Lühidalt
DORA (Digital Operational Resilience Act) on otsekohaldatav ELi määrus, mis nõuab finantsettevõtjatelt IKT-riskide juhtimist, tõsistest IKT-intsidentidest teatamist, digitaalse tegevuskerksuse testimist, kolmandate osapoolte IKT-riski juhtimist ja teabevahetust. Eestis teeb järelevalvet Finantsinspektsioon.
DORA ei ole üks dokument ega sertifikaat. See on juhtimis- ja tõendiraamistik, mille keskmes on kriitilised funktsioonid, tegelikud sõltuvused ja juhtorgani vastutus. TLPT on üks testimise nõue, mitte kogu DORA.
Keda DORA kohaldub?
DORA kohaldub suurele osale finantssektorist, sealhulgas pankadele, makseasutustele, e-raha asutustele, investeerimisühingutele, teatud tegevusloaga krüptovarateenuse pakkujatele, kauplemiskohtadele, kindlustusandjatele ja -vahendajatele, fondivalitsejatele ning ühisrahastusteenuse osutajatele. Täpne loetelu ja erandid tuleb kinnitada määrusest ja oma pädevalt asutuselt.
DORA puudutab ka IKT-teenuse osutajaid, keda finantsettevõtja kasutab kriitilise või olulise funktsiooni toetamiseks. See ei tähenda, et iga tarkvaratarnija on ise DORA kohustuslane, kuid tema lepingud, teenustasemed, juurdepääs ja intsidentide teatamine peavad vastama finantsettevõtja nõuetele.
- Kohustuslane: finantsettevõtja, kes peab juhtima IKT-riski ja tõendama vastavust.
- Kriitiline tarnija: IKT-teenus, mille katkemine mõjutab olulist funktsiooni; nõuab sügavamat hindamist ja lepingutingimusi.
- Järelevalve: Eestis Finantsinspektsioon; oluliste krediidiasutuste TLPT osas tegutseb TLPT asutusena EKP.
DORA viis sammast
| Sammas | Mida see nõuab | Tüüpiline tõend |
|---|---|---|
| 1. IKT-riskijuhtimine | Juhtimisraamistik, rollid, varade ja sõltuvuste kaart, toimepidevus, varundus, haavatavuste haldus. | Kinnitatud raamistik, riskiregister, taastetesti ja haavatavuste logi. |
| 2. Intsidentidest teatamine | Tõsiste IKT-intsidentide liigitamine, käsitlemine ja teatamine pädevale asutusele. | Intsidendiprotsess, klassifitseerimise kriteeriumid, teatamislogi ja õppuse raport. |
| 3. Testimine | Regulaarne testimisprogramm; määratud ettevõtjatele ohuteabel põhinev TLPT. | Testiplaan, ulatus, metoodika, leiud, parandused ja kordustest. |
| 4. Kolmandate osapoolte risk | Teaberegister, hoolsus, lepingutingimused, alltöövõtt, väljumisplaan. | Register, tarnijate hinnangud, lepingud ja exit-plaan. |
| 5. Teabevahetus | Küberohtude teabe vahetamine usaldusväärsete osapooltega. | Osalemine infovahetuses, kasutusjuhtumid ja konfidentsiaalsuse kord. |
Need sambad ei ole eraldi projektid. Sama intsident võib puudutada riskijuhtimist, teatamist, tarnijat ja testimist; tõend peab olema jälgitav ühest kohast.
Mida Eestis konkreetselt teha?
Finantsinspektsioon on DORA järelevalveasutus. Tõsistest IKT-intsidentidest tuleb teatada Finantsinspektsioonile; kuni 31. oktoobrini 2026 saab raportid saata elektrooniliselt e-postiga, alates 1. novembrist 2026 aga Eesti Panga ja Finantsinspektsiooni andmekogumisportaali kaudu. Kontrolli enne saatmist kehtivat kanalit ja vormi.
DORA artikkel 28 lõige 3 nõuab teaberegistrit kolmandast isikust IKT-teenuste kohta. Registrit tuleb hoida ajakohasena ja esitada vähemalt kord aastas; 2027. aasta alguses kogutakse registreid seisuga 31.12.2026. Eestis käib esitamine Eesti Panga ja Finantsinspektsiooni andmekogumisportaali kaudu.
Kavandatud lepingutest, mis toetavad kriitilisi või olulisi funktsioone, tuleb pädevat asutust aegsasti teavitada. See nõuab tarnijate ja funktsioonide kaardistust, mitte ainult õigusosakonna lepingute loetelu.
Teaberegister: mida see päriselt nõuab
Teaberegister on DORA üks konkreetsemaid tõendeid. See peab näitama, milliseid IKT-teenuseid kasutad, kes neid osutab, millist funktsiooni teenus toetab, kas funktsioon on kriitiline või oluline ning millised on lepingu- ja väljumisriskid.
- Ulatus: kõik lepingud, millega kaasneb IKT-teenus, sealhulgas pilv, hosting, tugi, monitooring ja alltöövõtt.
- Seos: iga kirje peab viitama ärifunktsioonile ja selle kriitilisusele, mitte ainult osakonnale.
- Versioon: register on elav dokument; muudatused tuleb siduda lepingu, tarnija ja riskihinnangu muudatusega.
- Tõend: registri väljavõte, kinnitamise aeg, esitaja ja paranduste ajalugu.
Kui register on ainult Excel, mis koostatakse kord aastas, ei kata see tõenäoliselt DORA loogikat. Vaja on omanikku, allikat ja muudatuste protsessi.
Laadi teaberegistri töömall (CSV) – lihtsustatud töövahend, mitte ametlik ESA vorm.
TLPT ja TIBER-EE
DORA artiklid 26–27 käsitlevad ohuteabel põhinevat läbistustestimist. Seda ei nõuta kõigilt: pädev asutus määrab ettevõtjad, kellelt TLPT-d nõutakse. Eestis kasutatakse TIBER-EE raamistikku, mis täpsustab TIBER-EU rakenduse, rollid ja tõendamise.
TLPT ei asenda tavalist pentesti ega DORA teisi nõudeid. See hindab, kas kriitilised funktsioonid peavad vastu eesmärgistatud ründetegevusele ja kas organisatsioon märkab ning peatab selle. Kui TLPT on ees, loe TLPT ja TIBER-EE juhendit.
DORA vs NIS2 vs E-ITS
| Küsimus | DORA | NIS2 / KüTS | E-ITS |
|---|---|---|---|
| Kohaldub | Finantssektor, suur osa ettevõtjaid | Laiem ring sektoreid ja teenuseosutajaid | Avalikud ülesanded; ettevõttele vabatahtlik |
| Õiguslik iseloom | ELi määrus, otsekohaldatav | ELi direktiiv, üle võetud KüTS-iga | Eesti infoturbestandard |
| Järelevalve | Finantsinspektsioon; EKP teatud TLPT | RIA | RIA / auditikord |
| TLPT | Määratud ettevõtjatele | Ei ole automaatne nõue | Ei asenda DORA TLPT-d |
DORA on finantssektori eriregulatsioon; NIS2 on üldisem küberturvalisuse raamistik. Kui tegevus võib kuuluda mõlema alla, tuleb kattuvus ja kohaldamine kinnitada pädeva asutusega. E-ITS ei ole DORA vastavuse tõend.
Mida DORA ei ole
- Ei ole sertifikaat: DORA vastavust tõendatakse protsesside, registrite, lepingute ja testidega, mitte ühe sertifikaadiga.
- Ei ole ainult pentest: TLPT on üks testimise osa; DORA katab ka juhtimise, intsidendid ja tarnijad.
- Ei ole ühekordne projekt: riskid, tarnijad ja süsteemid muutuvad; raamistikku tuleb hoida ajakohasena.
- Ei ole ainult IT-osakonna teema: juhtorgan vastutab raamistiku kinnitamise ja järelevalve eest.
30/60/90 päeva plaan
- 0–30 päeva: kinnita kohaldumine ja juhtorgani vastutus; kaardista kriitilised funktsioonid, süsteemid ja tarnijad; ava teaberegistri esimene versioon.
- 31–60 päeva: hinda IKT-riskijuhtimise ja intsidentide protsessi lünki; seo lepingud ja tarnijad registriga; koosta testimisplaan.
- 61–90 päeva: vii juhtkonnale tõendid ja parandusplaan; kontrolli intsidendite teatamise kanalit; otsusta, kas TLPT on kohaldatav või vajalik vabatahtlikuna.
See on käivitamise raamistik, mitte täielik vastavuskava. Ulatus sõltub ettevõtja suurusest, tegevusloast ja kriitilistest funktsioonidest.
Küsimused DORA kohta
Kas DORA kohaldub minu ettevõttele?
Kui oled finantssektori ettevõtja, kelle tegevus on DORA loetelus ja sul on vastav tegevusluba, siis tõenäoliselt jah. Kontrolli täpset kohaldumist määrusest ja Finantsinspektsiooni juhisest. Tavaline tarkvaratarnija ei ole automaatselt kohustuslane, kuid võib olla kriitiline IKT-teenuse osutaja.
Kas DORA nõuab TLPT-d kõigilt?
Ei. TLPT nõutakse ainult pädeva asutuse poolt määratud ettevõtjatelt. Eestis kasutatakse TIBER-EE raamistikku. Teised ettevõtjad võivad teha tavapärast pentesti või vabatahtlikku TIBER-EE testi pädeva asutuse kooskõlastusel.
Kas DORA asendab NIS2 või E-ITS-i?
DORA on finantssektori eriregulatsioon ja NIS2 üldisem raamistik. Kui tegevus võib kuuluda mõlema alla, tuleb kattuvus ja kohaldamine kinnitada pädeva asutusega. E-ITS on Eesti infoturbestandard, mitte DORA vastavuse tõend.
Kas DORA sertifikaat on olemas?
Ei. DORA ei ole sertifitseerimisskeem. Vastavust tõendatakse juhtimisraamistiku, protsesside, teaberegistri, lepingute, testimise ja intsidentide käsitlemise tõenditega. Ükski sertifikaat ei asenda seda tervikut.
Allikad
- DORA määrus (EL) 2022/2554.
- Finantsinspektsioon: DORA määrusest ja nõuetest Eesti finantssektoris.
- Komisjoni delegeeritud määrus (EL) 2025/1190 TLPT kriteeriumide kohta.
See leht on selgitav, mitte õigusnõu. Kohaldumise ja tõendite ulatuse kinnitab sinu pädev asutus.