Стандарт

DORA (Regulation (EU) 2022/2554)

Что это такое

Регламент ЕС о цифровой операционной устойчивости финансового сектора, который напрямую применяется во всех государствах-членах с 17 января 2025 года. Его основные блоки: управление рисками ИКТ (статьи с 5 по 16), управление инцидентами, связанными с ИКТ, и отчетность о них (с 17 по 23), тестирование цифровой операционной устойчивости (с 24 по 27), риски ИКТ, связанные с третьими сторонами (с 28 по 44), и обмен информацией (45). Детали дополняют регуляторные технические стандарты, например Делегированный регламент (ЕС) 2024/1774 о стандарте управления рисками ИКТ.

Кому это нужно

Около двадцати видов финансовых организаций ЕС, включая кредитные организации, платежные организации и организации электронных денег, инвестиционные фирмы, поставщиков услуг в сфере криптоактивов, страховщиков и перестраховщиков. Европейские надзорные органы также напрямую контролируют критически важных поставщиков услуг ИКТ, относящихся к третьим сторонам. Для финансовых организаций требования DORA имеют приоритет над соответствующими мерами NIS2.

Как проводится оценка

Сертификация не предусмотрена. Соблюдение требований контролируют национальные компетентные органы, а для значимых банков — ЕЦБ. Крупные инциденты, связанные с ИКТ, сообщаются поэтапно (первоначальное уведомление, промежуточные отчеты и итоговый отчет) в сроки, установленные техническими стандартами. Организации, выбранные своим органом надзора, должны проводить тестирование на проникновение на основе угроз (TLPT) не реже одного раза в три года.

Статьи

Сопоставлено с другим фреймворком

78%

Охвачено тем (39/50)

Анализ разрывов → DORA Из DORA →

Подсчеты: статьи, обязывающие финансовых субъектов (5–14, 16–19, 24–30, 45), сопоставленные на уровне пунктов.

DORA здесь означает статьи, которые обязывают финансовых субъектов, сопоставленные редакционно на уровне пунктов. Технические стандарты, которые добавляют детали, например делегированный регламент (ЕС) 2024/1774, не сопоставлены, поэтому технические темы, которые они охватывают, ссылок не имеют.

Требования

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

DORA (Regulation (EU) 2022/2554) требований
ID	Требование	Темы	Сопоставлено в
Chapter II: ICT risk management · 11
Art.5	Governance and organisation	Управление рисками, Политика управления, Роли и обязанности, Соответствие требованиям, Осведомлённость и обучение	10 из 13
Art.6	ICT risk management framework	Управление рисками, Физическая безопасность, Роли и обязанности, Политика управления, Соответствие требованиям	10 из 13
Art.7	ICT systems, protocols and tools	—	нет
Art.8	Identification	Управление активами, Бизнес-среда, Классификация данных, Оценка рисков, Управление уязвимостями, Разведка угроз	13 из 13
Art.9	Protection and prevention	Непрерывный мониторинг, Защита данных, Шифрование, Политика управления, Межсетевой экран / сегментация сети, Контроль доступа, Привилегированный доступ, Физическая безопасность, Многофакторная аутентификация, Управление исправлениями	10 из 13
Art.10	Detection	Обнаружение вторжений, Обнаружение аномалий, SIEM / SOC, Непрерывный мониторинг, Логирование и аудит, Внутренние угрозы	10 из 13
Art.11	Response and recovery	Непрерывность бизнеса, Реагирование на инциденты, Митигация, Коммуникации и восстановление, Планирование восстановления, Бизнес-среда, Аварийное восстановление	8 из 13
Art.12	Backup policies and procedures, restoration and recovery procedures and methods	Резервное копирование и восстановление, Аварийное восстановление, Планирование восстановления	11 из 13
Art.13	Learning and evolving	Разведка угроз, Криминалистический анализ, Извлечённые уроки, Осведомлённость и обучение	6 из 13
Art.14	Communication	Коммуникация	8 из 13
Art.16	Simplified ICT risk management framework	Управление рисками	10 из 13
Chapter III: ICT-related incidents · 3
Art.17	ICT-related incident management process	Реагирование на инциденты, Криминалистический анализ, Коммуникация, Митигация	12 из 13
Art.18	Classification of ICT-related incidents and cyber threats	Реагирование на инциденты, Отчётность	12 из 13
Art.19	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Отчётность	12 из 13
Chapter IV: Resilience testing · 4
Art.24	General requirements for the performance of digital operational resilience testing	Управление рисками	10 из 13
Art.25	Testing of ICT tools and systems	Управление уязвимостями	13 из 13
Art.26	Advanced testing of ICT tools, systems and processes based on TLPT	Управление уязвимостями	13 из 13
Art.27	Requirements for testers for the carrying out of TLPT	Управление уязвимостями	13 из 13
Chapter V: ICT third-party risk · 3
Art.28	General principles	Управление рисками цепочки поставок, Управление рисками поставщиков, Безопасность облачных сред	9 из 13
Art.29	Preliminary assessment of ICT concentration risk at entity level	Управление рисками цепочки поставок	9 из 13
Art.30	Key contractual provisions	Безопасность облачных сред, Управление рисками поставщиков	12 из 13
Chapter VI: Information sharing · 1
Art.45	Information-sharing arrangements on cyber threat information and intelligence	Разведка угроз	6 из 13

Охват темы

Темы с сопоставленными требованиями DORA (39):

Политика управления Осведомлённость и обучение Управление рисками Управление рисками цепочки поставок Роли и обязанности Соответствие требованиям Управление активами Оценка рисков Бизнес-среда Классификация данных Управление уязвимостями Разведка угроз Контроль доступа Многофакторная аутентификация Шифрование Защита данных Резервное копирование и восстановление Привилегированный доступ Межсетевой экран / сегментация сети Управление исправлениями Безопасность облачных сред Непрерывный мониторинг Логирование и аудит Обнаружение вторжений Обнаружение аномалий SIEM / SOC Реагирование на инциденты Криминалистический анализ Коммуникация Митигация Отчётность Планирование восстановления Непрерывность бизнеса Извлечённые уроки Коммуникации и восстановление Аварийное восстановление Внутренние угрозы Управление рисками поставщиков Физическая безопасность

Нет сопоставления в наших данных Нет требования DORA (11):

Защита конечных точек Безопасная конфигурация Безопасная разработка Безопасность электронной почты Безопасность веб-приложений Нулевое доверие Безопасность мобильных устройств Безопасность DNS WAF DLP Безопасность API