DORA

DORA impune entităților financiare un cadru complet de reziliență operațională digitală, pe cinci piloni: managementul riscului ICT, raportarea incidentelor majore, testarea rezilienței (inclusiv teste de penetrare), managementul riscului furnizorilor ICT (cu Register of Information) și schimbul de informații despre amenințări. Fiind regulament, se aplică direct, fără transpunere.

Circa 20 de categorii de entități financiare — bănci, asigurători, firme de investiții, instituții de plată, furnizori de servicii cripto — plus furnizorii ICT critici ai acestora, care intră în supravegherea directă a autorităților europene.

• Cadru de management al riscului ICT aprobat de conducere
• Raportarea incidentelor ICT majore către autoritatea competentă
• Program de testare a rezilienței digitale (până la TLPT/pentest avansat)
• Register of Information cu toate contractele ICT și evaluarea riscului terților
• Clauze contractuale obligatorii cu furnizorii ICT

DORA nu fixează un plafon de amendă unic la nivel european pentru entitățile financiare: sancțiunile le stabilesc autoritățile naționale (BNR/ASF), care trebuie să fie efective, proporționale și disuasive — de la măsuri corective până la amenzi administrative și publicarea încălcării. Pentru furnizorii ICT critici supravegheați la nivel UE există penalități de până la 1% din cifra de afaceri zilnică medie mondială, aplicabile zilnic până la conformare (max. 6 luni).

Catalogul DORA (43 de controale pe cei cinci piloni: risc ICT, incidente, testare, terți ICT, schimb de informații) e evaluabil în platformă: auto-evaluare cu scor, gap analysis, plan de remediere și dovezi legabile — inclusiv fundația registrului informațiilor prin modulul Furnizori. Politica de gestionare a riscului ICT și registrul informațiilor se generează cu AI din datele tale reale. Modulul Incidente urmărește termenele DORA de raportare (notificare inițială în cel mult 24 de ore de la detectare — recomandat 4 ore de la clasificare, raport intermediar la 72 de ore de la notificare, raport final într-o lună) și pre-completează conținutul rapoartelor cu AI — tu le verifici și le transmiți autorității competente.