Cinco considerações principais sobre a Lei de Resiliência Operacional Digital (DORA) (Omkar Nisal)

Em 24 de setembro de 2020, a Comissão Europeia publicou a primeira proposta redigida para uma Lei de Resiliência Operacional Digital (DORA) como parte do Pacote de Financiamento Digital (DFP). O objetivo é orientar as instituições financeiras através das complexidades da criptografia
ativos, tecnologia blockchain e resiliência operacional digital, além de aconselhar sobre uma estratégia renovada de pagamentos de varejo. Apesar dos benefícios que a DORA trará, para muitas empresas será um desafio navegar pelas mudanças necessárias.
Aqui estão cinco pontos-chave a serem considerados ao garantir a conformidade com a lei.

 1.       O que é a DORA e por que é importante?

 A nova lei proporcionará aos principais intervenientes financeiros europeus as salvaguardas necessárias para mitigar os ataques cibernéticos e outros riscos relacionados com as TIC ou baseados nas TI.

 A DORA constituirá em breve uma lei vinculativa que abrange cada um dos estados membros da UE e as instituições de serviços financeiros que neles operam. Então, por que isso é importante para o Reino Unido?

 Embora já não seja membro da UE, o Reino Unido continua a ser um dos centros financeiros europeus fundamentais. As organizações de serviços financeiros do Reino Unido que participam no mercado europeu – privado ou público – que operam na UE necessitarão em breve de cumprir estas
regulamentos – tornando o DORA um elemento essencial de quaisquer práticas comerciais no Reino Unido.

 2.       O peso legislativo da DORA

 O grande peso legislativo que esta nova lei europeia carrega é outra razão importante para as organizações de serviços financeiros do Reino Unido começarem a pensar na conformidade. A autoridade de serviços financeiros de cada país europeu assumirá o papel de compliance
supervisionar e fazer cumprir o regulamento conforme necessário. Serão emitidas multas extensas para as instituições que não cumpram os novos regulamentos, levando a uma redução nos lucros e potenciais danos à reputação.

 Isto significa que sanções significativas podem ser impostas pelo Supervisor Principal em caso de incumprimento. Estas penalidades significativas assumirão a forma de uma multa periódica de 1% do volume de negócios médio diário global da organização no negócio anterior.
ano. Isto será aplicado diariamente pelo Supervisor Principal até que a conformidade seja alcançada por um período não superior a seis meses.

 3.       Entenda seu estado de vulnerabilidade

 Quando se trata de risco cibernético e resiliência, ter apenas “seguro cibernético” simplesmente não é suficiente – informações constantes sobre o estado do risco também são vitais. A omnipresença da tecnologia nas atividades empresariais atuais e a sua conectividade estende-se a todo o padrão
recursos tecnológicos físicos presentes nas operações diárias: desde TICs, caixas eletrônicos, laptops, câmeras de salas de conferência, até todos os domínios virtuais da nuvem, no local, IA e inovações quânticas.

 A Lei ajuda as partes interessadas e os decisores a construir uma compreensão mais profunda do estado interno dos riscos e da vulnerabilidade sofrida pelas suas empresas. Em seu mais recente

relatório de negócios de resiliência, o Governo do Reino Unido confirmou que a lacuna de proteção dos seguros continua elevada no que diz respeito ao ciberespaço – «90% de todas as perdas cibernéticas não são seguradas».

 A DORA ajudará as instituições financeiras do Reino Unido a superar o desafio mais amplo de proporcionar às partes interessadas e aos decisores responsáveis ​​a visibilidade certa sobre os activos críticos e a postura dos activos, que definem a fiabilidade e a eficácia dos
seus serviços.

 4.       O que se enquadra no escopo da Lei?

 Quando finalizada, a lei aplicar-se-á a um vasto leque de entidades financeiras, incluindo instituições de crédito, instituições de moeda eletrónica, empresas de investimento, empresas de seguros e empresas de resseguros. Mas não são apenas as instituições de serviços financeiros
que são impactados. Ao abrigo da DORA, os «fornecedores terceiros de TIC essenciais» (CTPP), incluindo os prestadores de serviços em nuvem (CSP), ficarão abrangidos pelo perímetro regulamentar das normas a nível da UE para testes de resiliência operacional digital.

 Outro elemento de novidade é a padronização das diretrizes de gestão de riscos de TIC, classificação de incidentes e relatórios em todos os setores de serviços financeiros. A harmonização destes ativos críticos abre a porta para que as entidades financeiras se estabeleçam
dentro das fronteiras seguras de um centro unificado da UE contra ameaças cibernéticas.

 Quaisquer entidades do Reino Unido que operem no mercado financeiro europeu terão de cumprir a Lei como uma prerrogativa fundamental para afirmar visibilidade no mercado e como meio de legitimidade para iniciar parcerias dentro dele.

 5.       Ferramentas especializadas que podem ajudá-lo a implementar um plano DORA

 Algumas organizações ainda usam processos manuais e planilhas para capturar, gerenciar e relatar conformidade corporativa, gerenciamento de riscos e mudanças regulatórias em toda a empresa. Essas planilhas estáticas desmoronam rapidamente quando se trata de gerenciamento e rastreamento
todos os esforços complexos de governança, risco e conformidade dentro de uma organização.

 As instituições precisam de garantir um cumprimento estrito da DORA e, portanto, podem necessitar de assistência adequada de ferramentas informáticas especializadas capazes de apoiar na localização, documentação, gestão e classificação de activos, ao mesmo tempo que avaliam os níveis de risco dos activos abrangidos.
escopo.

 Plataformas de segurança especializadas podem ser a solução mais económica para resolver estes problemas, ao mesmo tempo que respeitam o cenário financeiro regulamentar em evolução. Essas plataformas especializadas ajudam a identificar novos tipos de endpoints (como câmeras de salas de conferência)
e pode interagir com ferramentas existentes, onde existirem, para fornecer um registro preciso de ativos. O principal objetivo dessas plataformas é reduzir perfeitamente quaisquer pontos cegos de resiliência operacional e proteger a força de trabalho diante de eventos operacionais adversos.
antecipando, prevenindo e adaptando-se a tais eventos.

 Em conclusão

 Assim, em suma, as instituições financeiras precisam de garantir que estarão em conformidade com a DORA, caso contrário correm o risco de pagamentos de multas periódicas não insignificantes. Para se tornarem compatíveis, as organizações precisam identificar todos os ativos que atualmente apresentam
um risco para processos-chave. Em seguida, as organizações precisam compreender o nível de risco que cada ativo apresenta para garantir que as mitigações sejam consideradas. Existem ferramentas especializadas no mercado que podem ajudar as organizações a encontrar, documentar, gerenciar e classificar
seus ativos. Fale com um especialista em TI para ver como ele pode ajudar sua organização com tudo isso.