Акт про цифрову́ операці́йну сті́йкість (АЦОС; ) — нормативно-правовий акт Європейського Союзу, який вимагає від фінансових установ покращити свою цифрову операційну стійкість.
Мета DORA має на меті покращити цифрову операційну стійкість фінансових установ у Європейському Союзі та їхніх постачальників ІКТ та створити єдину нормативну базу в Європейському Союзі, щоб зменшити сприйнятливість до кіберзагроз у всьому ланцюжку створення вартості фінансового сектора. Крім того, DORA має намір гармонізувати національні правила щодо безпеки ІТ-систем у фінансовому секторі, таким чином зміцнюючи європейський фінансовий ринок у цілому проти кіберризиків та інцидентів у сфері інформаційно-комунікаційних технологій.
Застосування Регламент поширюється на фінансові установи та сторонніх постачальників послуг ІКТ. Стаття 2 визначає фінансові установи як:
Постачальники послуг надання інформації про облікові записи Адміністратори критичних тестів Центральні контрагенти Центральні депозитарії цінних паперів Кредитні установи Кредитно-рейтингові агентства Постачальники послуг краудфандингу Постачальники послуг криптоактивів і емітенти токенів, пов’язаних із активами Постачальники послуг звітування даних Установи електронних грошей Заклади професійного пенсійного забезпечення Страхові та перестрахові компанії страхових посередників, посередників у перестрахуванні та посередників у допоміжному страхуванні Інвестиційні фірми Керуючі компанії Керуючі фондами альтернативних інвестицій Платіжні установи Сховища сек'юритизації Торгові сховища Торгові майданчики
Регламент прямо не поширюється на:
Страхових посередників, посередників з перестрахування та допоміжних страхових посередників, які є мікропідприємствами або малими чи середніми підприємствами; Страхові та перестрахові компанії, як зазначено у статті 4 Директиви 2009/138/ЄС; Установи професійного пенсійного забезпечення, які керують пенсійними схемами, які разом не мають більше ніж 15 учасників; Менеджерів альтернативних інвестиційних фондів, як зазначено в статті 3(2) Директиви 2011/61/ЄС; Фізичних або юридичних особів, звільнених відповідно до статей 2 і 3 Директиви 2014/65/ЄС; Поштові установи жиро, як зазначено в пункті (3) частини 5 статті 2 Директиви 2013/36/ЄС.
Принцип пропорційності Стаття 4 визначає принцип пропорційности, що призводить до деяких винятків для малих підприємств, які потрапляють до сфери дії регулювання, незважаючи на їх розмір. Це дозволяє спростити реалізацію певних вимог відповідно до загального профілю ризику підприємства. Прикладом цього є спрощена структура управління ризиками ІКТ відповідно до статті 16 у поєднанні з нормативним технічним стандартом (RTS).
Структура Регламент складається з 64 статей, які розділені на 9 розділів:
Загальні положення (ст. 1–4) Управління ризиками ІКТ (ст. 5–16) Управління інцидентами, пов’язаними з ІКТ, класифікація та звітність (ст. 17–23) Тестування цифрової операційної стійкости (ст. 24–27) Управління ризиком третьої сторони ІКТ (ст. 28–44) Механізми обміну інформацією (ст. 45) Компетентні органи (ст. 46–56) Делеговані акти (ст. 57) Перехідні та прикінцеві положення (ст. 58–64)
Крім того, європейські наглядові органи розробляють нормативні та імплементаційні технічні стандарти (RTS та ITS), які після публікації в Офіційному віснику Європейського Союзу також стають юридично обов’язковими: ТипСуб'єктПримітка DORAІмплементованоСтатусRTSСтруктура управління ризиками ІКТСт. 15Делегований регламент Комісії (ЄС) № 2024/1774ЧинноRTSСпрощена структура управління ризиками ІКТСт. 16 (3)Делегований регламент Комісії (ЄС) № 2024/1774ЧинноRTSКласифікація інцидентів та кіберзагроз, пов’язаних з ІКТСт. 18 (3)Делегований регламент Комісії (ЄС) № 2024/1772ЧинноRTSЗміст звітів про серйозні інциденти, пов’язані з ІКТСт. 20 (a)Прийнято 23 жовтня 2024 р.ITSСтандартні форми, шаблони та процедури для звітування фінансовими установами про великий інцидент, пов’язаний з ІКТСт. 20 (b)Остаточний проєкт опубліковано 17 липня 2024 р.RTSТестування на проникнення на основі загрозСт. 26 (11)Остаточний проєкт опубліковано 17 липня 2024 р.ITSТипові шаблони для цілей реєстру інформаціїСт. 28 (9)Проєкт відхилено Комісією 3 вересня 2024 рокуRTSПолітика щодо використання послуг ІКТ, що підтримують критичні або важливі функції, що надаються сторонніми постачальниками послуг ІКТ (політика щодо третіх сторін)Ст. 28 (10)Делегований регламент Комісії (ЄС) № 2024/1773ЧинноRTSСпецифікація елементів під час надання субпідрядних послуг ІКТ, що підтримують критичні або важливі функціїСт. 30 (5)Остаточний проєкт опубліковано 26 липня 2024 р.GuidelinesСпівпраця між ESA та компетентними органами щодо структури системи наглядуСт. 32 (7)Опубліковано 6 листопада 2024 р.RTSУзгодження умов здійснення наглядової діяльностиСт. 41Прийнято 24 жовтня 2024 р.
Вплив DORA матиме вплив на пенсійні схеми. Пенсійні схеми, які нараховують більше ніж 15, але менше ніж 100 учасників, підлягатимуть спрощеній системі управління ризиками ІКТ.
Примітки
Посилання