Zrelost DORA · Digitalna operativna odpornost finančnih storitev
Vaša digitalna operativna odpornost, izmerjena člen za členom in prevedena v ovrednoten akcijski načrt.
10 tematskih področij, 108 vprašanj, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost DORA · Digitalna operativna odpornost finančnih storitev
10 tematskih področij, 108 vprašanj, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Uredba (EU) 2022/2554 (DORA), veljavna od 17. januarja 2025 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, naslednja raven in ukrep, ki ju povezuje) spremeni ugotovitev v pot naprej.
Ali so strategije izstopa pri ponudnikih IKT, ki podpirajo kritične ali pomembne funkcije, opredeljene in preizkušene?
- N1
Nobena strategija izstopa ni formalizirana. Vprašanje bi se zastavilo šele v trenutku, ko bi ponudnik prenehal z izvajanjem storitve.
- N2
Klavzule o reverzibilnosti so prisotne v nekaterih pogodbah, brez pripadajočega načrta izstopa ali opredeljenega scenarija prehoda.
- N3
Strategija izstopa je dokumentirana za vsakega ponudnika, ki podpira kritično funkcijo: nadomestna rešitev, podatki za prevzem, ocenjen čas prehoda.
- N4
Strategije izstopa se pregledajo ob vsakem podaljšanju pogodbe in so povezane z registrom informacij. Roki prehoda se preverijo s poslovno funkcijo.
- N5
Scenariji izstopa se preizkušajo na vajah, vključno s primeri nenačrtovane odpovedi, spoznanja pa napajajo revizijo pogodb in okvira za obvladovanje tveganj IKT.
Ukrep za prehod z N2 na N3
Za vsakega ponudnika IKT, ki podpira kritično ali pomembno funkcijo, opredeljeno v registru informacij, pripraviti izstopni list z nadomestno rešitvijo, podatki in formati za prevzem ter ocenjenim časom prehoda, nato pa ga potrditi s pristojno poslovno funkcijo na četrtletnem odboru za tveganja IKT.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna DORA.
O čem govori ta referenčni okvir
DORA, Uredba (EU) 2022/2554 o digitalni operativni odpornosti finančnega sektorja, se uporablja od 17. januarja 2025. Zajema širok obseg: kreditne institucije, investicijska podjetja, zavarovalnice, upravljavce premoženja, ponudnike storitev s kriptosredstvi, tržno infrastrukturo ter ponudnike IKT storitev, določene kot kritične. Besedilo temelji na petih stebrih: okviru za upravljanje tveganj IKT pod odgovornostjo poslovodnega organa, upravljanju in poročanju večjih incidentov, testiranju digitalne odpornosti, obvladovanju tveganj tretjih ponudnikov in izmenjavi informacij o kibernetskih grožnjah.
Težava ni v razumevanju besedila, temveč v tem, da se ve, kje organizacija dejansko stoji. Ali se register informacij o pogodbenih dogovorih posodablja sproti ob vsakem aneksu, ali pa se sestavi enkrat letno pred rokom oddaje? Ali so roki za prijavo večjega incidenta izvedljivi v petek zvečer, z osebami, ki so dejansko v pripravljenosti? Ali so strategije izstopa pri kritičnih ponudnikih dokumentirane in preizkušene, ali obstajajo zgolj kot pogodbena klavzula? Ta vprašanja se ne rešijo z binarno oceno skladnosti.
Pogosta zmeda: DORA je uredba, ne direktiva, in se ne certificira. Potrdila DORA ne obstajajo. Nadzor izvajajo pristojni nacionalni in evropski organi, prek registra informacij, prijave incidentov in za določene subjekte prek penetracijskih testov na podlagi grožnje, tipa TLPT. Prav tako velja pojasniti: DORA ima prednost pred Direktivo (EU) 2022/2555 (NIS 2) za zajete finančne subjekte, čeprav ostajajo osnovni mehanizmi upravljanja in obvladovanja tveganj v veliki meri skupni.
Presoja skladnosti se zaključi z vrzeljo ali skladnostjo glede dane zahteve. Diagnostika zrelosti odgovarja na drugo vprašanje: na kateri ravni obvladovanja je praksa in kateri konkreten ukrep vodi na naslednjo raven. Pri DORA je ta razlika odločilna, saj ima večina organizacij pričakovane dokumente, ne pa tudi ponovljivosti, sledljivosti in nadzora, ki jih bo regulator opazil ob pregledu ali po dejanskem incidentu.
V Datamensio je referenčni okvir DORA pripravljen za takojšnjo uporabo in prilagodljiv. UI prilagodi tematska področja, vprašanja in ravni vašemu regulatornemu statusu in velikosti, pri čemer upošteva načelo sorazmernosti iz besedila, ali pa iz vaših lastnih dokumentov (politika obvladovanja tveganj IKT, register informacij, načrti neprekinjenega poslovanja) izdela prilagojeno različico.
Referenčni standard: Uredba (EU) 2022/2554 (DORA), veljavna od 17. januarja 2025
Ocenjevana tematska področja
Upravljanje in odgovornost poslovodnega organa
Potrditev in pregled okvira za obvladovanje tveganj IKT, vloge in odgovornosti, dodelitev proračuna, usposabljanje vodstva, povezava s funkcijami kontrole.
Okvir za obvladovanje tveganj IKT
Dokumentirane politike in postopki, toleranca do tveganja digitalne motnje, letni pregled, upoštevanje spoznanj iz incidentov in testov.
Popis sredstev in kritičnih funkcij
Popis sredstev IKT, prepoznava kritičnih ali pomembnih funkcij, notranje in zunanje odvisnosti, razvrstitev informacij, sprotna posodobitev.
Zaščita in preprečevanje
Upravljanje identitet in dostopov, šifriranje, varnost omrežij, obvladovanje sprememb in popravkov, varen razvoj.
Odkrivanje in spremljanje
Mehanizmi za odkrivanje nepravilnosti, mejne vrednosti za opozorila, pokritost spremljanja, namenski viri, pregled učinkovitosti mehanizmov.
Neprekinjeno poslovanje, okrevanje in varnostne kopije
Politika neprekinjenosti poslovanja IKT, ciljni čas in točka okrevanja, nadomestna mesta, politika varnostnega kopiranja in obnove, dokumentirane vaje.
Upravljanje in prijava incidentov
Postopek odkrivanja in razvrščanja, merila za večji incident, roki za začetno, vmesno in končno prijavo, kanali do pristojnega organa, obveščanje strank.
Testiranje digitalne operativne odpornosti
Letni program testiranja, analize ranljivosti, testi združljivosti in zmogljivosti, testi na podlagi grožnje tipa TLPT, obravnava ugotovitev.
Obvladovanje tveganj tretjih ponudnikov
Politika glede ponudnikov IKT, predhodna analiza, obvezne pogodbene klavzule, koncentracija, veriženje podizvajalcev, pravice do presoje in dostopa.
Register informacij in oddaja nadzornim organom
Popolnost registra pogodbenih dogovorov, kakovost podatkov, postopek posodabljanja, priprava na oddajo in zahteve organov.
Krajša različica referenčnega okvira obsega 40 vprašanj in je na voljo za spletno samoocenjevanje. Celotna različica obsega 10 tematskih področij in 108 vprašanj.
Pogosta vprašanja
Ali je mogoče pridobiti certifikat DORA?
Ne. DORA je evropska uredba z neposredno uporabo, zanjo ne obstaja certifikacija. Nadzor izvajajo pristojni organi prek registra informacij, prijave incidentov in, za zadevne subjekte, testov na podlagi grožnje. Diagnostika zrelosti meri vaše prakse in vas pripravi na te roke, ne izdaja pa nobenega potrdila.
Kakšna je razlika med to diagnostiko in presojo skladnosti DORA?
Presoja preveri prisotnost zahteve in se zaključi z vrzeljo ali skladnostjo. Diagnostika vsako prakso uvrsti na petstopenjsko lestvico zrelosti in opredeli ukrep, ki vodi na naslednjo raven. Oba pristopa se dopolnjujeta: diagnostika gradi pot naprej, presoja potrdi doseženo stanje.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celotna različica, v sodelovalnem načinu, vključuje več udeležencev: varnost, nabavo, neprekinjeno poslovanje, skladnost. Večina časa gre za zbiranje informacij pri teh ekipah, ne za vnos podatkov.
Ali je referenčni okvir prilagodljiv našemu statusu in velikosti?
Da. DORA uveljavlja načelo sorazmernosti, referenčni okvir pa sledi isti logiki: vprašanja, ravni in tematska področja lahko spremenite sami, ali pa UI iz vaših dokumentov izdela prilagojeno različico glede na vaš regulatorni status. Obvladovanje referenčnega okvira ostaja v vaših rokah.
Kako povezati DORA z NIS 2 in ISO 27001?
DORA ima prednost pred Direktivo (EU) 2022/2555 (NIS 2) za zajete finančne subjekte, vendar zahteve glede upravljanja, obvladovanja tveganj in obravnave incidentov temeljijo na načelih, ki so skladna s SIST ISO 27001 in SIST ISO 27005. Medsebojni načrti poti Datamensio združujejo več diagnostik in skupne ukrepe, namesto da bi jih podvajali.
Ali diagnostika zajema tudi naše ponudnike informacijskih storitev?
Steber, namenjen tretjim stranem, ocenjuje vaše prakse: predhodno analizo, pogodbene klavzule, spremljanje koncentracije, strategije izstopa, vodenje registra informacij. Referenčni okvir lahko posredujete tudi svojim ponudnikom v individualno ali industrializirano ocenjevanje in primerjate njihove rezultate na skupni osnovi.
Kako se iz diagnostike pride do akcijskega načrta?
Vrzel med doseženo oceno in zastavljenim ciljem samodejno sproži ustrezne ukrepe. UI jih razvrsti v prednostni načrt poti, katalog storitev pa za vsak element ponudi rešitev, z njenim stroškom, rokom in pričakovanim vplivom na oceno.
Kje so shranjeni podatki?
V Franciji, pri ponudniku OVH, z varnostnim kopiranjem pri Scaleway. Brez prenosa podatkov zunaj Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.