框架
DORA (Regulation (EU) 2022/2554)
概述
这是一项欧盟法规，针对金融行业的数字运营韧性，自2025年1月17日起在各成员国直接适用。其支柱包括：ICT风险管理（第5至16条）、ICT相关事件管理与报告（第17至23条）、数字运营韧性测试（第24至27条）、ICT第三方风险（第28至44条）以及信息共享（第45条）。监管技术标准（例如关于ICT风险管理框架的授权法规（欧盟）2024/1774）则进一步细化了具体要求。
适用人群
适用主体约为二十类欧盟金融实体，包括信贷机构、支付机构和电子货币机构、投资公司、加密资产服务提供商以及保险公司和再保险公司。欧洲监管机构还会直接监管关键ICT第三方服务提供商。对于金融实体而言，DORA的规则优先于NIS2中的对应措施适用。
评估方式
本法案不设认证制度。合规监督由各国主管当局负责，对重要银行则由欧洲央行负责。重大ICT相关事件须分阶段报告（包括初始通知、中间报告和最终报告），报告期限由技术标准规定。经主管当局选定的实体须至少每三年开展一次威胁驱动型渗透测试（TLPT）。
22
条款
21
映射到其他框架
78%
已覆盖主题（39/50）
计数：对金融实体具有约束力的条款（5–14、16–19、24–30、45），按段落级别映射。
此处的 DORA 指对金融实体具有约束力的条款，并按段落级别进行编辑性映射。补充细节的技术标准（如 Delegated Regulation (EU) 2024/1774）未做映射，因此其涵盖的技术主题不显示链接。
要求
要求编号和标题均按各框架官方发布的英文原文显示。
| ID | 要求 | 主题 | 映射于 |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | 风险管理, 治理政策, 角色与职责, 合规, 意识与培训 | 10 / 13 |
| Art.6 | ICT risk management framework | 风险管理, 物理安全, 角色与职责, 治理政策, 合规 | 10 / 13 |
| Art.7 | ICT systems, protocols and tools | — | 无 |
| Art.8 | Identification | 资产管理, 业务环境, 数据分类, 风险评估, 漏洞管理, 威胁情报 | 13 / 13 |
| Art.9 | Protection and prevention | 持续监控, 数据保护, 加密, 治理政策, 防火墙 / 网络分段, 访问控制, 特权访问, 物理安全, 多因素认证, 补丁管理 | 10 / 13 |
| Art.10 | Detection | 入侵检测, 异常检测, SIEM / SOC, 持续监控, 日志与审计, 内部威胁 | 10 / 13 |
| Art.11 | Response and recovery | 业务连续性, 事件响应, 缓解, 沟通与恢复, 恢复规划, 业务环境, 灾难恢复 | 8 / 13 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | 备份与恢复, 灾难恢复, 恢复规划 | 11 / 13 |
| Art.13 | Learning and evolving | 威胁情报, 取证分析, 经验教训, 意识与培训 | 6 / 13 |
| Art.14 | Communication | 沟通 | 8 / 13 |
| Art.16 | Simplified ICT risk management framework | 风险管理 | 10 / 13 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | 事件响应, 取证分析, 沟通, 缓解 | 12 / 13 |
| Art.18 | Classification of ICT-related incidents and cyber threats | 事件响应, 报告 | 12 / 13 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | 报告 | 12 / 13 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | 风险管理 | 10 / 13 |
| Art.25 | Testing of ICT tools and systems | 漏洞管理 | 13 / 13 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | 漏洞管理 | 13 / 13 |
| Art.27 | Requirements for testers for the carrying out of TLPT | 漏洞管理 | 13 / 13 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | 供应链风险, 供应商风险管理, 云安全 | 9 / 13 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | 供应链风险 | 9 / 13 |
| Art.30 | Key contractual provisions | 云安全, 供应商风险管理 | 12 / 13 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | 威胁情报 | 6 / 13 |
主题覆盖情况
已映射 DORA 要求的主题（39）：
治理政策意识与培训风险管理供应链风险角色与职责合规资产管理风险评估业务环境数据分类漏洞管理威胁情报访问控制多因素认证加密数据保护备份与恢复特权访问防火墙 / 网络分段补丁管理云安全持续监控日志与审计入侵检测异常检测SIEM / SOC事件响应取证分析沟通缓解报告恢复规划业务连续性经验教训沟通与恢复灾难恢复内部威胁供应商风险管理物理安全
本站数据中无映射 无 DORA 要求（11）：