Što je DORA i zašto je bitna za financijski sektor?
DORA je skraćenica za Digital Operational Resilience Act, odnosno Uredbu (EU) 2022/2554 o digitalnoj operativnoj otpornosti financijskog sektora. Cilj nije samo spriječiti napade, nego osigurati da financijski subjekt može izdržati IKT poremećaj, reagirati, oporaviti se i dokazati kako upravlja rizikom.
U praksi, DORA spaja sigurnost, kontinuitet, dobavljače, incidente, testiranje i upravljanje. Zato nije dovoljno napisati politiku ili kupiti jedan alat. Treba imati sustav kontrola koji se može pokazati.
Točni datumi i hrvatski kontekst
DORA je donesena 14. prosinca 2022., stupila je na snagu 16. siječnja 2023., a primjenjuje se od 17. siječnja 2025. U Hrvatskoj je provedbeni okvir uređen Zakonom o provedbi Uredbe (EU) 2022/2554, objavljenim u Narodnim novinama 136/2024.
Zato DORA ne smije biti predstavljena kao regulativa koja tek počinje 2026. Točan 2026. kontekst postoji samo za specifične prijelazne situacije navedene u hrvatskom provedbenom zakonu, a ne kao opći početak primjene.
Na koga se DORA odnosi?
DORA cilja financijski sektor: banke i kreditne institucije, platne institucije, institucije za elektronički novac, investicijska društva, dio kripto sektora, tržišne infrastrukture, fondove, osiguratelje, mirovinski sektor, kreditne rejting agencije, crowdfunding pružatelje i druge regulirane financijske subjekte.
Važan dio su i IKT treće strane. Nisu svi dobavljači automatski pod izravnim EU nadzorom, ali financijski subjekti moraju upravljati rizikom svojih IKT dobavljača. To znači da IT tvrtka, cloud dobavljač, hosting partner, MSP ili sigurnosna agencija može dobiti strože ugovorne i dokazne zahtjeve od financijskog klijenta.
Moraju li male tvrtke izvan financijskog sektora primjenjivati DORA-u?
Jedna od najopasnijih SEO grešaka je pisati da DORA vrijedi za sve tvrtke. To nije točno. Za običnu malu tvrtku izvan financijskog sektora obično je relevantniji ZKS/NIS2 kontekst, GDPR, ugovorni zahtjevi partnera i realni poslovni rizik.
Ipak, mala IT ili digitalna tvrtka može postati dio DORA razgovora ako radi za banku, osiguravatelja, platnu instituciju, fintech ili drugi financijski subjekt. Tada pitanje nije samo "jesmo li obveznik", nego "možemo li dokazati kontrole koje financijski klijent traži".
Za razgraničenje tko je uopće obveznik ZKS-a (a tko samo misli da jest) postoji provjera u četiri pitanja. Korisna je i kad ste već pod DORA-om, jer se opsezi ne poklapaju.
Po čemu se DORA razlikuje od ZKS-a i NIS2 direktive?
DORA je izravno primjenjiva EU uredba za digitalnu operativnu otpornost financijskog sektora. ZKS je hrvatski Zakon o kibernetičkoj sigurnosti kojim se u nacionalno pravo prenosi NIS2 direktiva i uređuje širi sustav ključnih i važnih subjekata.
Preklapanje postoji jer oba okvira govore o upravljanju rizicima, incidentima, kontinuitetu i dobavljačima. Ali DORA je specifična za financijski sektor i detaljno uređuje IKT rizik, digitalnu otpornost i treće strane u tom sektoru.
Što DORA traži od tvrtke u praksi?
DORA u praksi otvara pet operativnih tema:
- IKT risk management - znati koji sustavi, računi, podaci i dobavljači nose rizik,
- IKT incidenti - imati proces za klasifikaciju, eskalaciju, prijavu i dokazni trag,
- testiranje otpornosti - provjeravati može li sustav izdržati i oporaviti se,
- treće strane - mapirati dobavljače, kritičnost, ugovore i sigurnosne zahtjeve,
- informacijska razmjena - strukturirano učiti iz prijetnji, ranjivosti i incidenata.
Kako Vi-Di.me može pomoći bez lažnog obećanja compliancea
Vi-Di.me pomaže u tehničkom i operativnom dijelu DORA pripreme. To uključuje:
- audit emaila, domene, Microsoft 365 ili Google Workspace okruženja,
- MFA/passkeys, admin hardening i provjeru rizičnih pristupa,
- SPF, DKIM, DMARC, MTA-STS, TLS-RPT i monitoring pošiljatelja,
- backup/restore testove za Exchange, OneDrive, SharePoint, Teams i ključne podatke,
- incident playbook za phishing, BEC, kompromitaciju računa i ransomware sumnju,
- evidenciju IKT dobavljača, tehničkih kontrola, izuzetaka i mjesečnih provjera.
Fotografija: Yubico (službeni materijali).
Ne tvrdimo da time sami potvrđujemo DORA usklađenost. Pravnu kvalifikaciju, konačan scope i formalnu usklađenost klijent potvrđuje sa svojim compliance ili pravnim savjetnikom.
Checklist za prvi DORA readiness audit
- Popis financijskih usluga, kritičnih procesa i IKT sustava koji ih podržavaju.
- Popis IKT dobavljača: email, cloud, hosting, backup, aplikacije, sigurnost, vanjski administratori.
- Stanje Microsoft 365/Google Workspace sigurnosti, admin računa i MFA/passkeys zaštite.
- Stanje SPF, DKIM, DMARC, MTA-STS i TLS-RPT kontrole domene.
- Backup opseg, restore testovi, odgovorne osobe i dokaz oporavka.
- Incident postupak: prijava, triage, eskalacija, komunikacija, čuvanje dokaza.
- Mjesečni izvještaj koji upravi pokazuje što je provjereno i što ostaje otvoreno.