DORA (Regulation (EU) 2022/2554)
यह क्या है
वित्तीय क्षेत्र के लिए डिजिटल ऑपरेशनल रेज़िलिएंस पर एक विनियमन (EU regulation), जो 17 जनवरी 2025 से हर सदस्य राज्य में सीधे लागू है। इसके चार प्रमुख स्तंभ हैं: ICT जोखिम प्रबंधन (अनुच्छेद 5 से 16), ICT-संबंधित घटना प्रबंधन और रिपोर्टिंग (17 से 23), डिजिटल ऑपरेशनल रेज़िलिएंस परीक्षण (24 से 27), ICT तृतीय-पक्ष जोखिम (28 से 44) और सूचना साझाकरण (45)। ICT जोखिम प्रबंधन फ़्रेमवर्क पर Delegated Regulation (EU) 2024/1774 जैसे विनियामक तकनीकी मानक इस विवरण को और स्पष्ट करते हैं।
इसकी ज़रूरत किसे है
यूरोपीय संघ की लगभग बीस प्रकार की वित्तीय इकाइयाँ, जिनमें क्रेडिट संस्थान, भुगतान और ई-मनी संस्थान, निवेश फ़र्में, क्रिप्टो-एसेट सेवा प्रदाता, बीमाकर्ता और पुनर्बीमाकर्ता शामिल हैं। यूरोपीय पर्यवेक्षी प्राधिकरण (European Supervisory Authorities) महत्वपूर्ण ICT तृतीय-पक्ष सेवा प्रदाताओं की निगरानी भी सीधे करते हैं। वित्तीय इकाइयों के लिए DORA के नियम समतुल्य NIS2 उपायों पर प्राथमिकता रखते हैं।
मूल्यांकन कैसे होता है
इसके लिए कोई प्रमाणन नहीं है। राष्ट्रीय सक्षम प्राधिकरण, और महत्वपूर्ण बैंकों के लिए ECB, अनुपालन की निगरानी करते हैं। बड़ी ICT-संबंधित घटनाओं की रिपोर्ट चरणों में दी जाती है (प्रारंभिक सूचना, मध्यवर्ती रिपोर्टें और अंतिम रिपोर्ट), जिनकी समय-सीमा तकनीकी मानकों में तय होती है। अपने प्राधिकरण द्वारा चुनी गई इकाइयों को कम से कम हर तीन वर्ष में खतरा-आधारित पेनेट्रेशन परीक्षण (TLPT) कराना होगा।
गिनती: वित्तीय संस्थाओं पर बाध्यकारी अनुच्छेद (5–14, 16–19, 24–30, 45), पैराग्राफ़ स्तर पर मानचित्रित।
यहाँ DORA का अर्थ उन अनुच्छेदों से है जो वित्तीय संस्थाओं पर बाध्यकारी हैं, और जिनका पैराग्राफ़ स्तर पर संपादकीय रूप से मानचित्रण किया गया है। Delegated Regulation (EU) 2024/1774 जैसे तकनीकी मानक, जो विवरण जोड़ते हैं, मानचित्रित नहीं हैं, इसलिए वे जिन तकनीकी विषयों को कवर करते हैं, उनके लिए कोई लिंक नहीं दिखता।
आवश्यकताएँ
आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।
| ID | आवश्यकता | विषय | में मैप किया गया |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | जोखिम प्रबंधन, शासन नीति, भूमिकाएँ और उत्तरदायित्व, अनुपालन, जागरूकता और प्रशिक्षण | 13 में से 10 |
| Art.6 | ICT risk management framework | जोखिम प्रबंधन, भौतिक सुरक्षा, भूमिकाएँ और उत्तरदायित्व, शासन नीति, अनुपालन | 13 में से 10 |
| Art.7 | ICT systems, protocols and tools | — | कोई नहीं |
| Art.8 | Identification | एसेट प्रबंधन, व्यावसायिक परिवेश, डेटा वर्गीकरण, जोखिम मूल्यांकन, भेद्यता प्रबंधन, थ्रेट इंटेलिजेंस | 13 में से 13 |
| Art.9 | Protection and prevention | सतत निगरानी, डेटा संरक्षण, एन्क्रिप्शन, शासन नीति, फ़ायरवॉल / नेट सेग, एक्सेस कंट्रोल, विशेषाधिकार प्राप्त पहुँच, भौतिक सुरक्षा, मल्टी-फ़ैक्टर ऑथेंटिकेशन, पैच प्रबंधन | 13 में से 10 |
| Art.10 | Detection | घुसपैठ का पता लगाना, विसंगति पहचान (Anomaly Detection), SIEM / SOC, सतत निगरानी, लॉगिंग और ऑडिट, इनसाइडर थ्रेट | 13 में से 10 |
| Art.11 | Response and recovery | व्यवसाय निरंतरता, घटना प्रतिक्रिया, शमन, संचार और बहाली, रिकवरी योजना, व्यावसायिक परिवेश, आपदा पुनर्प्राप्ति | 13 में से 8 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | बैकअप और रिकवरी, आपदा पुनर्प्राप्ति, रिकवरी योजना | 13 में से 11 |
| Art.13 | Learning and evolving | थ्रेट इंटेलिजेंस, फ़ॉरेंसिक, सीखे गए सबक, जागरूकता और प्रशिक्षण | 13 में से 6 |
| Art.14 | Communication | संचार | 13 में से 8 |
| Art.16 | Simplified ICT risk management framework | जोखिम प्रबंधन | 13 में से 10 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | घटना प्रतिक्रिया, फ़ॉरेंसिक, संचार, शमन | 13 में से 12 |
| Art.18 | Classification of ICT-related incidents and cyber threats | घटना प्रतिक्रिया, रिपोर्टिंग | 13 में से 12 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | रिपोर्टिंग | 13 में से 12 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | जोखिम प्रबंधन | 13 में से 10 |
| Art.25 | Testing of ICT tools and systems | भेद्यता प्रबंधन | 13 में से 13 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | भेद्यता प्रबंधन | 13 में से 13 |
| Art.27 | Requirements for testers for the carrying out of TLPT | भेद्यता प्रबंधन | 13 में से 13 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन, क्लाउड सुरक्षा | 13 में से 9 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | आपूर्ति श्रृंखला जोखिम | 13 में से 9 |
| Art.30 | Key contractual provisions | क्लाउड सुरक्षा, वेंडर जोखिम प्रबंधन | 13 में से 12 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | थ्रेट इंटेलिजेंस | 13 में से 6 |
विषय कवरेज
DORA की मैप की गई आवश्यकताओं वाले विषय (39):
हमारे डेटा में कोई मैपिंग नहीं कोई DORA आवश्यकता नहीं (11):