DORA (Regulation (EU) 2022/2554)
Apa itu
Regulasi Uni Eropa tentang ketahanan operasional digital untuk sektor keuangan, yang berlaku langsung di setiap negara anggota sejak 17 Januari 2025. Pilar-pilarnya meliputi manajemen risiko TIK (Pasal 5 hingga 16), manajemen dan pelaporan insiden terkait TIK (17 hingga 23), pengujian ketahanan operasional digital (24 hingga 27), risiko pihak ketiga TIK (28 hingga 44), dan berbagi informasi (45). Standar teknis regulasi, seperti Delegated Regulation (EU) 2024/1774 tentang Kerangka kerja manajemen risiko TIK, memberikan rincian lebih lanjut.
Siapa yang membutuhkannya
Sekitar dua puluh jenis entitas keuangan di Uni Eropa, termasuk lembaga kredit, lembaga pembayaran dan uang elektronik, perusahaan investasi, penyedia layanan aset kripto, perusahaan asuransi, dan perusahaan reasuransi. Otoritas Pengawas Eropa juga secara langsung mengawasi penyedia layanan pihak ketiga TIK yang kritis. Bagi entitas keuangan, ketentuan DORA lebih diutamakan daripada ketentuan NIS2 yang setara.
Cara penilaiannya dilakukan
Tidak ada sertifikasi. Otoritas kompeten nasional, dan ECB untuk bank signifikan, mengawasi kepatuhan. Insiden besar terkait TIK dilaporkan secara bertahap (pemberitahuan awal, laporan antara, dan laporan akhir) sesuai tenggat yang ditetapkan dalam standar teknis. Entitas yang dipilih oleh otoritasnya wajib menjalankan threat-led penetration testing (TLPT) setidaknya setiap tiga tahun sekali.
Jumlah: pasal-pasal yang mengikat entitas keuangan (5–14, 16–19, 24–30, 45), dipetakan pada tingkat paragraf.
DORA di sini mengacu pada pasal-pasal yang mengikat entitas keuangan, dipetakan secara editorial pada tingkat paragraf. Standar teknis yang menambahkan rincian, seperti Delegated Regulation (EU) 2024/1774, tidak dipetakan, sehingga topik teknis yang dicakupnya tidak menampilkan tautan.
Persyaratan
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
| ID | Persyaratan | Topik | Dipetakan dalam |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | Manajemen Risiko, Kebijakan Tata Kelola, Peran & Tanggung Jawab, Kepatuhan, Kesadaran & Pelatihan | 10 dari 13 |
| Art.6 | ICT risk management framework | Manajemen Risiko, Keamanan Fisik, Peran & Tanggung Jawab, Kebijakan Tata Kelola, Kepatuhan | 10 dari 13 |
| Art.7 | ICT systems, protocols and tools | — | tidak ada |
| Art.8 | Identification | Manajemen Aset, Lingkungan Bisnis, Klasifikasi Data, Penilaian Risiko, Manajemen Kerentanan, Intelijen Ancaman | 13 dari 13 |
| Art.9 | Protection and prevention | Pemantauan Berkelanjutan, Perlindungan Data, Enkripsi, Kebijakan Tata Kelola, Firewall / Segmentasi Jaringan, Kontrol Akses, Akses Istimewa, Keamanan Fisik, Autentikasi Multi-Faktor, Manajemen Patch | 10 dari 13 |
| Art.10 | Detection | Deteksi Intrusi, Deteksi Anomali, SIEM / SOC, Pemantauan Berkelanjutan, Pencatatan & Audit, Ancaman Orang Dalam | 10 dari 13 |
| Art.11 | Response and recovery | Kelangsungan Usaha, Respons Insiden, Mitigasi, Komunikasi & Pemulihan, Perencanaan Pemulihan, Lingkungan Bisnis, Pemulihan Bencana | 8 dari 13 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | Cadangan & Pemulihan, Pemulihan Bencana, Perencanaan Pemulihan | 11 dari 13 |
| Art.13 | Learning and evolving | Intelijen Ancaman, Forensik, Pelajaran yang Dipetik, Kesadaran & Pelatihan | 6 dari 13 |
| Art.14 | Communication | Komunikasi | 8 dari 13 |
| Art.16 | Simplified ICT risk management framework | Manajemen Risiko | 10 dari 13 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | Respons Insiden, Forensik, Komunikasi, Mitigasi | 12 dari 13 |
| Art.18 | Classification of ICT-related incidents and cyber threats | Respons Insiden, Pelaporan | 12 dari 13 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | Pelaporan | 12 dari 13 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | Manajemen Risiko | 10 dari 13 |
| Art.25 | Testing of ICT tools and systems | Manajemen Kerentanan | 13 dari 13 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | Manajemen Kerentanan | 13 dari 13 |
| Art.27 | Requirements for testers for the carrying out of TLPT | Manajemen Kerentanan | 13 dari 13 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | Risiko Rantai Pasok, Manajemen Risiko Vendor, Keamanan Cloud | 9 dari 13 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | Risiko Rantai Pasok | 9 dari 13 |
| Art.30 | Key contractual provisions | Keamanan Cloud, Manajemen Risiko Vendor | 12 dari 13 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | Intelijen Ancaman | 6 dari 13 |
Cakupan topik
Topik dengan persyaratan DORA yang dipetakan (39):
Tidak ada pemetaan dalam data kami Tidak ada persyaratan DORA (11):