Każda instytucja objęta DORA pyta prędzej czy później: co z tego już mamy, a czego brakuje? Rzetelna odpowiedź wymaga listy, w której punkt to obowiązek z konkretnego przepisu, a nie hasło w rodzaju „bezpieczeństwo IT”. Taką listę daje bezpłatna Lista kontrolna DORA. Obowiązki układa w siedmiu filarach - w kolejności i słowami rozporządzenia.
W skrócie
- Siedem filarów. Zarządzanie ryzykiem ICT (rozdział II DORA) dzielimy według jego artykułów na cztery filary; incydenty, testowanie i dostawcy ICT to trzy kolejne.
- Punkt to obowiązek. Każdy punkt wskazuje przepis, a jego brzmienie z bazy Replicord otwierasz jednym kliknięciem.
- Lista na miarę instytucji. Cztery pytania na początku - o mikroprzedsiębiorstwo, uproszczone ramy, wskazanie do zaawansowanych testów (TLPT) i funkcje krytyczne lub istotne - oznaczają punkty, które jej nie dotyczą, razem z podstawą.
- Wynik to plan, a nie ocena dojrzałości. Podsumowanie każdego filaru i plan naprawczy w pliku; odpowiedzi zostają na tym urządzeniu.
- Start: pytania o instytucję, potem filary po kolei. „Nie wiem” też jest odpowiedzią - pokazuje, co trzeba ustalić.
Siedem filarów - jak Replicord porządkuje DORA
Rozporządzenie nie mówi o filarach. Ma rozdziały i artykuły, a jego przedmiotem są wymogi wobec instytucji finansowych - od zarządzania ryzykiem ICT, przez zgłaszanie incydentów i testowanie odporności, po ryzyko ze strony dostawców ICT (art. 1). Filar w Replicord to grupa obszarów realizacji obowiązków, czyli trwałych sposobów, którymi instytucja wykonuje obowiązki: polityk, rejestrów, procesów, planów i testów. Porządek jest jeden w całym Replicord: filar → obszar realizacji obowiązków → obowiązek → przepis.
| Filar | Co obejmuje | Przepisy DORA | Obszary realizacji obowiązków |
|---|---|---|---|
| 1. Ład i ramy zarządzania ryzykiem ICT | odpowiedzialność organu zarządzającego, ramy i strategia odporności, audyt wewnętrzny, wnioski i szkolenia, uproszczone ramy | art. 5-6, 13, 16 | MR-01 … MR-05 |
| 2. Identyfikacja funkcji, zasobów i ryzyka | inwentarz funkcji, zasobów i zależności, ocena ryzyka ICT | art. 8 | MR-06, MR-07 |
| 3. Ochrona, zapobieganie i wykrywanie | systemy ICT, bezpieczeństwo informacji, dostęp, zmiany, podatności i poprawki, wykrywanie zdarzeń | art. 7, 9, 10 | MR-08 … MR-12 |
| 4. Reagowanie, ciągłość działania i odtwarzanie | analiza wpływu na działalność, plany ciągłości i odtwarzania, kopie zapasowe | art. 11-12 | MR-13 |
| 5. Incydenty: obsługa, klasyfikacja i zgłaszanie | proces obsługi incydentów, klasyfikacja, zgłoszenia do organu, informowanie klientów, komunikacja kryzysowa | art. 14, 17-23 | MR-14, MR-15 |
| 6. Testowanie odporności cyfrowej | program testów, TLPT | art. 24-27 | MR-16, MR-17 |
| 7. Ryzyko dostawców ICT | strategia i polityka, umowy, rejestr informacji, monitorowanie i wyjście z umowy | art. 28-30 | MR-18 … MR-21 |
Filary 1-4 pochodzą z rozdziału II DORA - opisuje je artykuł Zarządzanie ryzykiem ICT w DORA. Kolejne filary mają własne artykuły: Zgłaszanie poważnych incydentów ICT, Testowanie odporności cyfrowej i TLPT i Ryzyko dostawców ICT.
Filary idą kolejnością rozporządzenia, ale kilka artykułów przypisaliśmy według ich przedmiotu. Wnioski z incydentów i testów oraz szkolenia (art. 13), a także uproszczone ramy (art. 16) dotyczą całych ram, więc są w filarze 1. Komunikacja kryzysowa (art. 14) jest w filarze 5, razem z obsługą incydentów. Dobrowolną wymianę informacji o cyberzagrożeniach (art. 45) Replicord ujmuje w obszarze MR-12.
Jak korzystać z listy kontrolnej
Lista prowadzi przez trzy kroki. Odpowiedzi zostają na tym urządzeniu - nic nie trafia do Replicord.
Profil instytucji
Na początku lista zadaje cztery pytania:
- Czy instytucja jest mikroprzedsiębiorstwem - m.in. zatrudnia mniej niż 10 osób, a jej roczny obrót lub bilans nie przekracza 2 mln EUR (art. 3 pkt 60)?
- Czy stosuje uproszczone ramy zarządzania ryzykiem ICT - jak m.in. małe i niepowiązane firmy inwestycyjne albo zwolnione instytucje płatnicze (art. 16 ust. 1)?
- Czy organ wskazał ją do TLPT, czyli zaawansowanych testów penetracyjnych ukierunkowanych na zagrożenia (art. 26 ust. 8)?
- Czy usługi dostawców ICT wspierają jej funkcje krytyczne lub istotne - takie, których zakłócenie istotnie zaszkodziłoby m.in. wynikom finansowym, ciągłości usług albo wykonywaniu obowiązków z zezwolenia (art. 3 pkt 22)?
Odpowiedź, z której wynika, że obowiązek instytucji nie dotyczy, oznacza jego punkt jako „nie dotyczy” - z przepisem, który o tym przesądza. „Nie wiem” zostawia punkty na liście: sprawa nieustalona to nigdy „nie”.
Punkty filar po filarze
Każdy punkt to obowiązek opisany prostymi słowami, z przepisem. Brzmienie przepisu z bazy Replicord otwierasz jednym kliknięciem, bez szukania aktu. Odpowiadasz: Tak, Częściowo, Nie albo Nie wiem. Przy trzech ostatnich zapisujesz, kto się tym zajmie i do kiedy.
Wynik i plan naprawczy
Każdy filar ma na końcu podsumowanie „X z Y” - od razu widać, gdzie są luki. Lista nie wylicza „poziomu dojrzałości”: DORA nie stopniuje zgodności, tylko nakłada obowiązki. Punkty z osobą i terminem tworzą plan naprawczy, który zapiszesz w pliku CSV i otworzysz w arkuszu kalkulacyjnym. Całą ocenę zapiszesz w osobnym pliku, żeby później do niej wrócić; listę można też wydrukować.
Proporcjonalność: co zmienia się w mniejszej instytucji
DORA stosują wszystkie objęte nią instytucje, ale nie każda w tym samym zakresie. Zarządzanie ryzykiem ICT instytucja dopasowuje do swojej wielkości, profilu ryzyka oraz charakteru, skali i złożoności działalności (art. 4 ust. 1). Przepisy o incydentach, testach i dostawcach ICT stosuje proporcjonalnie tak, jak szczegółowo przewidują te rozdziały (art. 4 ust. 2). Proporcjonalność zmienia sposób wykonania obowiązku. Z listy wypadają tylko punkty, które przepis wyłącza:
- Mikroprzedsiębiorstwo. Wyłączenia z rozdziału II zestawia artykuł Zarządzanie ryzykiem ICT w DORA. Poza tym rozdziałem mikroprzedsiębiorstwo nie musi prowadzić programu testowania odporności (art. 24 ust. 1) - testy przeprowadza, łącząc analizę ryzyka ze strategicznym planowaniem (art. 25 ust. 3).
- Uproszczone ramy. Podmioty z art. 16 ust. 1 nie stosują art. 5-15 - zamiast nich wprowadzają uproszczone ramy zarządzania ryzykiem ICT (art. 16 ust. 1).
- Obu tych grup nie obejmuje obowiązek TLPT (art. 26 ust. 1) ani obowiązek przyjęcia strategii dotyczącej ryzyka ze strony dostawców ICT (art. 28 ust. 2).
- TLPT przeprowadzają tylko podmioty wskazane przez organ. Pozostałych instytucji punkty o TLPT nie dotyczą.
- Funkcje krytyczne lub istotne. Część obowiązków związanych z dostawcami dotyczy tylko usług ICT wspierających takie funkcje - m.in. dodatkowe postanowienia umowne (art. 30 ust. 3) i strategie wyjścia (art. 28 ust. 8).
„Nie dotyczy” ma na liście zawsze swoją podstawę. To ważne, bo organy analizują, jak instytucja stosuje zasadę proporcjonalności - na podstawie sprawozdań z przeglądu ram, które dostają na żądanie (art. 4 ust. 3).
Jak zacząć
Kolejność nie wynika z przepisów - to praktyka, dzięki której pierwsza ocena nie utknie na szukaniu dokumentów.
- Profil. Odpowiedz na cztery pytania o instytucję w Liście kontrolnej DORA. Jeśli nie wiesz, czy organ wskazał Twoją instytucję do TLPT albo które funkcje są krytyczne lub istotne, zaznacz „Nie wiem” - to pierwsze sprawy do ustalenia.
- Pierwsze przejście. Przejdź wszystkie filary według stanu na dziś. Najlepiej we dwoje: osoba z IT zna systemy, osoba od ryzyka lub zgodności - wymogi. Przy wątpliwości wybierz „Nie wiem” zamiast zgadywać.
- Dowody. Przy każdym „Tak” wskaż dokument, uchwałę albo zapis, który to potwierdza. Jeśli go nie ma, uczciwsza odpowiedź to „Częściowo”.
- Plan. Przy „Częściowo”, „Nie” i „Nie wiem” wpisz osobę i termin, zapisz plan naprawczy w pliku i przedstaw go organowi zarządzającemu, który odpowiada za ramy zarządzania ryzykiem ICT (art. 5 ust. 2).
- Powrót. Zapisz ocenę w pliku i otwórz ją przy kolejnym przeglądzie ram.
Po zalogowaniu Replicord prowadzi obowiązki DORA dalej: w rejestrze obowiązków zawężonym profilem instytucji i w obszarach realizacji obowiązków z ich narzędziami.
Najczęstsze pytania
Czy lista kontrolna zastępuje ocenę zgodności albo audyt?
Nie. To samoocena: pokazuje, co instytucja uważa za wykonane, i zamienia luki w plan. O zgodności przesądzają dowody wykonania obowiązków, a nie zaznaczenia na liście. Lista nie zastępuje też audytu wewnętrznego ram, który poza mikroprzedsiębiorstwami prowadzą niezależni audytorzy znający ryzyko ICT (art. 6 ust. 6). Wynik przydaje się jednak audytorom - wskazuje miejsca do sprawdzenia - a przy przeglądzie ram pokazuje, co się zmieniło od ostatniej oceny. To interpretacja redakcji.
Dlaczego siedem filarów, a nie pięć, o których często się pisze?
Rozporządzenie nie dzieli się na filary - to skrót z opracowań. Nasze filary idą za rozdziałami DORA: incydenty (rozdział III), testowanie (rozdział IV) i ryzyko dostawców ICT (rozdział V, sekcja I) to po jednym filarze. Rozdział II - zarządzanie ryzykiem ICT - obejmuje bardzo różne obowiązki, od uchwał zarządu po kopie zapasowe, więc dzielimy go według jego własnych artykułów: ład i ramy (art. 5-6), identyfikacja (art. 8), ochrona, zapobieganie i wykrywanie (art. 7, 9-10) oraz reagowanie i odtwarzanie (art. 11-12). Jeden filar „zarządzanie ryzykiem ICT” mieszałby te obowiązki; cztery pokazują, gdzie dokładnie jest luka. To interpretacja redakcji.
Jak często wracać do listy?
DORA nie wymaga listy kontrolnej, ale wymaga przeglądu ram zarządzania ryzykiem ICT: co najmniej raz w roku (w mikroprzedsiębiorstwie - okresowo), a także po poważnych incydentach i po wnioskach z testów lub audytów (art. 6 ust. 5). Podmioty z uproszczonymi ramami przeglądają je okresowo i po poważnych incydentach (art. 16 ust. 2). To dobre momenty, żeby otworzyć zapisaną ocenę i ją zaktualizować - plan naprawczy z poprzedniej oceny staje się wtedy listą do sprawdzenia. To interpretacja redakcji.
Podstawa prawna
Akty prawne, na których opiera się artykuł. Konkretne przepisy są wskazane przy fragmentach tekstu; ich brzmienie pochodzi z bazy aktów prawnych Replicord.
- DORARozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/101121 przepisów w artykuleEUR-Lex ↗
Narzędzia Replicord do tego tematu
Bezpłatne, bez zakładania konta. Dane, które wpiszesz, zostają na tym urządzeniu.
Opracowanie ma charakter informacyjny i nie jest poradą prawną. Rozróżniamy wymogi prawne (z brzmieniem przepisu) od interpretacji i dobrych praktyk. Brzmienie przepisów pochodzi z bazy aktów prawnych Replicord, która śledzi zmiany w źródłach urzędowych; wiążący jest tekst opublikowany w Dzienniku Urzędowym UE.