Nařízení Evropského parlamentu a Rady (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru (DORA) platí od 17. ledna 2025. Mimo registr ICT dodavatelů, o kterém jsme psali v dřívějším článku, žádá DORA po finančních institucích i evidenci vlastních ICT aktiv, tedy systémů, dat a technické infrastruktury, na kterých provoz instituce stojí. Bez takového přehledu nelze řídit ICT rizika, o která se DORA opírá. Evidenci aktiv a rizik na jednom místě vede Observa od CypherOnu, popisujeme ji dále v článku.
Co DORA žádá v oblasti evidence aktiv
Článek 8 nařízení DORA, nazvaný Identifikace, ukládá finančním subjektům povinnost identifikovat, klasifikovat a řádně dokumentovat všechny ICT podporované obchodní funkce, role a odpovědnosti a informační a ICT aktiva, která tyto funkce podporují, včetně jejich vzájemných závislostí ve vztahu k ICT riziku (čl. 8 odst. 1). Instituce musí identifikovat všechna informační a ICT aktiva, včetně vzdálených pracovišť, síťových prostředků a hardwaru, a zmapovat ta, která považuje za kritická, včetně jejich konfigurace a vzájemných vazeb (čl. 8 odst. 4). Z těchto identifikací musí vést evidenci a tu pravidelně aktualizovat, nejméně jednou ročně nebo při každé významné změně (čl. 8 odst. 1 a 6).
Proč evidence aktiv souvisí s řízením ICT rizik
Evidence aktiv není samostatná povinnost vedle řízení rizik, je jeho základem. Rámec řízení ICT rizik podle DORA stojí na tom, že instituce ví, co má, jak je to důležité a na čem je to závislé. Bez přehledu aktiv nelze posoudit, které systémy jsou pro provoz kritické, kde hrozí jednotlivé body selhání, ani jak rychle se instituce po výpadku vrátí do provozu. Nařízení proto váže evidenci aktiv přímo na identifikaci zdrojů ICT rizika a na posouzení dopadu jejich zranitelností (čl. 8 odst. 2).
Co to znamená pro menší finanční instituci
Pojišťovny, platební instituce nebo investiční a správcovské firmy bez vlastního bezpečnostního týmu řeší tuto povinnost stejně jako velké banky, nařízení mezi nimi v této části nerozlišuje. V praxi to obvykle znamená tři kroky. Prvním je sepsat, jaké systémy, aplikace a hardware instituce provozuje, od účetního systému přes klientský portál až po firemní notebooky a síťové prvky, včetně toho, co běží u externích dodavatelů. Druhým krokem je u každého aktiva poznamenat, jak kritické je pro chod instituce a na čem závisí, tedy jaké další systémy, dodavatele nebo data potřebuje k provozu. Třetím krokem je udržovat tento přehled živý, revidovat ho nejméně jednou za rok a po každé větší změně, ne ho jednou sepsat a uložit do šuplíku.
Součástí stejné evidence by měly být i procesy závislé na dodavatelích ICT služeb, zejména tam, kde dodavatel podporuje kritickou nebo důležitou funkci (čl. 8 odst. 5). Tato vazba na dodavatele navazuje na registr informací o ICT dodavatelích podle čl. 28, kterému jsme věnovali samostatný článek.
Kde evidenci aktiv vést
Pro firmu s desítkami až stovkami aktiv je tabulka rychle nepřehledná, zejména když potřebuje i vazby mezi aktivy, dodavateli a riziky. Observa, aplikace CypherOn pro řízení bezpečnosti a souladu, vede evidenci aktiv, rizik, opatření a dodavatelů na jednom místě a hlídá, co je potřeba doplnit nebo aktualizovat. Podpora DORA je součástí všech tarifů, stejně jako podpora ZKB a NIS2. Instituce, které si chtějí ověřit, jak by evidence aktiv podle DORA v Observě vypadala, mohou začít bezplatnou úvodní konzultací nebo si aplikaci vyzkoušet ve zkušební verzi.
Zdroje: Nařízení Evropského parlamentu a Rady (EU) 2022/2554 (DORA), čl. 6 a čl. 8 · Prováděcí nařízení Komise (EU) 2024/2956 ze dne 29. listopadu 2024 (k registru informací podle čl. 28)