Digital Operational Resilience Act (DORA) on Euroopan unionin uusi sääntelykehystys, joka pyrkii vahvistamaan digitaalista toimintakykyä ja vastustuskykyä rahoitussektorilla. DORA-asetus on osa laajempaa ponnistusta, jolla varmistetaan, että finanssialan yritykset voivat selviytyä ja toimia tehokkaasti digitaalisessa ympäristössä.
DORA-compliance keskittyy erityisesti rahoitusalan toimijoiden operatiivisen toimintakyvyn parantamiseen. Tämä tarkoittaa sitä, että asetus pyrkii varmistamaan, että pankit, vakuutusyhtiöt ja muut rahoituslaitokset ovat riittävän vahvoja ja valmiita vastaamaan digitaalisiin uhkiin ja häiriöihin, kuten kyberhyökkäyksiin, tietoturvaongelmiin ja teknisiin häiriöihin.
Helpota vaatimustenmukaisuuden osoittamista ja tutustu Graniten DORA-työkaluun.
Mitkä ovat DORA-asetuksen keskeiset elementit?
- Operatiivisen toimintakyvyn hallinta: Asetus edellyttää rahoituslaitoksia kehittämään ja ylläpitämään tehokkaita operatiivisen toimintakyvyn hallintajärjestelmiä. Tämä auttaa varmistamaan, että ne voivat jatkuvasti tarjota palveluitaan asiakkaille ja toimia vakaina ja luotettavina.
- Tietoturva ja tietosuoja: DORA-asetus korostaa tietoturvan ja tietosuojan merkitystä. Rahoituslaitoksilta vaaditaan asianmukaista tietoturvasuunnittelua ja -valvontaa sekä velvoite ilmoittaa viranomaisille merkittävistä tietoturva- ja tietosuojarikkomuksista.
- Kolmannet osapuolet: Asetus koskee myös kolmansia osapuolia, kuten IT-palveluntarjoajia ja pilvipalveluntarjoajia, jotka toimittavat palveluita rahoituslaitoksille. Nämä kolmannet osapuolet ovat velvollisia noudattamaan tiukempia turvallisuus- ja luotettavuusvaatimuksia.
- Valvonta ja raportointi: DORA-asetus vahvistaa valvontaviranomaisten roolia ja antaa niille lisää valtuuksia valvoa rahoituslaitosten toimintaa. Rahoituslaitosten odotetaan myös raportoivan säännöllisesti operatiivisen toimintakyvyn hallinnastaan ja tietoturvastaan.
Miksi DORA-asetus on tärkeä rahoitussektorille?
DORA-asetus on tärkeä monesta syystä. Ensinnäkin, digitaalisen toimintakyvyn ja vastustuskyvyn vahvistaminen on elintärkeää rahoitussektorille, joka on yhä riippuvaisempi teknologiasta ja digitaalisista järjestelmistä. Yhä useammat rahoituspalvelut tarjotaan verkossa, ja asiakkaat odottavat niiden olevan saatavilla 24/7. Tämän vuoksi rahoituslaitosten on oltava valmiita torjumaan digitaalisia uhkia ja ylläpitämään palveluidensa saatavuutta.
Toiseksi, DORA-asetus pyrkii suojelemaan rahoitusjärjestelmän vakautta. Rahoitusalan toimijat ovat keskeisiä talouden toimijoita, ja niiden vakavat häiriöt voivat aiheuttaa laajempia taloudellisia ongelmia. Asetuksen avulla pyritään varmistamaan, että rahoituslaitokset eivät ole haavoittuvia digitaalisille hyökkäyksille tai teknisille ongelmille, jotka voisivat horjuttaa koko järjestelmää.
DORA-asetus koskee yli 22 000 rahoitusalan toimijaa ja ICT-alan palveluntarjoajaa EU:n alueella. Asetuksen myötä otetaan käyttöön erityisiä ja oikeudellisesti sitovia vaatimuksia, jotka koskevat kaikkia rahoitusalan toimijoita, kuten pankkeja, sijoituspalveluyrityksiä, vakuutusyhtiöitä ja -edustajia sekä kryptovaluutan, tietopalvelujen ja pilvipalvelujen tarjoajia.
Kolmanneksi, DORA-asetus edistää yhtenäisyyttä ja yhdenvertaisuutta rahoitusalan toimijoiden kesken Euroopan unionissa. Se luo yhteiset pelisäännöt ja standardit, joita kaikkien on noudatettava, mikä vähentää kilpailun vääristymiä ja lisää markkinoiden luottamusta.
DORA tarjoaa kattavat puitteet kolmansien osapuolten tarjoamiin ICT-palveluihin liittyvien riskien hallintaan sekä kyberturvallisuuden parantamiseen, jotta tarjottujen palvelujen yhdenmukaisuus voidaan varmistaa koko arvoketjussa.
DORA-asetuksen 5 keskeistä osa-aluetta
DORA-asetus muodostuu viidestä pääpilarista. Ne muodostavat yhtenäisen viitekehyksen, jonka avulla finanssialan toimijat ja niiden IT-kumppanit varmistavat toimintakykynsä myös vakavissa häiriö- ja kybertilanteissa.
1. ICT-riskienhallinta (ICT Risk Management)
Rahoitusalan toimijoiden on otettava käyttöön kattava ICT-riskienhallintajärjestelmä.
- Perustettava sekä ylläpidettävä luotettavia ICT-järjestelmiä ja -työkaluja, jotka minimoivat ICT-palveluihin liittyvien riskien vaikutukset.
- Tunnettava, luokiteltava ja dokumentoitava kriittiset toimintonsa ja resurssinsa.
- Seurattava jatkuvasti kaikkia ICT-riskien lähteitä ja määriteltävä toimenpiteet riskien torjumiseksi ja ennaltaehkäisemiseksi.
- Varmistettava nopeat havainnot poikkeavasta toiminnasta.
- Määriteltävä kattavat toimintaperiaatteet liiketoiminnan jatkuvuuden takaamiseksi ja laatia toimintasuunnitelma katastrofien varalle. Suunnitelmien ja niihin liittyvien toimintojen toimivuus on testattava vuosittain.
- Määriteltävä menettelytavat, jotka auttavat oppimaan sekä sisäisistä että ulkoisista ICT-palveluihin liittyvistä häiriötilanteista.
2. ICT-häiriötilanteiden hallinta ja raportointi
- Kehitettävä tehokas prosessi kaikkien ICT-palveluihin liittyvien häiriötilanteiden kirjaamiseen ja luokittelemiseksi sekä määriteltävä kaikki merkittäviksi häiriötilanteiksi luokiteltavat tapahtumat DORA-asetuksen ja Euroopan valvontaviranomaisten (EBA, EIOPA ja ESMA) kriteerien mukaisesti.
- Toimitettava sekä alustava että väli- ja loppuraportti ICT-palveluihin liittyvistä häiriötilanteista.
- Yhdenmukaistettava ICT-palveluihin liittyvistä häiriötilanteista raportoiminen Euroopan valvontaviranomaisten kehittämien mallien avulla.
- Testattava digitaalinen häiriönsietokyky.
3. Digitaalisen häiriönsietokyvyn testaaminen
- Vuosittainen ICT-työkalujen ja -järjestelmien perustestaus. Kaikki havaitut haavoittuvuudet ja puutteet poistetaan toteuttamalla tarvittavat vastatoimet.
- Suorittavat säännöllisesti kattavamman testauksen (Threat-Led Penetration Testing, TLPT) ICT-palveluille, jotka vaikuttavat kriittisiin toimintoihin. Kolmansien osapuolten, jotka tarjoavat ICT-palveluita, on osallistuttava testaukseen ja toimittava täysimääräisessä yhteistyössä.
- Toteutettava myös kolmansien osapuolten tarjoamiin ICT-palveluihin liittyvien riskien arviointia ja hallintaa.
4. Kolmannen osapuolen ICT-riskien hallinta
- Seurattava tehokkaasti riskejä, jotka liittyvät kolmansien osapuolten tarjoamiin ICT-palveluihin.
- Ilmoitettava kaikki ulkoistetut toimet, mukaan lukien konsernin sisäiset palvelut ja mahdolliset muutokset, jotka vaikuttavat kriittisten TVT-palvelujen ulkoistamiseen kolmansille osapuolille.
- Otettava huomioon IT-palvelujen keskittämiseen ja edelleen ulkoistamiseen liittyvät riskit.
- Yhdenmukaistettava palveluiden keskeiset tekijät ja toimintamallit kolmannen osapuolen palveluntarjoajien kanssa.
- Varmistettava, että kolmannen osapuolen ICT-palveluntarjoajien kanssa solmitut sopimukset sisältävät kaikki tarvittavat seurantaan ja saatavuuteen liittyvät tiedot, kuten täydellisen palvelutasokuvauksen sekä tietojen käsittelypaikat.
- Huomioitava riskit, jotka johtuvat siitä, että heidän käyttämänsä kolmannen osapuolen ICT-palveluntarjoaja ei noudata annettuja suosituksia. Kriittisten ICT-palvelujen tarjoajiin sovelletaan lisäksi Euroopan unionin valvontaviitekehystä, jonka perusteella voidaan antaa suosituksia havaittujen ICT-riskien lieventämiseen.
5. Tietojen ja kyberuhkatiedon jakaminen
- Asetuksen mukaan rahoitusalan toimijat voivat tehdä järjestelyjä, joiden avulla he voivat vaihtaa keskenään tietoverkkouhkia koskevia tietoja.
- Valvontaviranomainen toimittaa rahoitusalan toimijoille asianmukaista anonymisoitua tietoa tietoverkkouhista. Tämän vuoksi rahoitusalan toimijoiden on määriteltävä keinot, joiden avulla voidaan tarkastella viranomaisten toimittamia tietoja ja ryhtyä tarvittaviin toimiin.
Milloin DORA-asetus astui voimaan?
DORA-asetus astui täysimääräisesti voimaan 17.1.2025, ja sen vaatimukset ovat nyt velvoittavia kaikille piiriin kuuluville organisaatioille.
Euroopan komissio julkaisi 24.9.2020 luonnoksen rahoitusalan digitaalista häiriönsietokykyä koskevasta asetuksesta (Digital Operational Resilience Act, DORA) osana Digitaalisen rahoituksen pakettia (Digital Finance Package, DFP). Euroopan neuvosto hyväksyi DORA-asetuksen 28.11.2022 sen jälkeen, kun Euroopan parlamentti oli äänestänyt sen puolesta 10.11.2022.
Euroopan valvontaviranomaiset määrittelevät ja antavat useita asetukseen liittyviä teknisiä sääntely- ja täytäntöönpanostandardeja. Lisäksi Euroopan valvontaviranomaiset antavat rahoitusalan toimijoille tietoa ja ohjeita siitä, miten tietyt DORA-asetuksen vaatimukset täytetään.
Miten Granite voi auttaa organisaatiotasi DORA-asetusten tuomien vaatimusten toteuttamisessa? Voit kääntyä riskienhallinnan asiantuntijoidemme Teppo Kattilakosken ja Janne Viljamaan puoleen. Varaa tästä lyhyt tapaaminen.
Tutustu Graniten DORA-työkaluihin täältä.
Julkaistu 27.9.2023 / Päivitetty 28.8.2026