DORA (Regulation (EU) 2022/2554)
개요
금융 부문의 디지털 운영 회복탄력성을 다루는 EU 규정으로, 2025년 1월 17일부터 모든 회원국에 직접 적용됩니다. 주요 축은 ICT 위험 관리(제5조～제16조), ICT 관련 사고 관리 및 보고(제17조～제23조), 디지털 운영 회복탄력성 테스트(제24조～제27조), ICT 제3자 위험(제28조～제44조), 정보 공유(제45조)입니다. ICT 위험 관리 프레임워크를 다루는 위임규정 (EU) 2024/1774 같은 규제기술표준이 세부 사항을 보완합니다.
필요한 대상
신용기관, 결제기관 및 전자화폐기관, 투자회사, 암호자산 서비스 제공자, 보험사 및 재보험사 등 EU 금융기관 약 20개 유형이 대상입니다. 유럽금융감독청(ESA)은 중요 ICT 제3자 서비스 제공자도 직접 감독합니다. 금융기관의 경우 DORA의 규정이 NIS2의 동등한 조치보다 우선합니다.
평가 방식
인증 제도는 없습니다. 준수 여부는 각국 관할 당국이 감독하며, 중요 은행의 경우 ECB가 감독합니다. 주요 ICT 관련 사고는 기술표준에 정한 기한에 따라 단계별(최초 통지, 중간 보고, 최종 보고)로 보고합니다. 관할 당국이 선정한 기관은 최소 3년마다 위협 기반 침투 테스트(TLPT)를 수행해야 합니다.
집계 기준: 금융 기관에 구속력을 갖는 조항(5–14, 16–19, 24–30, 45), 항 단위로 매핑.
여기서 DORA는 금융 기관에 구속력을 갖는 조항을 의미하며, 항 단위로 편집상 매핑했습니다. Delegated Regulation (EU) 2024/1774처럼 세부 내용을 보완하는 기술 표준은 매핑되지 않았으므로, 이들이 다루는 기술 주제에는 연결이 표시되지 않습니다.
요구사항
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
| ID | 요구사항 | 주제 | 매핑 위치: |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | 위험 관리, 거버넌스 정책, 역할 및 책임, 컴플라이언스, 인식 제고 및 교육 | 10 / 13 |
| Art.6 | ICT risk management framework | 위험 관리, 물리적 보안, 역할 및 책임, 거버넌스 정책, 컴플라이언스 | 10 / 13 |
| Art.7 | ICT systems, protocols and tools | — | 없음 |
| Art.8 | Identification | 자산 관리, 사업 환경, 데이터 분류, 위험 평가, 취약점 관리, 위협 인텔리전스 | 13 / 13 |
| Art.9 | Protection and prevention | 지속적 모니터링, 데이터 보호, 암호화, 거버넌스 정책, 방화벽 / 네트워크 분리, 접근 통제, 특권 접근, 물리적 보안, 다단계 인증, 패치 관리 | 10 / 13 |
| Art.10 | Detection | 침입 탐지, 이상 징후 탐지, SIEM / SOC, 지속적 모니터링, 로깅 및 감사, 내부자 위협 | 10 / 13 |
| Art.11 | Response and recovery | 비즈니스 연속성, 사고 대응, 완화, 커뮤니케이션 및 복구, 복구 계획 수립, 사업 환경, 재해 복구 | 8 / 13 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | 백업 및 복구, 재해 복구, 복구 계획 수립 | 11 / 13 |
| Art.13 | Learning and evolving | 위협 인텔리전스, 포렌식, 교훈 도출, 인식 제고 및 교육 | 6 / 13 |
| Art.14 | Communication | 커뮤니케이션 | 8 / 13 |
| Art.16 | Simplified ICT risk management framework | 위험 관리 | 10 / 13 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | 사고 대응, 포렌식, 커뮤니케이션, 완화 | 12 / 13 |
| Art.18 | Classification of ICT-related incidents and cyber threats | 사고 대응, 보고 | 12 / 13 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | 보고 | 12 / 13 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | 위험 관리 | 10 / 13 |
| Art.25 | Testing of ICT tools and systems | 취약점 관리 | 13 / 13 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | 취약점 관리 | 13 / 13 |
| Art.27 | Requirements for testers for the carrying out of TLPT | 취약점 관리 | 13 / 13 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | 공급망 위험, 벤더 리스크 관리, 클라우드 보안 | 9 / 13 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | 공급망 위험 | 9 / 13 |
| Art.30 | Key contractual provisions | 클라우드 보안, 벤더 리스크 관리 | 12 / 13 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | 위협 인텔리전스 | 6 / 13 |
주제 커버리지
DORA 요구사항과 매핑된 주제 (39개):
보유 데이터에 매핑 없음 DORA 요구사항 없음 (11):