Fem centrale overvejelser om Digital Operational Resilience Act (DORA) (Omkar Nisal)

Den 24. september 2020 offentliggjorde Europa-Kommissionen det første udkast til forslag til en Digital Operational Resilience Act (DORA) som en del af Digital Finance Package (DFP). Målet er at guide finansielle institutioner gennem kryptografikkens kompleksitet
aktiver, blockchain-teknologi og digital operationel robusthed, samt rådgivning om en fornyet detailbetalingsstrategi. På trods af de fordele, som DORA vil medføre, vil det for mange virksomheder være en udfordring at navigere i de nødvendige ændringer.
Her er fem vigtige punkter at overveje, når du sikrer overholdelse af loven.

 1.       Hvad er DORA, og hvorfor er det vigtigt?

 Den nye lov vil give store europæiske finansielle aktører de nødvendige sikkerhedsforanstaltninger for at afbøde cyberangreb og andre ikt-relaterede eller it-baserede risici.

 DORA vil snart udgøre en bindende lov, der dækker hvert af EU's medlemslande og finansielle serviceinstitutioner, der opererer inden for dem. Så hvorfor betyder det noget for Storbritannien?

 Selvom det ikke længere er medlem af EU, er Storbritannien fortsat et af de grundlæggende europæiske finansielle knudepunkter. Britiske finansielle serviceorganisationer, der beskæftiger sig med det europæiske marked – private eller offentlige – som opererer inden for EU, vil snart skulle overholde disse
regler – hvilket gør DORA til et væsentligt element i enhver britisk forretningspraksis.

 2.       Den lovgivningsmæssige vægt af DORA

 Den alvorlige lovgivningsmæssige vægt, som denne nye europæiske lov bærer, er en anden vigtig grund til, at britiske finansielle serviceorganisationer bør begynde at tænke på overholdelse. Hvert europæisk lands myndighed for finansielle tjenesteydelser påtager sig rollen som overholdelse
føre tilsyn med og håndhæve forordningen efter behov. Omfattende bøder vil blive udstedt til de institutioner, der ikke overholder de nye regler, hvilket vil føre til indhug i overskuddet og potentiel skade på omdømmet.

 Dette betyder betydelige sanktioner kan pålægges af den ledende tilsynsførende for manglende overholdelse. Disse betydelige bøder vil tage form af en tvangsbøde på 1 % af den gennemsnitlige daglige globale omsætning i organisationen i den foregående virksomhed
år. Dette vil blive anvendt af den ledende tilsynsførende dagligt, indtil overholdelse er opnået i højst en periode på seks måneder.

 3.       Forstå din sårbarhed

 Når det kommer til cyberrisiko og modstandsdygtighed, er det simpelthen ikke nok at have "cyberforsikring" alene – konstant information om risikotilstanden er også afgørende. Den allestedsnærværende teknologi i dagens virksomheders aktiviteter og dens tilslutningsmuligheder strækker sig på tværs af standarden
fysiske teknologiske ressourcer på tværs af den daglige drift: fra IKT'er, pengeautomater, bærbare computere, konferencerumskameraer til alle skyens virtuelle domæner, on-premise, AI og kvanteinnovationer.

 Loven hjælper interessenter og beslutningstagere med at opbygge en dybere forståelse af den interne tilstand af risici og sårbarhed, som deres virksomheder lider under. I sin seneste

business of resilience rapport, bekræftede den britiske regering, at forskellen i forsikringsbeskyttelsen forbliver høj, hvad angår cyber – "90 % af alle cybertab forbliver uforsikrede".

 DORA vil hjælpe britiske finansielle institutioner med at overvinde den bredere udfordring med at give interessenter og ansvarlige beslutningstagere den rette synlighed på de kritiske aktiver og aktivers position, som definerer pålideligheden og effektiviteten af
deres tjenester.

 4.       Hvad falder ind under lovens anvendelsesområde?

 Når loven er færdiggjort, vil den gælde for en lang række finansielle enheder, herunder kreditinstitutter, elektroniske pengeinstitutter, investeringsselskaber, forsikringsselskaber og genforsikringsselskaber. Men det er ikke kun finansielle institutioner
der er påvirket. Under DORA vil 'kritiske IKT-tredjepartsudbydere' (CTPP'er), herunder cloud-tjenesteudbydere (CSP'er), falde inden for den regulatoriske perimeter af EU-dækkende standarder for digital operationel modstandsdygtighedstestning.

 Et andet nyhedselement er standardiseringen af ​​retningslinjer for IKT-risikostyring, hændelsesklassificering og rapportering på tværs af finansielle servicesektorer. Harmonisering på tværs af disse kritiske aktiver åbner døren for finansielle enheder til at etablere sig
inden for de sikre grænser af et samlet EU-hub mod cybertrusler.

 Alle britiske enheder, der opererer på det europæiske finansmarked, skal overholde loven som en grundlæggende prærogativ for at hævde synlighed på markedet og som et middel til legitimitet til at indlede partnerskaber inden for det.

 5.       Specialværktøjer, der kan hjælpe dig med at få en DORA-plan på plads

 Nogle organisationer bruger stadig manuelle processer og regneark til at fange, administrere og rapportere virksomhedens overholdelse, risikostyring og reguleringsændringer på tværs af virksomheden. Disse statiske regneark falder hurtigt fra hinanden, når det kommer til styring og sporing
alle de komplekse styrings-, risiko- og overholdelsesbestræbelser i en organisation.

 Institutioner skal sikre en streng overholdelse af DORA og kan derfor kræve tilstrækkelig assistance fra specialiserede it-værktøjer, der er i stand til at understøtte at finde, dokumentere, administrere og klassificere aktiver, mens de vurderer risikoniveauer for aktiver, der falder inden for
rækkevidde.

 Specialiserede sikkerhedsplatforme kan være den mest omkostningseffektive løsning til at tackle disse problemer, mens de overholder det økonomiske landskab, der udvikler sig. Disse specialistplatforme hjælper med at identificere nye typer slutpunkter (såsom konferencerumskameraer)
og kan interface med eksisterende værktøjer, hvor de findes, for at give et nøjagtigt aktivregister. Det primære mål med disse platforme er problemfrit at reducere enhver operationel modstandsdygtighed blinde vinkler og beskytte arbejdsstyrken i lyset af ugunstige operationelle hændelser
ved at forudse, forebygge og tilpasse sig sådanne begivenheder.

 Afslutningsvis

 Så for at opsummere skal finansielle institutioner sikre, at de overholder DORA, ellers risikerer de ikke ubetydelige tvangsbøder. For at blive kompatible, skal organisationer identificere alle de aktiver, der i øjeblikket er til stede
en risiko for nøgleprocesser. Derefter er organisationer nødt til at forstå risikoniveauet, som hvert aktiv præsenterer, for at sikre, at der tages hensyn til begrænsninger. Der findes specialværktøjer på markedet, som kan hjælpe organisationer med at finde, dokumentere, administrere og klassificere
deres aktiver. Tal med en it-specialist for at se, hvordan de kan hjælpe din organisation med alt dette.