מהו תקן DORA?
DORA או Digital Operational Resilience Act הוא תקן רגולטורי שנחקק על ידי האיחוד האירופי
ונכנס לתוקף בינואר 2023, מתוך מטרה לשפר את החוסן התפעולי הדיגיטלי של המגזר הפיננסי.
התקן מחייב גופים פיננסיים ונותני שירותים טכנולוגיים קריטיים (CTPPs) לוודא שהם מסוגלים לעמוד באירועי סייבר,
כשלים טכנולוגיים ואיומים תפעוליים, תוך שמירה על רציפות השירות והגנת מידע.
DORA נועד ליצור סטנדרט אחיד וכולל לניהול סיכונים טכנולוגיים (ICT risks) עבור כל השחקנים במערכת
הפיננסית באירופה כמו בנקים, חברות ביטוח, פלטפורמות מסחר, קרנות גידור, ספקי שירותים טכנולוגיים ועוד.
מי חייב לעמוד בדרישות DORA?
DORA חל על כ־22 סוגי גופים פיננסיים, ביניהם:
בנקים
חברות ביטוח וביטוח משנה
חברות אשראי וחברות השקעות
פלטפורמות מסחר, CCPs ו־CSDs
קרנות הון וקרנות גידור
ספקי שירותים טכנולוגיים חשובים (CTPPs), כולל:
ספקי מחשוב ענן
ספקי שירותי דאטה
ספקי פתרונות אבטחת מידע
כל גוף פיננסי הפועל באיחוד האירופי (כולל שלוחות של גופים גלובליים) מחויב לעמוד בדרישות התקן.
מטרות DORA
הגברת עמידות המגזר הפיננסי לאירועים טכנולוגיים ותקלות דיגיטליות.
יצירת אחידות רגולטורית באירופה בכל הקשור לסיכוני ICT.
העמקת הבקרה על ספקים חיצוניים, במיוחד שירותי ענן.
הגברת שקיפות, עקביות ותגובה מהירה לאירועי סייבר.
עיקרי תקן DORA
DORA מגדיר חמישה תחומי חובה עיקריים:
ניהול סיכוני ICT
הקמת מסגרת ניהול סיכונים טכנולוגיים מקצה לקצה.
עדכון מדיניות וניטור מתמשך של סיכונים.
ניהול אירועי סייבר ודיווח
תהליך ברור לזיהוי, טיפול ודיווח באירועי סייבר.
דיווח רגולטורי תוך קביעת סף חומרה ומשך טיפול.
בדיקות חוסן דיגיטלי
בדיקות חדירה, סימולציות תרחישים וטסטים סדירים.
גופים קריטיים נדרשים לעבור גם TIBER-EU tests.
ניהול סיכוני צד שלישי
מיפוי ספקים, בקרה על חוזים, ודיווח על תלות בטכנולוגיות קריטיות.
חובת דיווח על שיבוש אצל ספקים חיצוניים.
שיתוף מידע ומודיעין
תמרוץ לשיתופי פעולה בין גופים פיננסיים בהקשר איומי סייבר.
הקמת ערוצים חוקיים להחלפת מידע מודיעיני טכנולוגי.
תהליך היישום של DORA בפועל
מיפוי והתאמה
השלב הראשון הוא ניתוח פערים: בדיקה איפה הארגון עומד מול דרישות DORA, כולל כל התשתיות,
הספקים והפרקטיקות הנוכחיות.
יישום מסגרת ניהול סיכונים
הקמת תשתית לניהול סיכונים דיגיטליים תוך שילוב מערכות SIEM/SOC, נוהלי
Incident Response ורגולציות פרטניות.
קביעת תהליך טיפול באירועים
יצירת מנגנוני התרעה ודיווח, ממשק רגולציה אוטומטי, וסיווג אירועים לפי חומרה.
ניהול ספקים ו־Third Parties
קביעת מדיניות התקשרויות, הסכמים משפטיים מחמירים יותר, ומעקב מתמיד אחר ביצועי ספקים קריטיים.
בדיקות תקופתיות
תכנון והפעלת תרגולי סייבר, בדיקות חדירה (penetration tests) וסימולציות Black Box או Red Team.
הכשרת עובדים ומנהלים
הטמעת תרבות אבטחת מידע והדרכות פנימיות לכל רמות הארגון, עם דגש על ניהול אירועים.
שאלות ותשובות בנושא DORA
איך DORA מתייחס לספקי ענן שאינם באירופה?
גם אם ספקי הענן ממוקמים מחוץ לאירופה ברגע שהם מספקים שירותים לגוף פיננסי באיחוד, הגוף הפיננסי חייב
לנהל את הסיכון הזה, לרבות בחוזים, בפיקוח ובמנגנון התראה.
גופים רגישים יחויבו לדווח על כל תלות קריטית.
איך DORA שונה מתקנים קיימים כמו NIS או GDPR?
GDPR מתמקד בהגנת פרטיות ונתונים אישיים.
NIS עוסק בתשתיות קריטיות (לא בהכרח פיננסיות).
DORA מתמקד במערכות תפעוליות פיננסיות וביכולת שלהן לשרוד שיבושים.
הוא משלב ניהול סיכונים, ניהול ספקים, המשכיות עסקית ותגובה לאירועים בתוך מערכת אחת.
מה הסנקציות על אי עמידה ב־DORA?
האכיפה תתבצע על ידי הרשויות הפיננסיות באירופה (כגון EBA, ESMA, EIOPA).
גופים שלא יעמדו בתקנות צפויים לקנסות, שלילת רישוי או הוראות ספציפיות לשינוי תשתיות.
יש גם פיקוח ייעודי על ספקי שירותים טכנולוגיים קריטיים.
האם חובה לבצע בדיקות חדירה חיצוניות?
כן. DORA מחייב בדיקות חוסן דיגיטלי, כולל חדירות, לפחות פעם בשנה או לאחר שינויים מהותיים.
גופים חשובים במיוחד חייבים לעבור בדיקות TIBER-EU או דומות באישור רגולטורי.
איך ארגון קטן יכול לעמוד ב־DORA בלי עומס מופרז?
DORA מיושם בשיטת proportionality ההיקף, המורכבות והסיכונים של הארגון קובעים את עומק היישום.
ארגון קטן לא נדרש למערכת SIEM מורכבת, אבל כן חייב להציג מדיניות, ניתוח סיכונים והיערכות מינימלית לאירועי כשל.
