Eiropas regula par finanšu nozares digitālo operacionālo noturību (DORA) uzliek finanšu vienībām - un netieši to IKT pakalpojumu sniedzējiem - pienākumu veidot izsmeļošu līgumu reģistru, precīzus līguma noteikumus un datētus audita pierādījumus. SYAGA DORA-Express palīdz jums izpildīt šīs prasības bez improvizācijas, neatkarīgi no tā, vai esat finanšu vienība vai pakalpojumu sniedzējs.
DORA ir regula, nevis direktīva: tā tiek piemērota tieši visās dalībvalstīs, negaidot nacionālo transpozīcijas likumu.
Regula (ES) 2022/2554 no 2022. gada 14. decembra, publicēta ES OV 2022. gada 27. decembrī, stājās spēkā 2023. gada 16. janvārī un ir piemērojama kopš 2025. gada 17. janvāra. Nacionāla transpozīcija nav nepieciešama: tā ir tieši saistoša.
Katrai finanšu vienībai jāuztur un ikgadēji jānodod iestādēm pilnīgs savu IKT līgumu reģistrs: pakalpojumu sniedzējs, pakalpojuma veids, funkcijas kritiskums, datu hostinga valsts.
Audita un pārbaudes tiesības, datu pieejamības un integritātes garantijas, testēti izstāšanās plāni, nekavējoša incidentu paziņošana. Šie noteikumi nonāk pie jums no jūsu finanšu klienta, ja esat viņa IKT pakalpojumu sniedzējs.
Pirms līguma parakstīšanas vai atjaunošanas banka, apdrošinātājs vai investors nosūta kiberdrošības anketu (pārvaldība, MFA, EDR, šifrēšana, izpratnes veicināšana). Atbildot bez dokumentētiem pierādījumiem, var zaudēt līgumu.
2025. gada 18.-19. novembrī Eiropas uzraudzības iestādes (EBA, ESMA, EIOPA) publicēja pirmo oficiālo kritisko IKT pakalpojumu sniedzēju sarakstu saskaņā ar DORA 32. pantu. Starp oficiālajos paziņojumos apstiprinātajiem nosaukumiem: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (un vēl 14 pakalpojumu sniedzēji, kas mūsu avotos nav vārdiski apstiprināti).
Konkrētas sekas: ja jūsu kritiskie pakalpojumi balstās uz kādu no šiem pakalpojumu sniedzējiem, jūsu finanšu klientam tas turpmāk jādokumentē savā IKT reģistrā - un tas var jums uzdot jautājumus par jūsu pašu apakšuzņēmēju ķēdi.
Avots: EIOPA un ESMA oficiālie paziņojumi, 2025. gada 18.-19. novembris (eiopa.europa.eu, esma.europa.eu).
Strukturēts 5 soļu atbalsts jūsu atbilstības dokumentēšanai - nesolot to, ko ne rīks, ne konsultāciju firma nevar apliecināt jūsu vietā.
Vai esat tieši pakļauta finanšu vienība (viena no 21 kategorijas 2. pantā), vai netieši skarts IKT pakalpojumu sniedzējs caur jūsu finanšu klientu līguma noteikumiem (30. pants)? Precīzs apjoms nosaka visu turpmāko.
Mēs atbildam uz jūsu bankas, investora vai apdrošinātāja uzticamības pārbaudes anketu (pārvaldība, MFA, EDR, šifrēšana, izpratnes veicināšana...), balstoties uz jūsu Microsoft 365 vides tehnisko auditu kā datētu un pārbaudāmu pierādījumu.
Mēs palīdzam strukturēt jūsu IKT līgumu reģistru (28. panta 3. punkts) un pārbaudīt vai iekļaut minimālos un pastiprinātos 30. panta līguma noteikumus jūsu pakalpojumu sniedzēju līgumos.
Mūsu BAP/DAP komplekts piedāvā Finanšu nozares profilu (DORA, PSD2, ACPR), kas aptver DORA IV nodaļas operacionālās noturības testēšanas prasības, saskaņots ar ISO 22301.
Konsolidētas dokumentācijas nodošana jūsu vadībai, IT drošības vadītājam vai finanšu direktoram, ar precīziem punktiem, kas jāizlemj jūsu juridiskajam konsultantam pirms jebkādas saziņas ar iestādēm.
Konkrēti, avotos balstīti rezultāti, bez sertifikācijas solījuma, ko neviens nevar garantēt
10 tipveida bankas/M&A uzticamības pārbaudes jautājumi, dokumentēti un avotos balstīti (ILPA DDQ, CSA CAIQ, kiberapdrošināšanas anketas).
Avotos balstīts regulas (ES) 2022/2554 kopsavilkums.
Iestāžu pieprasītā izsmeļošā reģistra struktūra.
Iekļaujami vai pārbaudāmi jūsu IKT pakalpojumu sniedzēju līgumos.
Darbības nepārtrauktības un atjaunošanas plāns, dedicēts nozares profils.
PDF un DOCX formāti, kas konsolidē visus rezultātus.
Izvilkums no 10 jautājumiem, ko mēs jums dokumentējam, ar katra jautājuma avotu
| Tēma | Jautājums | Avots |
|---|---|---|
| Pārvaldība | Vai jūsu drošības politika balstās uz atzītu ietvaru (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Trešo pušu audits | Vai jūs veicat ikgadēju neatkarīgu auditu un iekļūšanas testus? | CSA CAIQ v4 |
| Incidentu plāns | Vai pastāv formāls, dokumentēts un uzturēts incidentu reaģēšanas plāns? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | Kuriem pakalpojumiem jūs pieprasāt daudzfaktoru autentifikāciju? | Travelers - MFA Supplement |
| Privileģēti konti | Vai piekļuve seko mazākās privilēģijas principam, periodiski pārskatīta? | CSA CAIQ v4 IAM |
| E-pasts | Kādu M365 licenci jūs izmantojat? Vai aktīvs Defender / uzlabota apdraudējumu meklēšana? | vCSO.ai Cyber DD Checklist |
| Šifrēšana | Vai gala iekārtu diski ir pilnībā šifrēti? | Google VSAQ |
| Apmācība | Vai ir izveidota drošības izpratnes veicināšanas programma visiem darbiniekiem? | CSA CAIQ v4 HRS |
Katrs rezultāts skaidri norāda, ko tas aptver - un ko tas neaptver
IKT reģistrs (28. p.), līguma noteikumi (30. p.), paziņošanas termiņi (19. p.), atsauce uz noteiktajiem kritiskajiem IKT pakalpojumu sniedzējiem (32. p.).
DORA ir lex specialis attiecībā pret NIS2 finanšu nozarē: skartās vienības piemēro DORA nevis līdzvērtīgus NIS2 pasākumus.
Finanšu nozares BAP/DAP profils ir saskaņots ar ISO 22301, darbības nepārtrauktības pārvaldības ietvaru, ko izmanto papildus DORA.
DORA incidentu paziņošana (ACPR/AMF) atšķiras no VDAR paziņošanas (CNIL) personas datu pārkāpuma gadījumā: abas var būt nepieciešamas vienlaicīgi.
Katra DORA lieta atšķiras atkarībā no jūsu statusa - individuāls piedāvājums visos gadījumos
Jūs sniedzat pakalpojumus vienai vai vairākām finanšu vienībām
Jūs esat tieši pakļauti DORA (viena no 21 kategorijas, 2. p.)
Regulāra dokumentācijas atjaunināšana (pienākumi, līgumi, reģistrs)
DORA vienkārši izskaidrota, bez juridiska žargona. Katrs zemāk minētais punkts atsaucas uz oficiālo tekstu, kas to apstiprina.
DORA attiecas uz Eiropas finanšu dalībniekiem: bankām, apdrošinātājiem, ieguldījumu sabiedrībām, tirgus platformām, fondu pārvaldniekiem, maksājumu pakalpojumu sniedzējiem... kā arī uz to IT pakalpojumu sniedzējiem. Ļoti mazām struktūrām ir atvieglotie noteikumi.
Regula aptver 6 galvenās tēmas: IT riska pārvaldību, jūsu ārējo pakalpojumu sniedzēju uzraudzību, regulārus noturības testus, nopietnu incidentu ziņošanu, informācijas apmaiņu par draudiem un lielāko IT pakalpojumu sniedzēju uzraudzību.
Teksts pieņemts 2022. gada 14. decembrī, publicēts ES Oficiālajā Vēstnesī 2022. gada 27. decembrī (OV L 333). Stājās spēkā 2023. gada 16. janvārī. Pienākumi ir reāli spēkā kopš 2025. gada 17. janvāra.
Lielākie IT pakalpojumu sniedzēji (mākonis, hostings...), kas atzīti par "kritiskiem" finanšu nozarei, tagad tiek tieši kontrolēti Eiropas līmenī, ar vadošo uzraugu, kas var tiem uzlikt pasākumus.
Pirms DORA katrai ES valstij bija savi noteikumi nopietna IT incidenta paziņošanai. Tagad tiek piemērota vienota Eiropas procedūra: nozīmīgi incidenti tiek paziņoti tieši kompetentajām iestādēm.
Teksts paredz, ka iestādes publicē to piespriestos administratīvos sodus. Precīzas naudas sodu summas šobrīd izmantotajos avotos nav noteiktas - jāapstiprina, kad parādīsies oficiāli precizējumi.
Dzirdat par DORA, bet nezināt, vai tā attiecas uz jums? Šeit vienkārši izskaidrots regulas oficiālais tvērums, saprotams 2 minūtēs, ar tekstiem, kas to apliecina.
Eiropas regula 2022/2554 (2. pants) attiecas uz 21 dažādu finanšu uzņēmumu kategoriju, no kurām 12 uzrauga ESMA. Tas nav jautājums, kas skar tikai lielās bankas: kopš 2025. gada 17. janvāra praktiski viss Eiropas finanšu sektors ir skarts, ar dažādu prasību pakāpi atkarībā no struktūras lieluma. oficiāls avots (ESMA) ↗
Kredītiestādes (bankas), maksājumu iestādes, elektroniskās naudas iestādes, konta informācijas pakalpojumu sniedzēji.
Ieguldījumu sabiedrības, tirdzniecības platformas, centrālie vērtspapīru depozitāriji, centrālie darījumu starpnieki, darījumu reģistri, kredītreitingu aģentūras, alternatīvo ieguldījumu fondu pārvaldnieki, pārvaldības sabiedrības.
Apdrošināšanas un pārapdrošināšanas sabiedrības, apdrošināšanas starpnieki (izņemot mikrouzņēmumus), arodpensiju iestādes ar vairāk nekā 15 dalībniekiem.
Kriptoaktīvu pakalpojumu sniedzēji, kolektīvās finansēšanas platformas, vērtspapīrošanas darījumu reģistri: digitālās finanses arī ietilpst tvērumā.
IKT pakalpojumu sniedzēji (mākonis, hostings, kritiskā programmatūra), kas nodrošina šo uzņēmumu darbību, arī ietilpst uzraudzības lokā. Nozarei visbūtiskākie "kritiskie" tiek uzraudzīti tieši Eiropas līmenī.
DORA piemēro proporcionalitātes principu: jo mazāka struktūra, jo vieglāki tās pienākumi. Dažas struktūras pat ir tieši izslēgtas no tvēruma.
Mikrouzņēmums oficiāli tiek definēts kā struktūra ar mazāk nekā 10 darbiniekiem, kuras apgrozījums vai gada bilance nepārsniedz 2 miljonus eiro. Uz šīm ļoti mazajām finanšu struktūrām neattiecas smagākie regulas pārvaldības pienākumi.
oficiāls avots (EUR-Lex, ES definīcija) ↗ · avots EUR-Lex (DORA regula) ↗
Mazām "nesavstarpēji saistītām" ieguldījumu sabiedrībām un mazām arodpensiju iestādēm ir vienkāršots IT riska pārvaldības regulējums, kas detalizēti izklāstīts Eiropas Komisijas deleģētajā regulā.
Arodpensiju iestāde, kuras pārvaldītajā shēmā vai shēmās kopā ir 15 vai mazāk dalībnieku, neietilpst regulas tvērumā.
Ārpus tvēruma ir arī: pasta pārskaitījumu iestādes, uz kurām attiecas kredītiestāžu direktīva, daži fondu pārvaldnieki vai apdrošinātāji, kam ir nozares izņēmumi, kā arī apdrošināšanas starpnieki, kas paši ir mikrouzņēmumi vai MVU.
Vienkārši sakot: ja jūsu uzņēmums ir Eiropas finanšu vienība vai ja esat kāda no tās IT pakalpojumu sniedzējiem, jautājums vairs nav "vai mani tas skar", bet "kādā prasību pakāpē". Teksts precizē, ka katrai struktūrai jāpielāgo savi IT resursi tās lielumam, riska profilam un darbību sarežģītībai. avots EUR-Lex (36. apsvērums) ↗
DORA nav "viens" datums, tie ir vairāki posmi, kas seko cits citam kopš 2022. gada beigām. Šeit secīgi redzams, kas jau ir noticis un kas vēl turpinās - katram posmam pievienots oficiālais teksts, kas to apliecina.
Eiropas Parlaments un Padome pieņem Regulu (ES) 2022/2554. avots EUR-Lex ↗
Teksts tiek publicēts Eiropas Savienības Oficiālajā Vēstnesī (OV L 333). avots EUR-Lex ↗
Regula juridiski pastāv, taču tās faktiskā piemērošana uzņēmumiem vēl ir atlikta uz diviem gadiem - lai sagatavotu tehniskos standartus un reģistrus. avots ESMA ↗
Trīs Eiropas finanšu uzraudzības iestādes (banku, apdrošināšanas, tirgu) rīko divas sabiedriskās apspriešanas, lai pabeigtu praktiskos piemērošanas noteikumus. avots ESMA ↗
Pirmā precīzo IT riska pārvaldības noteikumu sērija (kā kartēt, aizsargāt, atklāt, reaģēt), ko Komisija pieņēma 2024. gada 13. martā. avots EUR-Lex (2024/1774) ↗
Otrā piemērošanas noteikumu sērija (jo īpaši par IT apakšuzņēmuma līgumiem un pakalpojumu sniedzēju uzraudzību). avots ESMA ↗
Komisija publicē tehnisko paraugu (veidlapas), kas jāizmanto katram skartajam uzņēmumam, lai uzturētu savu IT pakalpojumu sniedzēju uzskaiti. Stājas spēkā 2024. gada 22. decembrī. avots EUR-Lex (2024/2956) ↗
Kopš šī datuma visām skartajām finanšu vienībām (un to stratēģiskajiem IT pakalpojumu sniedzējiem) jābūt reālā atbilstībā, nevis tikai "uz papīra". avots ESMA ↗ · avots EIOPA ↗
Nacionālajām uzraudzības iestādēm bija jānodod Eiropas iestādēm pirmie informācijas reģistri, kas saņemti no skartajiem uzņēmumiem. avots ESMA ↗
Eiropas iestādes soli pa solim veido to IT pakalpojumu sniedzēju (mākonis, hostings...) sarakstu, kuri tiek uzskatīti par tik nozīmīgiem visai finanšu nozarei, ka tie tiks tieši uzraudzīti Eiropas līmenī. Process (informācijas vākšana, lēmumi, starpposma ziņojums) norisinājās no 2024. gada novembra līdz 2025. gada maijam; precīzs pirmās oficiālās noteikšanas datums līdz šim izmantotajos avotos nav apstiprināts - jāapstiprina, sekojot turpmākajām publikācijām. avots ESMA ↗
Eiropas iestādes turpina publicēt starpposma ziņojumus (pieredze par nopietniem incidentiem, apakšuzņēmuma noteikumu pielāgojumi). DORA ir dzīvs process, nevis iesaldēts teksts. avots ESMA ↗
Kalendārs sastādīts, pamatojoties uz oficiāliem avotiem (EUR-Lex, ESMA, EIOPA), kas apskatīti 2026. gada 17. jūlijā. Daži datumi (kritisko pakalpojumu sniedzēju galīgā noteikšana, sodu apmēri) joprojām tiek precizēti iestādēs - mēs tos atjaunināsim, tiklīdz tie tiks publicēti.
7 tehniskāki jautājumi, vienkārši izskaidroti: katrs pamatots ar oficiālu tekstu, kas to apstiprina.
avots EUR-Lex (43., 56., 61. apsvērums) ↗ · avots ESMA (Deleģētā regula (ES) 2025/1190) ↗
avots EUR-Lex (65. apsvērums) ↗ · avots ESMA (Īstenošanas regula (ES) 2024/2956) ↗
"DORA paredz naudas sodus" bieži tiek minēts komerciālajās runās. Ko oficiālais teksts patiesībā saka melns uz balta: divi atšķirīgi režīmi, ar vienu vienotu Eiropas skaitli - un nav vienota tarifa visiem.
DORA nenosaka nekādu apgrozījuma summu vai procentuālo daļu. Teksts skaidri atstāj katrai dalībvalstij pašai noteikt savus sodu noteikumus (50. panta 3. punkts: « Member States shall lay down rules establishing appropriate administrative penalties... »). Francijā jūsu parastās iestādes - ACPR bankām/apdrošināšanai, AMF tirgiem - piemēro savu nacionālo tarifu, nevis vienotu Eiropas DORA tarifu.
Savukārt regula nosaka: pasākumu veidus, kas katrai valstij vismaz jāparedz (saraksts zemāk) - precīzu summu noteikšana ir nacionālo tiesību aktu ziņā.
Šeit DORA nosaka precīzu un visai Eiropai vienotu skaitli: kavējuma naudu, kas var sasniegt līdz 1 % no vidējā globālā dienas apgrozījuma, par katru kavējuma dienu, ne ilgāk kā 6 mēnešus (35. panta 7.-8. punkts). Tas nav tūlītējs sods: to var piemērot tikai pēc tam, kad iestāde konstatējusi vismaz 30 kalendāra dienu neatbilstību.
Šī kavējuma nauda attiecas tikai uz lielajiem pakalpojumu sniedzējiem, ko ES oficiāli atzinusi par "kritiskiem" - nevis uz pašiem klientu uzņēmumiem, kas tos izmanto.
Tā ir kavējuma nauda, ko var noteikt "Lead Overseer" - viena no trim Eiropas finanšu uzraudzības iestādēm (EBA, ESMA vai EIOPA, izraudzīta atkarībā no pakalpojumu sniedzēja) - kritiskam IT pakalpojumu sniedzējam, kas atsakās nodrošināt atbilstību pēc vismaz 30 dienu termiņa. Nauda tiek ieskaitīta Eiropas Savienības vispārējā budžetā, un katra piemērotā kavējuma nauda principā jāpublisko Lead Overseer.
Avots: Regula (ES) 2022/2554, 35. panta 6.-10. punkts - oficiāls teksts EUR-Lex ↗
Pieci pasākumu veidi, kas katrai dalībvalstij vismaz jāparedz savos nacionālajos tiesību aktos - DORA 50. panta 4. punkts.
Likt uzņēmumam nekavējoties pārtraukt neatbilstošo praksi un to neatsākt.
Aizliegt praksi vai rīcību, kas atzīta par pretēju regulai, uz laiku vai pastāvīgi.
Jebkurš pasākums, tostarp finansiāls, lai atjaunotu uzņēmuma atbilstību - summu nosaka katras valsts nacionālie tiesību akti.
Pieprasīt no telekomunikāciju operatora esošos datus, ja ir pamatotas aizdomas par pārkāpumu.
Publiskot paziņojumu, kas norāda uzņēmuma identitāti un pārkāpuma raksturu ("name and shame").
Lai noteiktu precīzu soda apmēru, DORA 51. panta 2. punkts prasa iestādei ņemt vērā jo īpaši: pārkāpuma smagumu un ilgumu, atbildības pakāpi, uzņēmuma finansiālo stabilitāti, gūto peļņu vai novērstos zaudējumus, trešajām personām nodarīto kaitējumu, sadarbības līmeni un iepriekšējos pārkāpumus.
Analīze balstīta uz Regulas (ES) 2022/2554 35. un 50.-53. panta pilnīgu izlasi, oficiālu tekstu, kas publicēts ES Oficiālajā Vēstnesī (L 333, 27/12/2022), apskatīts EUR-Lex 2026. gada 17. jūlijā. Tekstā nav neviena skaitliska soda apmēra finanšu vienībām (atsauce uz katras dalībvalsts nacionālajām tiesībām) - tāpēc mēs to neizdomājam. Neviena kavējuma nauda saskaņā ar 35. pantu līdz šim mūsu avotos publiski nav reģistrēta; DORA pilnībā tiek piemērota tikai kopš 2025. gada 17. janvāra.
Sazinieties ar mums, lai saņemtu individuālu piedāvājumu atbilstoši jūsu statusam (finanšu vienība vai IKT pakalpojumu sniedzējs).
Bezmaksas: jūsu rezultāts un konstatētās nepilnības. Detalizēts pārskats un apliecinājums: 499 € bez PVN, tikai tad, ja to izlemjat.
contact@syaga.eu