Lühidalt
DORA kohaldub laiale finantssektori ringile. Praktiline fookus: ICT-riskijuhtimine, teaberegister, lepinguklauslid, intsidendite käsitlemine, vastupidavustestid ja juhtimine. DORA audit ei ole üks sertifikaat; see on tõendite ja toimimise ülevaatus.
Teaberegister
Register peab näitama iga ICT-teenuse lepingulist korraldust: pakkuja, teenus, kriitiline funktsioon, andmed, allhankijad ja väljumisplaan. Vaata teaberegistri juhendit ja English DORA register guide.
Lepingud ja tarneahel
- ICT-teenuse ulatus, teenustasemed ja turvanõuded.
- Intsidentidest teavitamine ja koostöö.
- Auditi- ja juurdepääsuõigused.
- Allhankijate ja andmete asukoha nõuded.
- Väljumisplaan ja andmete tagastamine.
TLPT ja vastupidavus
TLPT on ohupõhine vastupidavustest määratud üksustele. Tavaline DORA audit võib ettevalmistust toetada, kuid ei asenda TLPT-d. Vaata TLPT ja TIBER-EE juhendit.
Tõendid enne järelevalvet
| Valdkond | Tõend |
|---|---|
| Register | Teaberegister ja lepingute vastavus |
| Risk | ICT-riskiregister ja juhatuse otsused |
| Intsident | Logi, teavitused ja tabletop |
| Vastupidavus | Taastetest, RTO/RPO ja TLPT plaan |
| Tarneahel | Due diligence, lepingud ja allhankijad |
DORA auditi juhend kirjeldab ulatust ja tüüpilisi lünki.
Küsimused finantssektori kohta
Kas DORA kohaldub kõigile finantsettevõtetele?
DORA kohaldub laiale finantssektori ringile, kuid täpne kohaldumine ja erandid sõltuvad tegevusest ja liikmesriigi õigusest. Kontrolli oma staatust ja järelevalveasutuse juhist.
Mida peab teaberegister sisaldama?
Lepingulisi korraldusi ICT-teenuse pakkujatega, sealhulgas pakkuja, teenus, kriitiline funktsioon, andmed, allhankijad ja väljumisplaan.
Kas TLPT on kohustuslik?
TLPT kohaldub määratud üksustele ja sõltub järelevalveasutuse hinnangust. Tavaline DORA audit ei asenda TLPT-d.