Fem viktiga överväganden om Digital Operational Resilience Act (DORA) (Omkar Nisal)

Den 24 september 2020 publicerade Europeiska kommissionen det första utkastet till förslaget till en Digital Operational Resilience Act (DORA) som en del av Digital Finance Package (DFP). Syftet är att vägleda finansiella institutioner genom kryptons komplexitet
tillgångar, blockchain-teknik och digital operativ motståndskraft, samt ge råd om en förnyad strategi för detaljhandelsbetalningar. Trots de fördelar som DORA kommer att medföra kommer det för många företag att vara en utmaning att navigera i de förändringar som krävs.
Här är fem viktiga punkter att tänka på när du säkerställer efterlevnad enligt lagen.

 1.       Vad är DORA och varför är det viktigt?

 Den nya lagen kommer att ge stora europeiska finansiella aktörer nödvändiga skyddsåtgärder för att mildra cyberattacker och andra IKT-relaterade eller IT-baserade risker.

 DORA kommer snart att utgöra en bindande lag som täcker vart och ett av EU:s medlemsländer och finansiella tjänsteinstitutioner som verkar inom dem. Så varför spelar detta roll för Storbritannien?

 Även om Storbritannien inte längre är medlem i EU, är Storbritannien fortfarande en av de grundläggande europeiska finansiella knutpunkterna. Förenade kungarikets finansiella tjänsteorganisationer som engagerar sig på den europeiska marknaden – privat eller offentlig – som verkar inom EU kommer snart att behöva följa dessa
bestämmelser – vilket gör DORA till en viktig del av all brittisk affärspraxis.

 2.       DORA:s lagstiftande tyngd

 Den allvarliga lagstiftningstyngden som denna nya europeiska lag bär är en annan viktig anledning till att brittiska finansiella tjänsteorganisationer bör börja tänka på efterlevnad. Varje europeiskt lands myndighet för finansiella tjänster kommer att ta rollen som efterlevnad
övervaka och tillämpa förordningen vid behov. Omfattande böter kommer att utfärdas för de institutioner som inte följer de nya reglerna, vilket leder till en buckla i vinsten och potentiell skada på ryktet.

 Detta innebär betydande påföljder kan utdömas av den ledande tillsynsmannen för bristande efterlevnad. Dessa betydande straffavgifter kommer att ta formen av en viten på 1 % av den genomsnittliga dagliga globala omsättningen för organisationen i den föregående verksamheten
år. Detta kommer att tillämpas av den ledande tillsynsmannen dagligen tills efterlevnad uppnås under högst sex månader.

 3.       Förstå ditt tillstånd av sårbarhet

 När det gäller cyberrisk och motståndskraft räcker det helt enkelt inte att ha enbart "cyberförsäkring" – konstant information om riskläget är också viktigt. Teknikens allestädes närvarande i dagens företags verksamhet, och dess anslutningsmöjligheter, sträcker sig över standarden
fysiska tekniska resurser för den dagliga verksamheten: från IKT, bankomater, bärbara datorer, konferensrumskameror till molnets alla virtuella domäner, on premiss, AI och kvantinnovationer.

 Lagen hjälper intressenter och beslutsfattare att bygga en djupare förståelse för det interna tillståndet för risker och sårbarhet som deras företag lider. I sin senaste

rapporten om resiliensverksamhet, bekräftade den brittiska regeringen att försäkringsskyddsgapet fortfarande är stort när det gäller cyber – "90 % av alla cyberförluster förblir oförsäkrade".

 DORA kommer att hjälpa brittiska finansinstitut att övervinna den bredare utmaningen att ge intressenter och ansvariga beslutsfattare rätt insyn i de kritiska tillgångarna och tillgångarnas position, som definierar tillförlitligheten och effektiviteten av
deras tjänster.

 4.       Vad omfattas av lagens tillämpningsområde?

 När lagen är färdig kommer den att gälla för en lång rad finansiella enheter, inklusive kreditinstitut, institut för elektroniska pengar, värdepappersföretag, försäkringsföretag och återförsäkringsföretag. Men det är inte bara finansiella tjänsteinstitutioner
som påverkas. Enligt DORA kommer "kritiska ICT tredjepartsleverantörer" (CTPPs), inklusive molntjänsteleverantörer (CSPs), att falla inom den reglerande omkretsen av EU-omfattande standarder för digital operativ resilienstestning.

 En annan nyhet är standardiseringen av riktlinjer för IKT-riskhantering, incidentklassificering och rapportering över finansiella tjänstesektorer. Harmonisering mellan dessa kritiska tillgångar öppnar dörren för finansiella enheter att etablera sig
inom de säkra gränserna för ett enat EU-nav mot cyberhot.

 Alla brittiska enheter som verkar på den europeiska finansmarknaden måste följa lagen som ett grundläggande privilegium för att hävda synlighet på marknaden och som ett sätt för legitimitet att inleda partnerskap inom den.

 5.       Specialiserade verktyg som kan hjälpa dig att få en DORA-plan på plats

 Vissa organisationer använder fortfarande manuella processer och kalkylblad för att fånga, hantera och rapportera företagens efterlevnad, riskhantering och förändringar i lagstiftningen i hela verksamheten. Dessa statiska kalkylblad faller snabbt isär när det kommer till hantering och spårning
alla insatser för komplex styrning, risk och efterlevnad inom en organisation.

 Institutioner måste säkerställa en strikt efterlevnad av DORA och kan därför behöva adekvat hjälp från specialiserade IT-verktyg som kan stödja att hitta, dokumentera, hantera och klassificera tillgångar samtidigt som de utvärderar risknivåer för tillgångar som faller inom
omfattning.

 Specialiserade säkerhetsplattformar kan vara den mest kostnadseffektiva lösningen för att ta itu med dessa problem samtidigt som de följer det föränderliga finansiella landskapet för reglering. Dessa specialistplattformar hjälper till att identifiera nya typer av slutpunkter (som konferensrumskameror)
och kan samverka med befintliga verktyg, där de finns, för att tillhandahålla ett korrekt tillgångsregister. Det främsta målet med dessa plattformar är att sömlöst minska alla döda vinklar för operativ motståndskraft och skydda arbetskraften inför ogynnsamma operationella händelser
genom att förutse, förebygga och anpassa sig till sådana händelser.

 Sammanfattningsvis

 Så sammanfattningsvis måste finansinstitutioner se till att de kommer att följa DORA, annars riskerar de inte obetydliga böter. För att bli kompatibla måste organisationer identifiera alla tillgångar som för närvarande finns
en risk för nyckelprocesser. Sedan måste organisationer förstå risknivån som varje tillgång uppvisar för att säkerställa att begränsningar övervägs. Det finns specialistverktyg på marknaden som kan hjälpa organisationer att hitta, dokumentera, hantera och klassificera
deras tillgångar. Prata med en IT-specialist för att se hur de kan hjälpa din organisation med allt detta.