Regulamentul DORA: Securitatea cibernetică este noul subiect obligatoriu ce trebuie luat în calcul

Începând cu ianuarie 2025, entităţile financiare din Uniunea Europeană vor trebui să se conformeze Regulamentului privind Rezilienţa Operaţională Digitală (DORA - Digital Operational Resilience Act• ). Aceasta face parte dintr-o iniţiativă mai largă a Uniunii Europene de a consolida rezilienţa sectorului financiar în faţa riscurilor cibernetice şi a atacurilor digitale. DORA impune noi standarde riguroase pentru gestionarea riscurilor tehnologice, în special în ceea ce priveşte securitatea cibernetică, continuitatea afacerilor şi gestionarea furnizorilor terţi de servicii IT.

DORA a fost concepută ca răspuns la creşterea dependenţei industriei financiare de tehnologia digitală şi la vulnerabilităţile asociate acesteia. Riscurile cibernetice au devenit una dintre principalele ameninţări la adresa stabilităţii financiare, iar incidentele majore de securitate pot avea efecte devastatoare asupra băncilor, companiilor de asigurări şi altor instituţii financiare, conform unui comunicat transmis redacţiei.

Potrivit comunicatului, directiva stabileşte un cadru unificat pentru gestionarea riscurilor tehnologice şi impune standarde de raportare şi gestionare a incidentelor cibernetice. Pe de altă parte, reglementează relaţiile dintre entităţile financiare şi furnizorii de servicii IT critici şi determină un comportament responsabil, în sensul testării regulate a rezilienţei operaţionale digitale a organizaţiilor din domeniul financiar-bancar. Chiar dacă riscuri de siguranţă cibernetică există, practic, în absolut toate domeniile de activitate, impactul cel mai mare este în zona economică, iar dintre toate segmentele şi organizaţiile, riscurile majore sunt associate, şi pot determina consecinţe aproape imprevizibile, în zona financiară.

Legea privind rezilienţa operaţională digitală (DORA) este un regulament UE care a intrat în vigoare la 16 ianuarie 2023 şi se va aplica începând cu 17 ianuarie 2025. Acesta vizează consolidarea securităţii informatice a entităţilor financiare precum băncile, societăţile de asigurări şi firmele de investiţii şi asigurarea faptului că sectorul financiar din Europa este capabil să rămână rezilient în cazul unei perturbări operaţionale grave. DORA aduce armonizarea normelor referitoare la rezilienţa operaţională pentru sectorul financiar, aplicându-se la 20 de tipuri diferite de entităţi financiare şi furnizori de servicii TIC terţi.

Argumentele care au determinat apariţia DORA?

Sectorul financiar, ca de altfel, toate sectoarele economiei globale, este din ce în ce mai dependent de tehnologie şi de furnizorii de soluţii tehnologice care lucrează pentru segmentul serviciilor financiare. Prin urmare, entităţile financiare sunt supuse unor riscuri din ce în ce mai mari de incidente cibernetice, aşa-numitele  riscuri TIC, care pot determina perturbarea majoră a serviciilor financiare oferite la nivel transfrontalier. Acest lucru, la rândul său, poate avea un impact asupra altor companii, sectoare şi chiar asupra restului economiei, ceea ce subliniază importanţa rezilienţei operaţionale digitale a sectorului financiar, se menţionează în comunicat.

Regulamentul privind rezilienţa operaţională digitală sau DORA  acopera o serie de aspect, astfel:

Gestionarea riscurilor TIC - Principii şi cerinţe privind cadrul de gestionare a riscurilor TIC

Gestionarea riscurilor la terţi CT - Monitorizarea furnizorilor de risc terţi şi revizuirea principalele dispoziţii contractuale 

Testarea rezilienţei operaţionale digitale - Teste de bază şi avansate Incidente legate de TIC

Cerinţe generale de revizuit, respectiv raportarea incidentelor majore legate de TIC către autorităţile competente

Schimbul de informaţii - Schimbul de informaţii şi informaţii secrete privind ameninţările cibernetice

 Supravegherea furnizorilor terţi critici - Cadrul de supraveghere pentru furnizorii terţi de TIC esenţiale

Practic, cadrul pe care Regulamentul DORA îl redesenează vizează nivelul următor al solidităţii unei entităţi financiare, prin aceea că aceasta îşi va menţine operaţiunile reziliente şi în cazul unor perturbări operaţionale grave cauzate de probleme de securitate cibernetică şi de tehnologia informaţiei şi comunicaţiilor (TIC).

Tocmai prin apariţia şi, bineînţeles, implementarea unui cadru de reguli  de supraveghere unic pentru toţi jucătorii din pieţele financiare naţionale şi europene, DORA asigură convergenţa şi armonizarea practicilor de securitate şi rezilienţă în cadrul firmelor care îşi desfăşoară activitatea în Uniunea Europeană (UE).Cine sunt aceşti jucători care sunt obligaţi să se înscrie regulilor DORA? Vorbim despre instituţii de credit, instituţii de plată, furnizori de servicii de informaţii privind conturile, instituţii emitente de monedă electronică, firme de investiţii, societăţi de asigurări, furnizori de servicii de valori mobiliare criptografice, burse şi case de compensare, administratori de fonduri alternative, societăţi de pensii, agenţii de rating de credit, furnizorilor de servicii financiare, procesatorilor de plăţi şi companii fintech, furnizori terţi de servicii IT şi tehnologii financiare. Şi, le-am enumerat doar pe cele principale.

Estimările actuale arată că DORA se va aplica pentru cel puţin 22.000 de entităţi financiare şi furnizori de servicii TIC care îşi desfăşoară activitatea în UE, precum şi infrastructurii TIC care le susţine, din afara UE. Regulamentul defineşte foarte clar cerinţele privind gestionarea consecventă a riscurilor TIC, capacităţi cuprinzătoare de testare a rezilienţei (inclusiv teste de penetrare bazate pe ameninţări) şi gestionarea riscurilor dinspre terţi, asigurând o furnizare consecventă de servicii de-a lungul întregului lanţ de lucru.

Cerinţele uniforme la nivelul UE ale DORA presupun ca instituţiile financiare trebuie să se asigure că pot gestiona un nivel de maturitate coerent al TIC şi al rezilienţei cibernetice în toate operaţiunile lor din UE. Mai mult, vor fi reziliente pe termen lung, într-un context economic din ce în ce mai complicat, doar acele companii din sistemul financiar vor implementa şi se vor pregăti să susţină pe termen lung prevederile DORA. Pentru că, la fel de importante sau poate chiar mai importante sunt implicaţiile financiare ale implementării, se precizează în comunicat.

Odată ce au realizat conformarea cu Regulamentul DORA, instituţiile financiare vor realiza permanent evaluări cuprinzătoare ale decalajelor faţă de aceste prevederi, tocmai pentru a-şi evalua nivelul de maturitate în raport cu DORA şi pentru a identifica orice domenii care necesită investiţii suplimentare şi prioritizare. Astfel, acestea se vor afla într-o poziţie mai bună pentru a aborda cerinţe mai complexe, cum ar fi gestionarea riscurilor de către terţi, testarea avansată a rezilienţei tehnologice, raportarea incidentelor şi informaţiile privind ameninţările.

DORA îşi extinde, de asemenea, domeniul de aplicare pentru a include alte părţi interesate din sectorul financiar, care până în prezent nu au făcut obiectul unei reglementări extinse privind securitatea TIC, de exemplu, furnizorii de servicii pentru active criptografice, intermediarii administratori de fonduri de investiţii alternative, furnizorii de servicii de crowdfunding, furnizorii de servicii cloud şi furnizorii de servicii TIC terţi.

Dacă era nevoie de încă un instrument, care să puncteze clar şi la obiect importanţa şi securitatea cibernetică, ca pilon esenţial de creştere sustenabilă a economiilor europene, acesta este Regulametul DORA. Este, de altfel, şi mesajul fostului premier al Italiei şi ex-preşedinte al Băncii Centrale Europene (BCE), Mario Draghi, ca fiind una dintre cele 10 direcţii de urmat în perioada imediat următoare, pentru a relansa (unii spun chiar "a salva") moneda europeană: faptul că securitatea cibernetică este noul subiect obligatoriu ce trebuie luat în calcul şi adus pe masa de discuţii a companiilor, atât in şedinţele de board cât şi în cadrul echipelor de management. 

Indiferent de industrie, putem spune că, odată cu aplicarea DORA, majoritatea sectoarelor din UE au o reglementare de securitate cibernetică de care trebuie să ţină cont şi pe care trebuie să o aplice, astfel că cybersecurity nu mai este un subiect doar pentru echipele de specialitate din cadrul companiei, ci o dimeniune nouă, pe care top managementul organizaţiilor trebuie să o ia in calcul în procesul decizional.