DORA

DORA (Digital Operational Resilience Act) to rozporządzenie Unii Europejskiej dotyczące cyfrowej odporności operacyjnej podmiotów finansowych. Weszło w życie na początku 2023 roku, natomiast pełne stosowanie przepisów rozpocznie się 17 stycznia 2025 roku.

Rozporządzenie DORA dotyczy szerokiej grupy podmiotów finansowych działających na rynku unijnym oraz ich zewnętrznych dostawców usług ICT. Obejmuje zarówno instytucje finansowe, jak i organizacje, które świadczą na ich rzecz usługi technologiczne kluczowe dla ciągłości działania.

DORA ustanawia ramy m.in. dla efektywnego zarządzania ryzykiem ICT, zapewnienia ciągłości operacyjnej, cyberbezpieczeństwa oraz zarządzania zewnętrznymi dostawcami usług ICT. Celem jest zwiększenie stabilności i integralności systemu finansowego, z uwzględnieniem całego łańcucha wartości.

Dostawcy usług ICT będą podlegać zwiększonemu nadzorowi i kontroli regulacyjnej. Muszą zapewnić zgodność swoich usług ze standardami DORA, ponieważ za spełnienie wymogów odpowiadają podmioty finansowe korzystające z ich usług. W praktyce oznacza to m.in. większy nacisk na bezpieczeństwo, ciągłość usług i przejrzystość współpracy.

Tak. Istniejące umowy pomiędzy podmiotami finansowymi a dostawcami usług ICT mogą wymagać korekt, aby uwzględnić klauzule zgodności z DORA. Chodzi m.in. o doprecyzowanie poziomów usług, zasad monitoringu, dostępności, miejsc przetwarzania danych oraz kwestii podoutsourcingu.

V-Desk pozwala raportować pełny rejestr czynności zlecanych podmiotom zewnętrznym, w tym usług wewnątrzgrupowych oraz zmian w outsourcingu usług krytycznych. Umożliwia także ujednolicenie kluczowych elementów usług i relacji z dostawcami ICT, aby zapewnić ich pełny monitoring. System pomaga uwzględnić ryzyka koncentracji IT oraz ryzyka wynikające z podoutsourcingu.

Tak. V-Desk pozwala zadbać o to, aby umowy z zewnętrznymi dostawcami usług ICT zawierały niezbędne informacje dotyczące poziomu świadczonych usług, monitoringu, dostępności czy miejsc przetwarzania danych. Dane te mogą być następnie monitorowane i raportowane w spójny sposób w całej organizacji.

System V-Desk obsługuje raporty zgodne z nomenklaturą DORA, m.in. RT.01.01–RT.01.03 (rejestr informacji i wykazy podmiotów), RT.02.01–RT.02.03 (ustalenia umowne), RT.03.01–RT.03.03 (podmioty podpisujące ustalenia i dostawcy usług ICT), RT.04.01 (podmioty korzystające z usług ICT), RT.05.01–RT.05.02 (dostawcy i łańcuchy dostaw usług ICT), RT.06.01 (identyfikacja funkcji), RT.07.01 (ocena usług ICT) oraz RT.99.01 (definicje podmiotów korzystających z usług ICT. Dzięki temu możliwe jest kompleksowe raportowanie zgodne z wymaganiami rozporządzenia.

Nie. V-Desk wspiera zarówno duże instytucje finansowe, jak i organizacje średniej wielkości, które podlegają wymogom DORA lub współpracują z podmiotami regulowanymi. Ponad 20 lat doświadczenia i ponad 2000 zrealizowanych wdrożeń pozwala dobrać model rozwiązania dopasowany do skali działalności oraz dojrzałości procesowej organizacji.

Dobrym pierwszym krokiem jest uporządkowanie rejestru czynności zlecanych podmiotom zewnętrznym oraz centralizacja informacji o dostawcach usług ICT w systemie V-Desk. Następnie można sukcesywnie uruchamiać raporty DORA, ujednolicać treści umów i wdrażać mechanizmy monitorowania ryzyka koncentracji oraz podoutsourcingu. W kolejnym etapie możliwe jest rozszerzenie wykorzystania systemu o inne obszary cyfrowej odporności operacyjnej.