Czym jest DORA?

Digital Operational Reslilience ACT (DORA) to ramy regulacyjne wprowadzone przez Unię Europejską w celu wzmocnienia cyberbezpieczeństwa i odporności cyfrowej w sektorze finansowym.

Regulacja weszła w życie 16 stycznia 2023 roku, a obowiązuje od 17 stycznia 2025 roku. DORA uzupełnia inne akty europejskie mające na celu zwiększenie odporności cybernetycznej i ochrony prywatności, takie jak Dyrektywa o Bezpieczeństwie Sieci i Informacji (NIS2) oraz Ogólne Rozporządzenie o Ochronie Danych (RODO).

Kto powinien spełniać wymagania DORA?

DORA dotyczy podmiotów finansowych z państw członkowskich Unii Europejskiej (UE) oraz ich dostawców usług ICT, niezależnie od miejsca, w którym się znajdują. Kluczowe podmioty, które powinny spełniać wymagania DORA, to:

Banki i inne instytucje kredytowe

Infrastruktury rynków finansowych

Firmy inwestycyjne i zarządzające funduszami

Firmy ubezpieczeniowe

Instytucje płatnicze i pieniądza elektronicznego

Dostawcy usług związanych z kryptowalutami

Zewnętrzni dostawcy usług ICT

Inne kluczowe podmioty

DORA: 5 kluczowych wymagań:

Zarządzanie ryzykiem ICT – Ramy zarządzania i minimalizowania ryzyka ICT

Zarządzanie incydentami ICT – Procesy raportowania i obsługi zakłóceń ICT

Testowanie odporności operacyjnej – Ciągłe testowanie, w tym testy penetracyjne

Zarządzanie ryzykiem stron trzecich – Nadzór i zarządzanie dostawcami ICT

Wymiana informacji – Współpraca na rzecz wzmocnienia odporności na cyberzagrożenia

Bitdefender jest w pełni świadomy aktu o cyfrowej odporności operacyjnej (DORA) oraz jego wpływu na usługi finansowe działające w Unii Europejskiej (UE). Aby wesprzeć naszych klientów w spełnianiu tych wymagań, opracowaliśmy informacyjny dokument, który przedstawia kluczowe obowiązki wynikające z DORA oraz odnosi się do tego, w jaki sposób Bitdefender może pomóc w zapewnieniu zgodności.

Opis

Odniesienie do wymagań

Minimalne wymagania

Jasny i kompletny opis wszystkich funkcji i usług ICT, które mają być świadczone przez zewnętrznego dostawcę usług ICT, wskazujący, czy dozwolone jest podwykonawstwo usługi ICT wspierającej funkcję krytyczną lub ważną, lub jej istotne części, a jeśli tak, to warunki obowiązujące w przypadku takiego podwykonawstwa.

Art 30 2(a)

Pełny opis usług Bitdefender można znaleźć na stronie internetowej pod adresem: https://www.bitdefender.com/en-us/business/ lub w sekcji 3 najnowszego raportu Bitdefender SOC2, dostępnego na żądanie.

Produkt i jego funkcje są publicznie przedstawione tutaj: https://www.bitdefender.com/business/support/en/77209-79436-welcome-to-gravityzone.html

W przypadku podwykonawstwa, postanowienia dotyczące podwykonawstwa znajdują się w EULA, dostępnej tutaj: https://www.bitdefender.com/en-us/site/view/eula-business-solutions

Lokalizacje, czyli regiony lub kraje, w których mają być świadczone zakontraktowane lub podzlecone funkcje i usługi ICT oraz w których mają być przetwarzane dane, w tym miejsce ich przechowywania, a także obowiązek zewnętrznego dostawcy usług ICT do uprzedniego powiadomienia podmiotu finansowego, jeśli planuje on zmianę tych lokalizacji.

Art 30 2(b)

Szczegóły dotyczące lokalizacji można znaleźć w Polityce Prywatności, dostępnej tutaj: https://www.bitdefender.com/en-us/site/view/legal-privacy-policy-for-bitdefender-business-solutions, a także w Polityce Zbierania Danych oraz w raporcie SOC 2, dostępnym na żądanie.

Postanowienia dotyczące dostępności, autentyczności, integralności i poufności w odniesieniu do ochrony danych, w tym danych osobowych.

Art 30 2(c)

Szczegóły można znaleźć w Ogólnych Warunkach i Postanowieniach DPA, dostępnych tutaj: https://www.bitdefender.com/en-us/site/view/data-processing-agreement-for-bitdefender-solutions, które mają zastosowanie, gdy Bitdefender działa jako podmiot przetwarzający.

Szczegóły można również znaleźć w raporcie SOC 2, dostępnym na żądanie.

Postanowienia zapewniające dostęp, odzyskiwanie i zwrot danych osobowych i nieosobowych przetwarzanych przez podmiot finansowy w łatwo dostępnym formacie w przypadku niewypłacalności, restrukturyzacji lub zaprzestania działalności operacyjnej zewnętrznego dostawcy usług ICT lub w przypadku rozwiązania umowy.

Art 30 2(d)

Bitdefender wdrożył proces zapewnienia ciągłości biznesowej oraz odzyskiwania po awarii. Co roku przeprowadzana jest analiza wpływu na działalność, a plan ciągłości działania jest aktualizowany, aby uwzględnić zmiany w systemach krytycznych. Bitdefender utrzymuje plan odzyskiwania po awarii dla każdego systemu krytycznego. Plany te są testowane co roku.

Szczegóły można znaleźć w raporcie SOC 2, dostępnym na żądanie, oraz w Polityce tworzenia kopii zapasowych i odzyskiwania, dostępnej na żądanie.

Opis poziomu usług, w tym ich aktualizacje i rewizje.

Art 30 2(e)

Szczegóły można znaleźć w Polityce wsparcia dla przedsiębiorstw, dostępnej tutaj: https://www.bitdefender.com/site/view/enterprise-support-policies.html Zawiera ona standardowy poziom usług wsparcia, definicje poziomów powagi incydentów, docelowe czasy reakcji oraz pomoc.

Jeśli korzystasz z zarządzanych usług wykrywania i reagowania (MDR), specyficzne poziomy usług można znaleźć w EULA, dostępnej tutaj: https://www.bitdefender.com/en-us/site/view/eula-business-solutions

Obowiązek zewnętrznego dostawcy usług ICT do zapewnienia wsparcia podmiotowi finansowemu bez dodatkowych kosztów lub za wcześniej ustaloną opłatą w przypadku incydentu ICT związanego z usługą ICT świadczoną dla podmiotu finansowego.

Art 30 2(f)

Warunki wsparcia dla przedsiębiorstw są określone w Polityce wsparcia dla przedsiębiorstw, dostępnej tutaj: https://www.bitdefender.com/site/view/enterprise-support-policies.html oraz w EULA, dostępnej tutaj: https://www.bitdefender.com/en-us/site/view/eula-business-solutions, w sekcji gwarancji.

Polityka incydentów i reagowania ma zastosowanie w przypadku incydentu bezpieczeństwa. Polityka ta nie jest publicznie dostępna, ale możemy ją udostępnić na żądanie.

Obowiązek pełnej współpracy zewnętrznego dostawcy usług ICT z właściwymi organami oraz organami restrukturyzacyjnymi podmiotu finansowego, w tym osobami wyznaczonymi przez te podmioty.

Art 30 2(g)

Bitdefender utrzymuje wysoki poziom przejrzystości i współpracy, co jest kluczowe dla zgodności podmiotu finansowego z regulacjami DORA i ogólną odpornością operacyjną, dlatego będziemy w pełni współpracować z właściwymi organami i organami restrukturyzacyjnymi podmiotu finansowego, w tym z osobami wyznaczonymi przez te podmioty.

Prawa do rozwiązania umowy i minimalne okresy wypowiedzenia wymagane dla rozwiązania umowy, zgodnie z oczekiwaniami właściwych organów i organów restrukturyzacyjnych.

Art 30 2(h)

Podmiot finansowy ma możliwość rozwiązania umowy z powodu naruszenia, z minimalnym okresem wypowiedzenia zgodnie z postanowieniami EULA, dostępnej tutaj: https://www.bitdefender.com/en-us/site/view/eula-business-solutions

Warunki uczestnictwa zewnętrznych dostawców usług ICT w programach podnoszenia świadomości bezpieczeństwa ICT i szkoleniach z zakresu odporności operacyjnej cyfrowej, zgodnie z artykułem 13(6).

Art 30 2(i)

Zgodnie z Artykułem 13(6), szkolenia i programy dla dostawców usług ICT są realizowane „w stosownych przypadkach”. Jeśli Bitdefender zostanie włączony do tych programów zgodnie z decyzją podmiotu finansowego, Bitdefender w pełni się dostosuje, aby spełnić wymagania zgodności.