Što je DORA
DORA je uredba Europske unije koja financijskom sektoru propisuje jedinstvena pravila o digitalnoj operativnoj otpornosti, odnosno o sposobnosti financijskog subjekta da izgradi, osigura i preispita svoj operativni integritet i pouzdanost u području informacijske i komunikacijske tehnologije (IKT) te da nastavi poslovati i kad se dogodi incident.
Prije DORA-e pravila o informacijskoj sigurnosti u financijskom sektoru razlikovala su se među državama i vrstama institucija. DORA ih ujednačava za cijelu Europsku uniju. Stupila je na snagu 16. siječnja 2023., a primjenjuje se od 17. siječnja 2025.
Budući da je riječ o uredbi, DORA se primjenjuje izravno. Hrvatska je ipak donijela Zakon o provedbi Uredbe (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (NN 136/24), koji određuje nadležna tijela, postupak nadzora, nadzorne mjere i kazne.
Tko je obveznik
DORA se primjenjuje na gotovo cijeli financijski sektor. Članak 2. navodi, među ostalim:
- kreditne institucije
- institucije za platni promet i institucije za elektronički novac
- investicijska društva
- pružatelje usluga povezanih s kriptoimovinom
- središnje depozitorije i središnje druge ugovorne strane
- mjesta trgovanja i trgovinske repozitorije
- društva za upravljanje investicijskim fondovima
- društva za osiguranje i reosiguranje te posrednike u osiguranju, osim mikro, malih i srednjih
- institucije za strukovno mirovinsko osiguranje
- agencije za kreditni rejting
- pružatelje usluga skupnog financiranja.
DORA uređuje i odnos financijskih subjekata s trećim stranama pružateljima IKT usluga, primjerice pružateljima usluga u oblaku. Pružatelje koje europska nadzorna tijela odrede kao ključne nadzire izravno glavno nadzorno tijelo na razini EU-a.
Obveze se primjenjuju razmjerno veličini, riziku i složenosti poslovanja. Određeni manji subjekti, primjerice mala i nepovezana investicijska društva, primjenjuju pojednostavljeni okvir za upravljanje IKT rizicima iz članka 16.
Nadležna tijela u Hrvatskoj
| Tijelo | Nadzire |
|---|---|
| Hrvatska narodna banka (HNB) | kreditne institucije, osim značajnih koje izravno nadzire Europska središnja banka, institucije za platni promet, institucije za elektronički novac i izdavatelje tokena vezanih uz imovinu |
| Hrvatska agencija za nadzor financijskih usluga (HANFA) | investicijska društva, društva za upravljanje investicijskim i mirovinskim fondovima, društva za osiguranje i reosiguranje, posrednike u osiguranju, pružatelje usluga povezanih s kriptoimovinom, središnji depozitorij, operatera uređenog tržišta i pružatelje usluga skupnog financiranja |
Protiv rješenja HNB-a i HANFA-e žalba nije dopuštena, ali se može pokrenuti upravni spor.
Pet područja DORA-e
1. Upravljanje IKT rizicima
Financijski subjekt mora imati dokumentiran okvir za upravljanje IKT rizicima (čl. 5. do 16.) koji obuhvaća:
- popis IKT sustava, informacijske imovine i njihovih međuovisnosti
- zaštitu i sprječavanje incidenata
- otkrivanje neuobičajenih aktivnosti
- odgovor na incidente i oporavak, uključujući politiku kontinuiteta poslovanja i planove oporavka
- učenje iz incidenata i poboljšanje mjera
- komunikaciju u kriznim situacijama.
Upravljačko tijelo (uprava i nadzorni odbor) odgovara za upravljanje IKT rizicima. Mora odobriti okvir i strategiju digitalne operativne otpornosti, nadzirati njihovu provedbu, osigurati proračun i redovito osvježavati vlastito znanje i vještine potrebne za razumijevanje IKT rizika (čl. 5.).
2. Upravljanje IKT incidentima i njihova prijava
Financijski subjekt mora uspostaviti postupak za otkrivanje, klasifikaciju i rješavanje IKT incidenata (čl. 17. do 23.). Incidente klasificira prema kriterijima kao što su broj pogođenih klijenata, trajanje, zemljopisni opseg, gubitak podataka, utjecaj na ključne funkcije i gospodarski učinak.
Značajni IKT incident prijavljuje se nadležnom tijelu. Prema provedbenim propisima rokovi su:
| Izvješće | Rok |
|---|---|
| Početna obavijest | 4 sata od klasifikacije incidenta kao značajnog, a najkasnije 24 sata od saznanja |
| Prijelazno izvješće | 72 sata od početne obavijesti |
| Završno izvješće | mjesec dana od posljednjeg privremenog izvješća |
U Hrvatskoj subjekti pod nadzorom HANFA-e incidente prijavljuju HANFA-i, a subjekti pod nadzorom HNB-a HNB-u. O značajnom incidentu obavještavaju i nadležni CSIRT, a izvještava se putem nacionalne platforme za prikupljanje, analizu i razmjenu podataka o kibernetičkim prijetnjama i incidentima.
Ako incident uključuje povredu osobnih podataka, primjenjuje se i GDPR, pa voditelj obrade odvojeno obavještava AZOP.
3. Testiranje digitalne operativne otpornosti
Financijski subjekti moraju imati program testiranja (čl. 24. do 27.) koji obuhvaća, primjerice, procjene ranjivosti, testove mrežne sigurnosti, preglede izvornog koda, testove temeljene na scenarijima i penetracijska testiranja. Sustavi i aplikacije koji podupiru ključne ili važne funkcije testiraju se najmanje jednom godišnje.
Subjekti koje nadležno tijelo odredi provode i napredno testiranje u obliku penetracijskog testiranja vođenog prijetnjama (TLPT), najmanje jednom u tri godine. TLPT se provodi na sustavima u produkciji, a temelji se na europskom okviru TIBER-EU.
4. Upravljanje IKT rizikom povezanim s trećim stranama
DORA donosi detaljna pravila za rad s trećim stranama pružateljima IKT usluga (čl. 28. do 44.):
- registar informacija o svim ugovornim aranžmanima o upotrebi IKT usluga, koji se dostavlja nadležnom tijelu
- procjena rizika i dubinska provjera pružatelja prije sklapanja ugovora
- obvezni sadržaj ugovora (čl. 30.), primjerice opis usluga, lokacija obrade podataka, razine usluge, sigurnosne mjere, prava pristupa i revizije, obveza pomoći pri incidentu, uvjeti raskida i izlazna strategija
- izlazna strategija za IKT usluge kojima se podupiru ključne ili važne funkcije, kako bi se usluga mogla prenijeti drugom pružatelju bez prekida poslovanja
- redovito preispitivanje rizika povezanih s ugovorima.
Eksternalizacija ne prenosi odgovornost: financijski subjekt i dalje odgovara za usklađenost.
5. Razmjena informacija
Financijski subjekti mogu međusobno razmjenjivati informacije o kibernetičkim prijetnjama, uz zaštitu povjerljivosti i osobnih podataka, i o tome obavještavaju nadležno tijelo (čl. 45.).
Osposobljavanje zaposlenika i uprave
DORA izričito traži da financijski subjekti razviju programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanje o digitalnoj operativnoj otpornosti kao obvezne module za sve zaposlenike i više rukovodstvo (čl. 13. st. 6.). Članovi upravljačkog tijela moraju aktivno osvježavati znanje i vještine potrebne za razumijevanje i procjenu IKT rizika (čl. 5. st. 4.).
Hrvatski zakon propuste u tom području izričito navodi kao prekršaje: kažnjava se financijski subjekt koji ne primjenjuje programe osposobljavanja, ali i član upravljačkog tijela koji ne osvježava svoje znanje.
Kazne
Prema hrvatskom Zakonu o provedbi DORA-e:
| Tko | Kazna |
|---|---|
| Financijski subjekt (pravna osoba) | novčana kazna do 3 % ukupnog godišnjeg prihoda |
| Odgovorna osoba u pravnoj osobi | do 15.000 eura |
| Član upravljačkog tijela, primjerice ako ne odobri ili ne nadzire okvir za upravljanje IKT rizicima ili ne osvježava znanje o IKT rizicima | do 15.000 eura |
Kazne su propisane za brojne povrede, primjerice za neprijavljivanje značajnog IKT incidenta, neprovođenje TLPT-a ili nepostojanje registra informacija. HNB i HANFA mogu izreći i nadzorne mjere, a HNB i HANFA mogu naložiti nadzornom odboru da razriješi člana uprave odgovornog za povrede.
DORA i NIS2
DORA je za financijski sektor poseban propis u odnosu na NIS2 direktivu i hrvatski Zakon o kibernetičkoj sigurnosti. Za financijske subjekte na koje se primjenjuje DORA, njezini zahtjevi o upravljanju IKT rizicima i prijavi incidenata imaju prednost.
| DORA | NIS2 / Zakon o kibernetičkoj sigurnosti | |
|---|---|---|
| Područje | financijski sektor | 19 sektora |
| Vrsta propisa | uredba, izravna primjena | direktiva prenesena zakonom |
| Prijava incidenta | 4 sata od klasifikacije, najkasnije 24 sata od saznanja | rano upozorenje u 24 sata |
| Napredno testiranje | TLPT najmanje svake tri godine za određene subjekte | nije propisano |
| Treće strane | detaljna pravila i nadzor ključnih pružatelja na razini EU-a | sigurnost lanca opskrbe kao jedna od mjera |
Više o NIS2 u članku NIS2 direktiva u Hrvatskoj.
Kako se pripremiti
| Korak | Što napraviti |
|---|---|
| 1. Analiza stanja | usporediti postojeće mjere sa zahtjevima DORA-e i provedbenih propisa |
| 2. Okvir za upravljanje IKT rizicima | dokumentirati okvir i strategiju i dati ih na odobrenje upravljačkom tijelu |
| 3. Postupak za incidente | uspostaviti klasifikaciju i postupak prijave s rokom od 4 sata |
| 4. Registar informacija | popisati sve ugovore o IKT uslugama s potrebnim podacima |
| 5. Ugovori | dopuniti ugovore s pružateljima obveznim odredbama iz članka 30. |
| 6. Testiranje | izraditi godišnji program testiranja i pripremiti se za TLPT ako je primjenjiv |
| 7. Osposobljavanje | provesti programe za sve zaposlenike i upravu i voditi evidenciju |
Najčešće pogreške
- DORA kao projekt IT odjela. Za upravljanje IKT rizicima odgovara upravljačko tijelo.
- Nepotpun registar informacija. Pružatelji IKT usluga često su raspoređeni po odjelima i nisu svi evidentirani.
- Stari ugovori. Postojeći ugovori s pružateljima često nemaju odredbe koje traži članak 30.
- Nepripremljena prijava incidenta. Rok od 4 sata od klasifikacije nije moguće poštovati bez unaprijed određenih osoba i postupka.
- Neproporcionalni sustavi. Manji subjekti ponekad uvode složenije mjere nego što im je potrebno, umjesto da primijene načelo proporcionalnosti.
Često postavljana pitanja
Što je DORA?
Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor. Propisuje jedinstvena pravila o upravljanju IKT rizicima, prijavi incidenata, testiranju i radu s pružateljima IKT usluga za financijske subjekte u EU-u.
Od kada se primjenjuje DORA?
Od 17. siječnja 2025. Isti dan stupio je na snagu i hrvatski Zakon o provedbi Uredbe (EU) 2022/2554.
Tko nadzire primjenu DORA-e u Hrvatskoj?
Hrvatska narodna banka i Hrvatska agencija za nadzor financijskih usluga, svaka za financijske subjekte iz svoje nadležnosti.
Koliki je rok za prijavu IKT incidenta?
Početna obavijest o značajnom IKT incidentu dostavlja se u roku od 4 sata od njegove klasifikacije kao značajnog, a najkasnije 24 sata od saznanja. Slijede prijelazno izvješće u roku od 72 sata i završno izvješće u roku od mjesec dana.
Moraju li financijski subjekti primjenjivati i DORA-u i NIS2?
Za upravljanje IKT rizicima i prijavu incidenata DORA ima prednost kao poseban propis za financijski sektor.
Je li osposobljavanje zaposlenika obvezno prema DORA-i?
Jest. Programi za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanje o digitalnoj operativnoj otpornosti obvezni su za sve zaposlenike i više rukovodstvo, a članovi uprave moraju redovito osvježavati znanje o IKT rizicima.
Koje su kazne za kršenje DORA-e u Hrvatskoj?
Za financijski subjekt do 3 % ukupnog godišnjeg prihoda, a za odgovornu osobu i članove upravljačkog tijela do 15.000 eura.
Što je TLPT?
Napredno testiranje u obliku penetracijskog testiranja vođenog prijetnjama, koje simulira stvarne napade na sustave u produkciji. Provode ga subjekti koje odredi nadležno tijelo, najmanje jednom u tri godine.
Povezani članci
- NIS2 direktiva u Hrvatskoj: što tvrtke moraju znati
- Sprječavanje pranja novca: obveznici i obveze
- Ransomware: kako zaštititi tvrtku
Izvori
- Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (EUR-Lex)
- Zakon o provedbi Uredbe (EU) 2022/2554 (NN 136/2024)
- Hrvatska narodna banka
- Hrvatska agencija za nadzor financijskih usluga
Ovaj je članak informativne naravi i nije pravni savjet.