Ce este DORA și de ce schimbă regulile jocului în sectorul financiar?
Odată cu aplicarea sa efectivă începând cu 17 ianuarie 2025, Regulamentul privind Reziliența Operațională Digitală (DORA) a marcat o schimbare fundamentală în modul în care Uniunea Europeană privește securitatea cibernetică în domeniul financiar. Miza nu mai este doar prevenirea atacurilor, ci capacitatea reală a instituțiilor de a rezista, de a reacționa rapid și de a-și reveni în cazul unor defecțiuni sau incidente informatice majore.
Fie că vorbim despre bănci, societăți de asigurări sau firme de investiții, regulamentul unifică standardele de securitate tehnică pentru 20 de categorii distincte de entități financiare, extinzându-se direct și asupra furnizorilor terți de servicii IT (ICT third-party service providers).
De ce a fost nevoie de o astfel de reglementare?
Astăzi, serviciile financiare funcționează aproape exclusiv prin intermediul tehnologiei. Această dependență profundă de infrastructurile digitale și de companiile de software a deschis însă vulnerabilități majore în fața atacurilor cibernetice.
Atunci când riscurile IT nu sunt gestionate riguros, o simplă pană de sistem sau o breșă de securitate la un furnizor terț poate bloca tranzacții transfrontaliere. Un astfel de incident se poate propaga rapid domino în alte sectoare, destabilizând în final întreaga economie. DORA a fost creat tocmai pentru a elimina aceste puncte unice de vulnerabilitate.
Pilonii centrali ai regulamentului DORA
Cadrul DORA nu se limitează la recomandări generale, ci impune cerințe concrete structurate pe șase direcții majore:
- Gestionarea riscului IT: Setarea unor principii solide privind guvernanța și cadrul intern de minimizare a riscurilor cibernetice.
- Supravegherea furnizorilor terți de tehnologie: Monitorizarea constantă a riscurilor generate de dependența de furnizori externi și includerea unor clauze contractuale obligatorii.
- Testarea rezilienței operaționale: Derularea periodica de teste de securitate, de la evaluări de bază până la teste avansate de penetrare (penetration testing).
- Raportarea incidentelor de securitate: Obligația de a clasifica și de a raporta rapid autorităților competente orice incident IT major.
- Schimbul de informații: Încurajarea partajării voluntare de date și analize privind amenințările cibernetice între entitățile financiare.
- Mecanismul european de supraveghere: Un cadru strict dedicat furnizorilor critici de servicii IT (CTPPs), creat pentru a preveni riscurile de concentrare — de exemplu, situațiile în care prea multe bănci depind de același furnizor de servicii Cloud.
What is DORA and why is it changing the game in the financial sector?
With its official implementation coming into effect on January 17, 2025, the Digital Operational Resilience Act (DORA) marked a fundamental shift in how the European Union views cybersecurity within the financial domain. The focus is no longer merely on preventing cyberattacks, but on building genuine organizational capacity to withstand, swiftly react to, and recover from major IT disruptions or system failures.
Whether referring to banks, insurance companies, or investment firms, the regulation harmonizes technical security standards across 20 distinct categories of financial entities, while extending directly to third-party ICT (Information and Communication Technology) service providers.
Why Was This Regulation Necessary?
Today, financial services operate almost exclusively through technology. However, this deep reliance on digital infrastructure and software vendors has exposed major vulnerabilities to cyber threats.
When IT risks are not rigorously managed, a simple system outage or security breach at a third-party vendor can disrupt cross-border transactions. Such an incident can rapidly trigger a domino effect across other sectors, ultimately destabilizing the broader economy. DORA was established specifically to eliminate these single points of failure.
The Core Pillars of DORA
The DORA framework goes beyond general recommendations by enforcing concrete requirements structured around six major pillars:
- ICT Risk Management: Establishing robust principles for governance and internal risk minimization frameworks.
- ICT Third-Party Risk Management: Continuously monitoring risks stemming from reliance on external vendors and embedding mandatory contractual provisions.
- Digital Operational Resilience Testing: Conducting periodic security tests, ranging from basic evaluations to advanced threat-led penetration testing (TLPT).
- Incident Reporting: Obligating entities to classify and rapidly report major ICT-related incidents to competent regulatory authorities.
- Information Sharing: Encouraging voluntary peer-to-peer exchanges of cyber threat intelligence and analytics among financial entities.
- European Oversight Mechanism: A strict framework dedicated to critical third-party ICT providers (CTPPs), designed to mitigate concentration risks—such as scenarios where multiple major banks rely on the same single cloud provider.
