA
Kam taikoma DORA?
DORA taikoma reglamente išvardytiems finansų sektoriaus subjektams, tarp jų kredito ir mokėjimo įstaigoms, elektroninių pinigų įstaigoms, investicinėms įmonėms, draudimo bendrovėms ir kitiems finansų rinkos dalyviams. Konkreti taikymo apimtis priklauso nuo organizacijos statuso ir veiklos, todėl ją vertiname individualiai.
Ar DORA jau taikoma?
Taip. DORA reikalavimai taikomi nuo 2025 m. sausio 17 d.
Ar DORA pakeičia ISO 27001?
Ne. DORA yra teisiškai privalomas ES reglamentas jį apimantiems finansų sektoriaus subjektams, o ISO/IEC 27001 yra sertifikuojamas informacijos saugumo vadybos sistemos standartas. ISO 27001 įgyvendinimas gali padėti įgyvendinti dalį DORA reikalavimų, tačiau jų apimtis nėra vienoda.
Ar turint ISO 27001 jau atitinkame DORA?
Ne automatiškai. ISO 27001 gali suteikti gerą pagrindą informacijos saugumo ir rizikų valdymui, tačiau DORA turi specifinių reikalavimų, susijusių su IKT incidentų pranešimu, skaitmeninio veiklos atsparumo testavimu, IKT trečiųjų šalių rizika ir kitomis finansų sektoriui taikomomis pareigomis.
Ar DORA reikalauja valdyti IKT tiekėjų riziką?
Taip. Finansų sektoriaus subjektai turi valdyti su IKT trečiosiomis šalimis susijusias rizikas, įskaitant sutartinius reikalavimus ir priklausomybes nuo paslaugų, palaikančių kritines ar svarbias funkcijas.
Ką gausime po DORA vertinimo?
Priklausomai nuo sutartos paslaugos apimties, pateikiame nustatytų spragų ir rizikų vertinimą, veiksmų planą pagal prioritetus bei parengtus arba atnaujintus procesus ir dokumentaciją.
Norite įvertinti savo DORA atitiktį?
Trumpai papasakokite apie savo organizaciją ir esamą pasirengimo būklę. Įvertinsime, kokia DORA reikalavimų apimtis Jums aktuali ir nuo kokių veiksmų tikslinga pradėti.