The Digital Operational Resilience Act (DORA), tradusă ca Legea privind reziliența operațională digitală, oficial Regulamentul (UE) 2022/2554, este un regulament al Uniunii Europene. Acesta obligă entităților financiare să își îmbunătățească reziliența operațională digitală. A intrat în aplicare la 17 ianuarie 2025.
Scop DORA își propune să îmbunătățească reziliența operațională digitală a entităților financiare din UE și a furnizorilor acestora de servicii TIC, precum și să creeze un cadru de reglementare uniform în Uniunea Europeană, pentru a reduce susceptibilitatea la atacurile cibernetice pe întregul sector financiar. În plus, DORA își propune să armonizeze reglementările naționale privind securitatea sistemelor IT din sectorul financiar, consolidând astfel piața financiară europeană în ansamblu împotriva riscurilor cibernetice.
Domenii de aplicare Regulamentul se aplică entităților financiare și furnizorilor terți de servicii TIC. Articolul 2 definește entitățile financiare ca fiind:
Furnizori de servicii de informații despre conturi Administratori de repere critice Contrapărți centrale Depozitarii centrali de valori mobiliare Instituții de credit Agențiile de rating de credit Furnizori de servicii de crowdfunding Furnizori de servicii de raportare a datelor Instituții responsabile de monede electronice Societăți de asigurare și reasigurare intermediari pentru asigurări, intermediari pentr reasigurări și intermediari pentru asigurări auxiliare Firme de investiții Companii de administrare Administratorii fondurilor de investiții alternative Instituții de plată Depozite de securitizare Registrele centrale de tranzacții
Regulamentul nu se aplică explicit:
Intermediarilor de asigurări, intermediarilor de reasigurări și intermediarilor de asigurări auxiliare care sunt microîntreprinderi sau întreprinderi mici sau mijlocii Întreprinderile de asigurare și reasigurare menționate la articolul 4 din Directiva 2009/138/CE Instituții pentru furnizarea de pensii ocupaționale care gestionează scheme de pensii care, împreună, nu au mai mult de 15 membri în total Administratorii fondurilor de investiții alternative, astfel cum sunt menționați la articolul 3 alineatul (2) din Directiva 2011/61/UE Persoane fizice sau juridice exceptate în temeiul articolelor 2 și 3 din Directiva 2014/65/UE Instituțiile poștale de virament, astfel cum sunt menționate la articolul 2 alineatul (5) punctul (3) din Directiva 2013/36/UE
Principiul proporționalității În articolul 4 este definit principiul proporționalității, care duce la unele excepții pentru întreprinderile mai mici care intră sub incidența regulamentului, indiferent de dimensiune. Acest lucru permite o implementare simplificată a anumitor cerințe, în conformitate cu profilul general de risc al întreprinderii.
Structura Regulamentul DORA cuprinde 64 de articole împărțite în 9 capitole: Dispoziții generale (art. 1–4) Gestionarea riscurilor TIC (art. 5–16) Gestionarea, clasificarea și raportarea incidentelor TIC (art. 17–23) Testarea rezilienței operaționale digitale (art. 24–27) Gestionarea riscului ICT față de terți (art. 28–44) Aranjamente privind schimbul de informații (art. 45) Autorități competente (art. 46–56) Acte delegate (art. 57) Dispoziții tranzitorii și finale (art. 58–64)
În plus, autoritățile europene de supraveghere elaborează standarde tehnice de reglementare și de punere în aplicare (RTS și ITS), care, fiind publicate în Jurnalul Oficial al Uniunii Europene, devin și obligatorii din punct de vedere juridic: Tip Subiect Referință DORA Implementat Stare RTS Cadrul de gestionare a riscurilor TIC Art. 15 Regulamentul delegat (UE) 2024/1774 al Comisiei În vigoare RTS Cadru simplificat de gestionare a riscurilor TIC Art. 16 alin. (3) Regulamentul delegat (UE) 2024/1774 al Comisiei În vigoare RTS Clasificarea incidentelor și a amenințărilor cibernetice legate de TIC Art. 18 alin. (3) Regulamentul delegat (UE) 2024/1772 al Comisiei În vigoare RTS Conținutul rapoartelor privind incidentele majore legate de TIC Art. 20 lit. a) Adoptată la 23 octombrie 2024; în așteptarea publicării în Jurnalul Oficial ITS Formulare, șabloane și proceduri standard pentru entitățile financiare pentru raportarea unui incident major legat de TIC Art. 20 lit. b) Versiunea finală a fost publicată pe 17 iulie 2024 RTS Testarea penetrării bazată pe amenințări Art. 26 (11) Versiunea finală a fost publicată pe 17 iulie 2024 SALE Modele standard în scopul registrului de informații Art. 28 (9) Proiect respins de Comisie la 3 septembrie 2024 RTS Politica privind utilizarea serviciilor TIC care susțin funcții critice sau importante furnizate de furnizori terți de servicii TIC (politica terților) Art. 28 (10) Regulamentul delegat (UE) 2024/1773 al Comisiei În vigoare RTS Specificarea elementelor la subcontractarea serviciilor TIC care susțin funcții critice sau importante Art. 30 alin. (5) Versiunea finală a fost publicată pe 26 iulie 2024 Ghiduri Cooperarea dintre AES și autoritățile competente în ceea ce privește structura cadrului de supraveghere Art. 32 (7) Publicat pe 6 noiembrie 2024 RTS Armonizarea condițiilor care permit desfășurarea activităților de supraveghere Art. 41 Adoptată la 24 octombrie 2024; în așteptarea publicării în Jurnalul Oficial
Note
Categorie:Reglementări ale Uniunii Europene