Audyt DORA dla sektora finansowego i dostawców ICT

Rozporządzenie DORA, czyli rozporządzenie (UE) 2022/2554, obejmuje podmioty finansowe, m.in. banki, zakłady ubezpieczeń, firmy inwestycyjne, towarzystwa funduszy inwestycyjnych, instytucje płatnicze, instytucje pieniądza elektronicznego i giełdy. Stosuje się je we wszystkich krajach UE od 17 stycznia 2025 r. Kluczowi zewnętrzni dostawcy usług ICT, wyznaczeni przez europejskie urzędy nadzoru (EBA, ESMA, EIOPA), podlegają też bezpośredniemu nadzorowi tych urzędów. Pozostali dostawcy spotykają się z wymaganiami DORA w umowach z klientami z sektora finansowego.

W praktyce tak. Bezpośredniemu nadzorowi na podstawie DORA podlegają tylko kluczowi zewnętrzni dostawcy usług ICT, wyznaczeni przez europejskie urzędy nadzoru (EBA, ESMA, EIOPA). Pozostałych dostawców banku, ubezpieczyciela czy firmy inwestycyjnej DORA dotyczy przez umowy: podmiot finansowy musi wpisać do nich zapisy z art. 30 DORA, m.in. o lokalizacji danych, pomocy przy incydentach i warunkach wypowiedzenia, a przy usługach wspierających funkcje krytyczne lub istotne także o prawie do audytu, udziale w TLPT i strategii wyjścia. Audyt DORA u dostawcy pokazuje, które z tych wymagań już spełnia.

Audyt zgodności z DORA sprawdza procesy, dokumenty i dowody w pięciu filarach rozporządzenia, w tym zarządzanie ryzykiem ICT i umowy z dostawcami. TLPT (Threat-Led Penetration Testing) to test, w którym red team atakuje systemy produkcyjne według scenariuszy z analizy zagrożeń i sprawdza, czy obrona wykryje i zatrzyma atak. TLPT przeprowadzają tylko podmioty wskazane przez organ nadzoru, w Polsce KNF, co najmniej raz na 3 lata. W PWNONE testy TLPT prowadzimy w ramach symulacji ataków.

Nie wystarczy, ale dużo ułatwia. Ramy zarządzania ryzykiem ICT z rozdziału II DORA opierają się na podejściu podobnym do ISO 27001, więc polityki, analiza ryzyka i zabezpieczenia z SZBI zostają w użyciu. ISO 27001 nie obejmuje jednak m.in. zgłaszania poważnych incydentów do organu nadzoru w terminach DORA, rejestru informacji, zapisów umownych z art. 30 DORA ani TLPT. Analiza luk (DORA gap analysis) pokazuje, co trzeba dołożyć do istniejącego SZBI.

DORA nie podaje jednej częstotliwości. Podmiot finansowy przegląda ramy zarządzania ryzykiem ICT co najmniej raz w roku i po poważnym incydencie ICT (art. 6 ust. 5), a ich audyt wewnętrzny prowadzi regularnie, według planu audytów i z częstotliwością dopasowaną do ryzyka ICT (art. 6 ust. 6). Mikroprzedsiębiorstwa i podmioty stosujące uproszczone ramy z art. 16 DORA mają łagodniejsze zasady. Dostawcy ICT nie mają takiego obowiązku, ale audyt DORA przydaje się im przed audytem klienta albo przed podpisaniem umowy z nowym bankiem.

Cena audytu DORA zależy od zakresu: czy audytujemy podmiot finansowy, czy dostawcę ICT, ile spółek i usług obejmuje audyt, ile umów jest w rejestrze informacji i czy sprawdzamy wszystkie pięć filarów DORA. Dlatego nie publikujemy cennika. Wycenę przygotowujemy po rozmowie, w której ustalamy te szczegóły.