Nařízení Evropského parlamentu a Rady (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru (DORA) platí od 17. ledna 2025. Menší finanční instituce bez vlastního bezpečnostního týmu se nejčastěji ptají na dvě věci. Jaké dokumenty po nich regulace předpokládá a co přesně znamená roční přezkum rámce řízení ICT rizik. Níže je přehled s odkazem na konkrétní články nařízení a popis toho, čím se pozná přezkum, který je skutečně udělaný.
Jedno upozornění na začátek. Posouzení, zda a v jakém režimu instituce pod DORA spadá, je právní otázka a v tomto textu ji neřešíme. Totéž platí pro znění smluv s dodavateli.
Dokumenty, které DORA předpokládá
Nařízení nikde nevypisuje seznam dokumentů ke schválení. Povinnosti jsou rozeseté v jednotlivých článcích a z nich plyne, co musí mít instituce popsané a doložitelné. U menší instituce jde obvykle o tento výčet.
| Co má instituce mít | Kde to v DORA stojí |
|---|---|
| Rámec řízení ICT rizik včetně strategií, politik, postupů a nástrojů | čl. 6 odst. 1 a 2 |
| Strategie digitální provozní odolnosti jako součást rámce | čl. 6 odst. 8 |
| Evidence informačních a ICT aktiv a jejich závislostí | čl. 8 |
| Politika kontinuity provozu ICT a plány reakce a obnovy | čl. 11 odst. 1 a 3 |
| Analýza dopadů na činnost (BIA) | čl. 11 odst. 5 |
| Postup řízení ICT incidentů a záznamy o nich | čl. 17 |
| Registr informací o smluvních ujednáních s ICT dodavateli | čl. 28 odst. 3 |
| Program testování digitální provozní odolnosti | čl. 24 a 25 |
Rámec řízení ICT rizik
Rámec má být podle čl. 6 odst. 1 ucelený, dobře dokumentovaný a má být součástí celkového systému řízení rizik instituce, ne vedle něj. Obsahem jsou podle čl. 6 odst. 2 strategie, politiky, postupy, ICT protokoly a nástroje, kterými instituce chrání svá informační a ICT aktiva, včetně fyzických součástí a prostor.
Součástí rámce je strategie digitální provozní odolnosti (čl. 6 odst. 8). Ta má vysvětlit, jak rámec podporuje obchodní strategii, stanovit míru tolerance vůči ICT riziku, popsat cíle bezpečnosti informací včetně ukazatelů, referenční architekturu ICT, mechanismy pro odhalování incidentů, zahrnout testování odolnosti a komunikační strategii pro případ incidentu. Pro menší instituci to v praxi není desítky stran, ale dokument, který na tyto body skutečně odpovídá.
Odpovědnost za řízení a dohled nad ICT riziky má mít instituce, která není mikropodnikem, přidělenou kontrolní funkci s přiměřenou nezávislostí a oddělenou od funkcí provozních a od interního auditu, podle modelu tří linií obrany nebo jiného modelu řízení rizik a kontroly (čl. 6 odst. 4). Konkrétní organizační uspořádání nařízení nepředepisuje, u malé instituce tedy může jít o pojmenovanou roli, ne o celý útvar.
Kontinuita provozu a obnova
DORA žádá politiku kontinuity provozu ICT a k ní plány reakce a obnovy (čl. 11 odst. 1 a 3). Politika může být samostatná, nebo může tvořit součást celkové politiky kontinuity podnikání. Plány reakce a obnovy podléhají u institucí, které nejsou mikropodnikem, nezávislému internímu auditu.
Papír sám ale nestačí. Plány kontinuity a plány reakce a obnovy pro systémy podporující veškeré funkce se podle čl. 11 odst. 6 písm. a) testují nejméně jednou ročně a dále při každé podstatné změně systémů, které podporují kritické nebo důležité funkce. Instituce, která není mikropodnikem, má do plánu testů zařadit i scénáře kybernetických útoků a přepnutí na záložní kapacitu, backupy a záložní pracoviště. Záznamy o činnostech před narušením provozu a během něj má instituce udržovat snadno dostupné (čl. 11 odst. 8).
Incidenty
Postup řízení ICT incidentů má incidenty odhalovat, řídit a oznamovat (čl. 17 odst. 1). Instituce zaznamenává všechny ICT incidenty a významné kybernetické hrozby a má zajistit, aby se zjišťovaly, dokumentovaly a řešily jejich prvotní příčiny (čl. 17 odst. 2). Postup má obsahovat indikátory včasného varování, pravidla pro kategorizaci a klasifikaci incidentů podle kritérií v čl. 18 odst. 1, přidělené role, komunikaci a eskalaci. Alespoň o závažných incidentech se informuje vrcholné vedení a statutární orgán, a to včetně dopadu, reakce a dalších opatření (čl. 17 odst. 3).
Závažné ICT incidenty se hlásí příslušnému orgánu dohledu, v České republice tedy ČNB (čl. 19 odst. 1). Hlášení má tři podoby: počáteční oznámení, průběžnou zprávu, jakmile se stav incidentu významně změní, a závěrečnou zprávu po dokončení analýzy prvotní příčiny (čl. 19 odst. 4). Hlášení lze podle čl. 19 odst. 5 předat externímu poskytovateli, instituce ale zůstává plně odpovědná za jeho splnění. Jak se hlášení a registr informací podávají prakticky, popisuje ČNB u svého sběru dat SDAT. K souběhu DORA se zákonem o kybernetické bezpečnosti vydaly ČNB a NÚKIB společné prohlášení, odkaz na něj je na stránce ČNB k DORA.
Roční přezkum rámce řízení ICT rizik
Klíčová věta je v čl. 6 odst. 5. Rámec řízení ICT rizik má být dokumentovaný a přezkoumaný nejméně jednou ročně, u mikropodniků pravidelně, dále při každém závažném ICT incidentu a na základě pokynů dohledu nebo závěrů z testování digitální provozní odolnosti a z auditů. Má se průběžně zlepšovat podle poznatků z jeho zavádění a z monitorování. Zprávu o přezkumu předá instituce orgánu dohledu, pokud o ni požádá. Pro instituce ve zjednodušeném režimu platí obdobné pravidlo v čl. 16 odst. 2.
Z toho plyne, že přezkum není jednorázová kontrola formátu dokumentů. Je to doložitelný cyklus, do kterého něco vstupuje a ze kterého něco vychází.
Co do přezkumu vstupuje
- Incidenty a významné kybernetické hrozby za uplynulé období podle vlastních záznamů (čl. 17 odst. 2), včetně zjištěných prvotních příčin.
- Výsledky testů kontinuity provozu a plánů reakce a obnovy (čl. 11 odst. 6) a výsledky testování odolnosti podle čl. 24 a 25.
- Zjištění interního auditu ICT a stav jejich odstraňování. U institucí, které nejsou mikropodnikem, má být na kritická zjištění navázaný formální proces následné kontroly s termíny (čl. 6 odst. 6 a 7).
- Změny v evidenci aktiv a v registru ICT dodavatelů, zejména u kritických nebo důležitých funkcí.
- Pokyny a závěry dohledu, pokud nějaké přišly.
Co z přezkumu vychází
- Zpráva o přezkumu rámce s datem, rozsahem a jménem toho, kdo ji zpracoval. Právě tu si může dohled vyžádat.
- Seznam změn v dokumentech a opatřeních, u každé změny odpovědná osoba a termín.
- Rozhodnutí statutárního orgánu, který rámec a strategii odolnosti schvaluje (čl. 5 odst. 2).
- Nová verze dotčených dokumentů a dohledatelná historie starších verzí.
Čím se pozná přezkum jen na papíře
Několik příznaků, které bývají vidět na první pohled. Rámec a politiky se za rok nezměnily, i když instituce řešila incident nebo test obnovy skončil neúspěšně. Registr ICT dodavatelů obsahuje smlouvy, které už neplatí, a chybí v něm služby, které se mezitím přesunuly k jinému dodavateli. Zjištění z auditu jsou sepsaná bez termínů a bez odpovědných osob. Zpráva o přezkumu existuje, ale neodkazuje na žádný konkrétní vstup, tedy ani na incidenty, ani na testy. A poslední: dokumenty nikdy neschválil statutární orgán.
Odpovědnost, kterou nelze předat
Statutární orgán podle čl. 5 odst. 2 rámec řízení ICT rizik vymezuje, schvaluje, dohlíží na něj a odpovídá za jeho zavedení. Nese konečnou odpovědnost za řízení ICT rizik instituce, schvaluje strategii digitální provozní odolnosti včetně míry tolerance rizika, schvaluje a pravidelně přezkoumává politiku kontinuity provozu ICT a plány reakce a obnovy, plány interního auditu ICT, rozpočet na digitální provozní odolnost a politiku pro využívání ICT služeb od dodavatelů. Členové statutárního orgánu si mají průběžně udržovat znalosti potřebné k porozumění ICT riziku, včetně pravidelného školení (čl. 5 odst. 4).
Ověřování souladu s požadavky na řízení ICT rizik může instituce podle čl. 6 odst. 10 zadat jinému subjektu ve skupině nebo externí firmě. Zůstává ale plně odpovědná za to, že soulad ověřen byl. Stejné pravidlo platí pro hlášení incidentů (čl. 19 odst. 5). Externí tým tedy může dokumentaci vést, rizika posuzovat a přezkum připravit. Rozhodnutí a odpovědnost zůstávají v instituci.
Zjednodušený rámec podle článku 16
Pro některé subjekty, mezi nimi malé a nepropojené investiční podniky, platební instituce vyňaté podle směrnice o platebních službách, vyňaté instituce elektronických peněz a malé instituce zaměstnaneckého penzijního pojištění, se články 5 až 15 nepoužijí. Místo nich platí zjednodušený rámec řízení ICT rizik podle čl. 16. I ten musí být dokumentovaný, musí popisovat mechanismy řízení ICT rizika, průběžné monitorování systémů, identifikaci klíčových závislostí na ICT dodavatelích, kontinuitu kritických nebo důležitých funkcí včetně záloh a obnovy, pravidelné testování těchto plánů a zapracování závěrů z testů a z analýz po incidentech. Přezkum se dělá pravidelně a při závažných incidentech (čl. 16 odst. 2).
Zařazení do této skupiny je právní posouzení, které se liší podle typu licence. Nepředpokládejte ho podle počtu zaměstnanců a ověřte si ho s právním poradcem nebo s ČNB.
Kde začít bez vlastního bezpečnostního týmu
Pořadí, které se nám v praxi osvědčilo, vychází z toho, co je podkladem pro všechno ostatní.
- Sepsat ICT aktiva a jejich závislosti, včetně toho, co běží u dodavatelů (čl. 8). Podrobněji jsme o tom psali v článku Evidence ICT aktiv podle DORA pro menší finanční firmy.
- Doplnit registr informací o smluvních ujednáních s ICT dodavateli a označit služby, které podporují kritické nebo důležité funkce (čl. 28 odst. 3).
- Popsat postup řízení incidentů a nacvičit eskalaci, tedy kdo rozhoduje o klasifikaci a kdo a kdy podá hlášení ČNB (čl. 17 a 19).
- Otestovat obnovu alespoň u systémů, na kterých stojí provoz, a výsledek zapsat (čl. 11 odst. 6).
- Až potom napsat rámec a strategii odolnosti podle toho, co ve firmě reálně platí, a rovnou si stanovit termín ročního přezkumu.
Evidenci aktiv, rizik, opatření, dodavatelů a regulatorních povinností vedeme na jednom místě v naší aplikaci Observa. Podpora ZKB, NIS2 i DORA je součástí všech tarifů. Přípravu na regulaci a návrh rámce řízení rizik popisujeme na stránce ZKB, NIS2 a DORA. Pokud si chcete nejdřív ujasnit, co z výčtu výše už máte a co chybí, ozvěte se nám přes kontaktní stránku, úvodní konzultace je bezplatná.
Zdroje: Nařízení (EU) 2022/2554 (DORA), znění článků 5, 6, 8, 11, 16, 17, 19, 24, 25 a 28 · ČNB, DORA a digitální provozní odolnost finančního trhu, včetně společného prohlášení ČNB a NÚKIB