DORA u Hrvatskoj
DORA je uredba EU-a i primjenjuje se izravno. Hrvatska je donijela Zakon o provedbi Uredbe (EU) 2022/2554 (NN 136/24), kojim su određena nadležna tijela, postupak nadzora i prekršajne odredbe. Nadzor provode Hrvatska narodna banka i HANFA, svaka za subjekte iz svoje nadležnosti, a nad značajnim kreditnim institucijama nadzor provodi Europska središnja banka.
Tko je obveznik
- banke i druge kreditne institucije
- institucije za platni promet i institucije za elektronički novac
- investicijska društva i društva za upravljanje investicijskim fondovima
- društva za osiguranje i reosiguranje
- pružatelji usluga povezanih s kriptoimovinom
- drugi financijski subjekti navedeni u čl. 2. Uredbe
Ključne treće strane pružatelje IKT usluga financijskom sektoru, primjerice velike pružatelje usluga u oblaku, nadziru europska nadzorna tijela.
Pet područja
| Područje | Ukratko |
|---|---|
| Upravljanje IKT rizicima | okvir za upravljanje IKT rizicima; odgovornost upravljačkog tijela |
| Prijava IKT incidenata | početna obavijest u roku od 4 sata od klasifikacije incidenta kao značajnog, a najkasnije 24 sata od saznanja; prijelazno izvješće u roku od 72 sata; završno izvješće u roku od mjesec dana |
| Testiranje otpornosti | godišnje testiranje ključnih sustava; za subjekte koje odredi nadležno tijelo napredno testiranje (TLPT) |
| Treće strane | ugovori s pružateljima IKT usluga s propisanim sadržajem i registar informacija |
| Razmjena informacija | dobrovoljna razmjena informacija o kibernetičkim prijetnjama |
Svi zaposlenici i više rukovodstvo moraju proći programe podizanja svijesti o sigurnosti IKT-a i osposobljavanje o digitalnoj operativnoj otpornosti.
DORA i NIS2
Za financijske subjekte DORA ima prednost pred općim pravilima o kibernetičkoj sigurnosti iz NIS2 i Zakona o kibernetičkoj sigurnosti. O značajnom IKT incidentu financijski subjekti obavještavaju i nadležni CSIRT.
Kazne
Financijskom subjektu može se izreći kazna do 3 % ukupnog godišnjeg prihoda, a odgovornoj osobi i članu upravljačkog tijela do 15.000 eura.
Primjer
Manja banka pod nadzorom HNB-a utvrdi da je zbog kvara kod pružatelja usluga u oblaku internetsko bankarstvo nedostupno nekoliko sati. Nakon što incident klasificira kao značajan, u roku od 4 sata putem nacionalne platforme šalje početnu obavijest HNB-u, a zatim prijelazno i završno izvješće.