DORA pentru furnizorii IT: ce cer băncile și asigurătorii

Regulamentul privind reziliența operațională digitală (DORA — Regulamentul (UE) 2022/2554) se aplică din 17 ianuarie 2025 băncilor, asigurătorilor, instituțiilor de plată, firmelor de investiții și altor entități financiare. Fiind regulament, nu directivă, se aplică direct, fără lege de transpunere. Ce se discută mai rar este efectul asupra furnizorilor de servicii IT ai acestor entități: cerințele ajung la ei prin contracte, audituri și chestionare.

De ce ajunge DORA la furnizori

DORA obligă entitățile financiare să gestioneze riscurile generate de furnizorii de servicii TIC. Concret, ele trebuie să țină un registru de informații cu toate contractele TIC, să evalueze furnizorii înainte de contractare și să includă în contracte anumite clauze obligatorii. Dacă oferi servicii IT unei bănci sau unui asigurător — suport, cloud, aplicații, securitate —, aceste cerințe devin ale tale.

Furnizorii considerați critici la nivel european intră chiar sub supraveghere directă. Pentru majoritatea furnizorilor, însă, impactul vine din relația contractuală cu clientul.

Ce îți vor cere clienții financiari

Clauzele și întrebările variază, dar câteva teme apar aproape mereu:

• Descrierea clară a serviciilor și a nivelurilor de serviciu, cu ținte măsurabile.
• Locația datelor și a prelucrării, inclusiv a subcontractorilor implicați.
• Securitatea informației: politici, control al accesului, criptare, gestionarea vulnerabilităților — adesea cu dovezi, nu doar declarații.
• Notificarea incidentelor care afectează serviciile furnizate, în termene stabilite prin contract, ca entitatea financiară să își poată respecta propriile obligații de raportare.
• Drepturi de audit și de acces pentru client și pentru autoritatea de supraveghere.
• Participarea la testele de reziliență ale clientului, acolo unde serviciul o cere.
• Strategii de ieșire: cum se predau datele și serviciile dacă relația se încheie, fără a întrerupe activitatea clientului.

Un furnizor care are aceste răspunsuri pregătite dinainte câștigă timp la fiecare licitație și reînnoire de contract.

Cum te pregătești ca furnizor

1. Inventariază clienții financiari și serviciile pe care le livrezi fiecăruia. Nu toate serviciile sunt la fel de critice pentru ei.
2. Documentează măsurile de securitate existente. Dacă ai deja ISO 27001 sau lucrezi la conformitatea NIS2, ai o fundație solidă; DORA adaugă mai ales cerințe de raportare, testare și clauze contractuale.
3. Pregătește un proces de notificare a incidentelor către clienți, cu roluri, termene și șabloane.
4. Clarifică subcontractarea: ce furnizori folosești la rândul tău (cloud, centre de date, aplicații) și unde sunt datele.
5. Scrie o strategie de ieșire pentru serviciile importante: ce date predai, în ce format și în cât timp.

Sinergia cu NIS2 și ISO 27001

Pentru multe companii IT, DORA, NIS2 și ISO 27001 se suprapun în mare măsură: analiză de risc, gestionarea incidentelor, continuitate, controlul furnizorilor. Abordate împreună, aceleași politici și dovezi pot răspunde tuturor trei, fără muncă dublă. Diferențele țin de detalii — termene de raportare, formatul informațiilor cerute, cerințe de testare — și pot fi acoperite printr-o analiză de decalaj bine făcută.