Vyspělost DORA · Digitální provozní odolnost finančních služeb
Vaše digitální provozní odolnost, změřená článek po článku a převedená do konkrétního akčního plánu.
10 tematických oblastí, 108 otázek, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost DORA · Digitální provozní odolnost finančních služeb
10 tematických oblastí, 108 otázek, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Nařízení (EU) 2022/2554 (DORA), použitelné od 17. ledna 2025 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je propojuje) mění zjištění ve směřování k cíli.
Jsou strategie ukončení spolupráce s poskytovateli IKT podporujícími kritické nebo důležité funkce definovány a otestovány?
- N1
Žádná strategie ukončení spolupráce není formalizována. Otázka by se řešila až ve chvíli, kdy by poskytovatel přestal poskytovat službu.
- N2
V některých smlouvách jsou uvedena ustanovení o reverzibilitě, bez souvisejícího plánu ukončení a bez identifikovaného scénáře přechodu.
- N3
Strategie ukončení spolupráce je zdokumentována pro každého poskytovatele podporujícího kritickou funkci: náhradní řešení, data k převzetí, odhadovaná doba přechodu.
- N4
Strategie ukončení spolupráce jsou revidovány při každém obnovení smlouvy a napojeny na registr informací. Lhůty přechodu jsou ověřovány s dotčeným obchodním útvarem.
- N5
Scénáře ukončení spolupráce jsou ověřovány při cvičeních, včetně případů neplánovaného ukončení, a poznatky z nich vstupují do revize smluv a rámce řízení rizik IKT.
Akce pro přechod z úrovně 2 na úroveň 3
Pro každého poskytovatele IKT podporujícího kritickou nebo důležitou funkci uvedenou v registru informací sestavte kartu ukončení spolupráce s uvedením náhradního řešení, dat a formátů k převzetí a odhadované doby přechodu, poté ji nechte schválit odpovědným obchodním útvarem na čtvrtletním výboru pro rizika IKT.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína DORA.
O čem tento referenční rámec je
DORA, nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru, je použitelné od 17. ledna 2025. Pokrývá široký okruh subjektů: úvěrové instituce, investiční podniky, pojišťovny, správce aktiv, poskytovatele služeb souvisejících s kryptoaktivy, infrastruktury trhu a poskytovatele IKT služeb třetích stran označené za kritické. Text staví na pěti pilířích: rámec řízení rizik souvisejících s IKT, za který odpovídá vedoucí orgán, řízení a hlášení závažných incidentů, testování digitální odolnosti, řízení rizik spojených s poskytovateli třetích stran a sdílení informací o kybernetických hrozbách.
Obtížnost nespočívá v porozumění textu, ale ve zjištění skutečného stavu. Je registr informací o smluvních ujednáních aktualizovaný průběžně s každým dodatkem, nebo se rekonstruuje jednou ročně před termínem předání? Jsou lhůty pro hlášení závažného incidentu udržitelné v pátek večer, s lidmi skutečně ve službě? Jsou strategie ukončení spolupráce s kritickými poskytovateli zdokumentovány a otestovány, nebo existují jen jako smluvní ustanovení? Na tyto otázky neodpoví binární stav souladu.
Často se objevuje jedna záměna: DORA je nařízení, nikoli směrnice, a nelze ji certifikovat. Neexistuje žádný certifikát DORA. Kontrolu provádějí příslušné vnitrostátní a evropské orgány, a to prostřednictvím registru informací, hlášení incidentů a u vybraných subjektů prostřednictvím penetračních testů založených na hrozbách typu TLPT. Dalším bodem k vyjasnění je, že DORA má přednost před NIS 2 pro dotčené finanční subjekty, ale související mechanismy řízení a řízení rizik zůstávají z velké části společné.
Audit souladu končí konstatováním mezery nebo souladu u dané požadavky. Diagnostika vyspělosti odpovídá na jinou otázku: na jaké úrovni zvládnutí se daná praxe nachází a jaká konkrétní akce posune organizaci na vyšší úroveň. U DORA je tento rozdíl zásadní, protože většina organizací disponuje očekávanými dokumenty, aniž by měla opakovatelnost, sledovatelnost a řízení, které regulátor bude posuzovat při kontrole nebo po skutečném incidentu.
V platformě Datamensio je referenční rámec DORA připraven k okamžitému použití a je přizpůsobitelný. UI upravuje tematické oblasti, otázky a úrovně podle vašeho regulatorního statusu a velikosti, přičemž uplatňuje princip proporcionality z textu, nebo vytvoří vlastní variantu na základě vašich dokumentů: politiky řízení rizik IKT, registru informací, plánů kontinuity.
Referenční norma: Nařízení (EU) 2022/2554 (DORA), použitelné od 17. ledna 2025
Hodnocené tematické oblasti
Řízení a odpovědnost vedoucího orgánu
Schvalování a revize rámce řízení rizik IKT, role a odpovědnosti, alokace rozpočtu, školení vedoucích pracovníků, propojení s kontrolními funkcemi.
Rámec řízení rizik souvisejících s IKT
Zdokumentované politiky a postupy, tolerance vůči riziku digitálního narušení, roční revize, zohlednění poznatků z incidentů a testů.
Mapování aktiv a kritických funkcí
Inventář aktiv IKT, identifikace kritických nebo důležitých funkcí, vnitřní a vnější závislosti, klasifikace informací, průběžná aktualizace.
Ochrana a prevence
Řízení identit a přístupů, šifrování, zabezpečení sítí, řízení změn a oprav, zabezpečení vývoje.
Detekce a monitorování
Mechanismy detekce neobvyklé činnosti, prahy pro upozornění, rozsah monitorování, vyhrazené zdroje, revize výkonnosti nástrojů.
Kontinuita, obnova a zálohování
Politika kontinuity činnosti IKT, cílové doby a body obnovy, záložní pracoviště, politika zálohování a obnovy, zdokumentovaná cvičení.
Řízení a hlášení incidentů
Postupy detekce a klasifikace, kritéria závažnosti, lhůty pro počáteční, průběžné a závěrečné hlášení, komunikační kanály s příslušným orgánem, informování klientů.
Testování digitální provozní odolnosti
Roční program testování, analýzy zranitelností, testy kompatibility a výkonnosti, testy založené na hrozbách typu TLPT, zpracování zjištění.
Řízení rizik spojených s poskytovateli třetích stran
Politika týkající se poskytovatelů IKT, předběžná analýza, povinná smluvní ustanovení, koncentrace, řetězení subdodávek, práva na audit a přístup.
Registr informací a předávání orgánům dohledu
Úplnost registru smluvních ujednání, kvalita dat, proces aktualizace, příprava předání a žádostí orgánů.
Zkrácená verze referenčního rámce, s 40 otázkami, je k dispozici pro online sebehodnocení. Úplná verze obsahuje 10 tematických oblastí a 108 otázek.
Často kladené otázky
Lze získat certifikaci DORA?
Ne. DORA je evropské nařízení s přímou použitelností, žádná související certifikace neexistuje. Kontrolu provádějí příslušné orgány, a to prostřednictvím registru informací, hlášení incidentů a u dotčených subjektů prostřednictvím testů založených na hrozbách. Diagnostika vyspělosti měří vaše postupy a připravuje vás na tyto termíny, nevydává žádné osvědčení.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu s DORA?
Audit ověřuje přítomnost požadavku a konstatuje mezeru nebo soulad. Diagnostika zařazuje každou praxi na škálu vyspělosti s pěti úrovněmi a uvádí akci, která posune organizaci na vyšší úroveň. Obě se doplňují: diagnostika buduje směřování, audit potvrzuje dosažený stav.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní za 20 až 30 minut. Úplná verze, v kolaborativním režimu, zapojuje více přispěvatelů: bezpečnost, nákup, kontinuitu, soulad. Většina času se věnuje sběru informací od těchto týmů, nikoli samotnému vyplňování.
Je referenční rámec přizpůsobitelný našemu statusu a velikosti?
Ano. DORA uplatňuje princip proporcionality a referenční rámec postupuje stejně: otázky, úrovně a tematické oblasti si upravíte sami, nebo necháte UI vytvořit variantu přizpůsobenou vašemu regulatornímu statusu na základě vašich dokumentů. Kontrola nad referenčním rámcem zůstává na vás.
Jak propojit DORA s NIS 2 a ISO 27001?
DORA má přednost před NIS 2 pro dotčené finanční subjekty, ale požadavky na řízení, řízení rizik a zpracování incidentů vycházejí z principů, které se shodují s ISO 27001 a ISO 27005. Průřezové roadmapy Datamensio slučují více diagnostik a seskupují společné akce místo jejich duplikování.
Pokrývá diagnostika i naše poskytovatele IT?
Pilíř věnovaný třetím stranám hodnotí vaše postupy: předběžnou analýzu, smluvní ustanovení, sledování koncentrace, strategie ukončení spolupráce, vedení registru informací. Referenční rámec můžete také zpřístupnit svým poskytovatelům k individuálnímu nebo hromadnému hodnocení a porovnat jejich výsledky na společném základě.
Jak se od diagnostiky přejde k akčnímu plánu?
Mezera mezi dosaženým skóre a stanoveným cílem automaticky generuje odpovídající akce. UI je seskupuje do prioritizované roadmapy a katalog služeb nabízí u každého bodu konkrétní řešení s jeho nákladem, lhůtou a očekávaným dopadem na skóre.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely UI lze vybírat, včetně evropských řešení.