DORA, Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti, na snazi je u cijeloj Europskoj uniji od 17. siječnja 2025. Za hrvatske financijske institucije to znači da skup pravila o upravljanju rizicima informacijske i komunikacijske tehnologije više nije preporuka nego izravna zakonska obveza. Regulatori u Hrvatskoj, HNB za banke i platne institucije te Hanfa za društva za osiguranje, investicijska društva i fondove, traže dokaze da imate uspostavljen okvir, da ga provjeravate testiranjem i da znate što ćete učiniti kad incident udari.
Glavno pitanje koje nam postavljaju voditelji rizika i članovi uprava glasi ovako: što točno regulator očekuje vidjeti kad pita za DORA usklađenost. Odgovor je konkretan. Očekuje dokumentirani okvir upravljanja IKT rizicima, registar svih ugovora s pružateljima IKT usluga, mehanizam prijave značajnih incidenata u propisanim rokovima, program testiranja otpornosti i jasno definirane odgovornosti uprave. U ovom tekstu razlažemo svaki od tih zahtjeva, objašnjavamo kako se DORA odnosi prema postojećim okvirima poput ISO 27001 i NIS2, te opisujemo kako naša GRC usluga pomaže instituciji da sve to poveže u koherentan sustav.
DORA je uredba, a ne direktiva. Razlika je važna. Uredba se primjenjuje izravno, bez potrebe za prenošenjem u nacionalni zakon. To znači da hrvatske institucije ne čekaju domaći propis nego primjenjuju tekst uredbe onakav kakav jest, uz delegirane i provedbene akte Europske komisije koji razrađuju tehničke detalje. Cilj uredbe je osigurati da financijski sektor izdrži ozbiljne poremećaje u radu informacijskih sustava, bilo da ih izazove kibernetički napad, kvar pružatelja usluga ili interna pogreška.
Krug obveznika je širok i obuhvaća gotovo cijeli financijski sektor. Mnoge institucije podcjenjuju da ih uredba uopće dotiče, pa kasne s pripremom.
Uredba je strukturirana oko pet glavnih područja. Kad regulator dolazi u nadzor ili traži dokumentaciju, pitanja gotovo uvijek slijede ovu podjelu. Razumijevanje strukture pomaže instituciji da organizira svoj program i da ne propusti nijedan dio.
Prvi i najopsežniji zahtjev je uspostava okvira upravljanja rizicima IKT. Regulator ne traži samo da imate dokument nego da taj dokument živi. To znači da postoji odobrenje uprave, da su uloge dodijeljene konkretnim osobama i da se okvir redovito preispituje. Okvir mora pokrivati identifikaciju kritičnih funkcija, klasifikaciju informacijske imovine, zaštitne mjere, otkrivanje anomalija, odgovor na incidente i oporavak.
U praksi institucije koje već imaju uspostavljen sustav upravljanja informacijskom sigurnošću prema normi ISO 27001 imaju veliku prednost. Mnoge kontrole koje DORA traži već postoje u 93 kontrole iz Priloga A norme ISO/IEC 27001:2022, raspoređene u četiri teme: organizacijske, ljudske, fizičke i tehnološke. Ne postoji potpuno preslikavanje, ali postoji znatno preklapanje. Mi tu poveznicu mapiramo eksplicitno, da institucija ne radi isti posao dvaput.
DORA ne traži savršen sustav. Traži sustav koji znate dokazati, testirati i popraviti kad zataji.
Drugi stup je upravljanje incidentima. DORA propisuje da institucija mora otkriti, klasificirati i upravljati incidentima povezanim s IKT, te da značajne incidente mora prijaviti nadležnom regulatoru. Provedbeni akti definiraju kriterije značajnosti i rokove. Inicijalna obavijest dolazi vrlo brzo nakon klasifikacije incidenta kao značajnog, nakon čega slijede međuizvješće i konačno izvješće. Rokovi su kratki i institucija koja nema unaprijed pripremljen postupak gotovo sigurno kasni.
Najveći problem koji vidimo nije tehnička sposobnost otkrivanja nego nedostatak jasnog postupka odlučivanja. Kad incident udari, netko mora odlučiti je li značajan, tko sastavlja izvješće i tko ga šalje. Te odgovornosti moraju biti definirane prije incidenta, ne tijekom njega. Naša usluga otkrivanja prijetnji i odgovora pomaže instituciji da uspostavi praćenje, klasifikaciju i postupke koji se uklapaju u rokove iz uredbe.
Treći stup je vjerojatno najzanimljiviji tehničkim timovima jer od riječi prelazi na djela. DORA traži redovit program testiranja digitalne operativne otpornosti. Osnovna razina obuhvaća alate i tehnike koje koristi većina institucija: skeniranje, procjenu ranjivosti, testove scenarija, provjere fizičke sigurnosti i penetracijsko testiranje. Za to je korisno razumjeti razliku između procjene ranjivosti i penetracijskog testiranja jer uredba implicira oba pristupa, a oni nisu zamjenjivi.
Najzahtjevniji subjekti, oni čiji bi prekid rada ozbiljno utjecao na financijski sustav, moraju provoditi napredno testiranje vođeno prijetnjama, poznato kao TLPT, threat-led penetration testing. To je strukturiran oblik Red Team angažmana koji oponaša stvarne napadače na temelju obavještajnih podataka o prijetnjama. TLPT se provodi prema metodologiji TIBER-EU i obuhvaća produkcijske sustave, što ga čini znatno složenijim od standardnog penetracijskog testiranja.
Naš pristup ofenzivnom testiranju opisujemo na stranici ofenzivne sigurnosti, a testiranje aplikacija i API-ja na stranici sigurnosti aplikacija. Otkrivamo sigurnosne propuste prije napadača, što je upravo ono što uredba želi postići.
Četvrti stup mnoge institucije iznenadi opsegom. DORA traži potpun registar svih ugovornih aranžmana s pružateljima IKT usluga. To ne znači samo velike cloud pružatelje nego svakog dobavljača koji pruža IKT uslugu, uključujući manje partnere. Registar mora sadržavati propisane podatke i institucija ga mora moći dostaviti regulatoru na zahtjev. Hanfa i HNB već prikupljaju ove registre od obveznika.
Osim registra, ugovori moraju sadržavati određene odredbe. To uključuje pravo na pristup i reviziju, jasne razine usluge, planove izlaska i pravila o podugovaranju. Kod kritičnih pružatelja IKT usluga uredba uvodi i izravan europski nadzor. Institucija koja je sav svoj IKT prepustila vanjskim partnerima ne može tu odgovornost prebaciti. Ona ostaje odgovorna za rizik, čak i kad uslugu obavlja netko drugi.
DORA jasno stavlja krajnju odgovornost na upravljačko tijelo. To je možda najveći pomak u odnosu na raniju praksu. Uprava mora odobriti okvir upravljanja IKT rizicima, razumjeti izloženost institucije i osigurati dovoljno sredstava. Nije dovoljno da uprava jednom godišnje primi prezentaciju. Regulator očekuje da članovi uprave imaju dovoljno znanja da postavljaju prava pitanja i donose informirane odluke.
U praksi to znači redovito izvještavanje, dokumentirane odluke i program edukacije za upravu i zaposlenike. Kad regulator pita tko je odgovoran za IKT rizik, odgovor mora voditi prema vrhu organizacije, ne prema jednom inženjeru u podrumu. Ova odgovornost se ne može delegirati pružatelju usluga niti vanjskom savjetniku.
Hrvatske institucije često se pitaju moraju li ispunjavati i DORA-u i NIS2. Odgovor ovisi o sektoru. NIS2, Direktiva (EU) 2022/2555, je opći okvir za kibernetičku sigurnost u širokom rasponu sektora, a u Hrvatskoj je prenesena kroz Zakon o kibernetičkoj sigurnosti. DORA je sektorski propis za financije i kao lex specialis ima prednost za područja koja uređuje. To znači da financijska institucija primarno slijedi DORA-u za IKT rizike, a NIS2 za nju ima ograničenu izravnu primjenu.
U praksi se okviri preklapaju u temeljnim načelima: upravljanje rizicima, prijava incidenata i odgovornost uprave. Detaljnije o domaćem kontekstu pišemo u tekstu o NIS2 i Zakonu o kibernetičkoj sigurnosti. Institucija koja gradi jedan koherentan sustav, a ne odvojene silose za svaki propis, štedi vrijeme i smanjuje rizik proturječnih kontrola. Detalje DORA usklađenosti razrađujemo i na stranici posvećenoj DORA okviru.
Tijekom priprema za DORA-u susrećemo iste pogreške iznova. Većina ih ne proizlazi iz nedostatka tehničke vještine nego iz pogrešnog poimanja što uredba zapravo traži. Tablica koja stoji u ormaru ne pomaže kad regulator zatraži dokaz da okvir funkcionira u stvarnom radu.
Trošak i trajanje ovise o tome gdje institucija počinje. Banka koja već ima zreo sustav upravljanja informacijskom sigurnošću i certifikat prema ISO 27001 može uskladiti se s DORA-om za nekoliko mjeseci, fokusirajući se na praznine. Manja platna institucija koja kreće gotovo od nule treba više vremena, tipično od šest do dvanaest mjeseci za uspostavu cijelog okvira, registra, postupaka i prvog ciklusa testiranja.
Najveći trošak nije dokumentacija nego testiranje i trajno održavanje. Penetracijsko testiranje, a za najveće subjekte TLPT, traži stručnjake i vrijeme. Naš savjet je da institucija ne gleda na to kao na trošak usklađenja nego kao na ulaganje u stvarnu otpornost. Ako niste sigurni odakle krenuti, koristan polazni okvir nudimo u tekstu kibernetička sigurnost, odakle krenuti.
DORA primjenjuje načelo proporcionalnosti. Manji i jednostavniji subjekti imaju lakši režim za neke zahtjeve, primjerice pojednostavljeni okvir upravljanja IKT rizicima. Međutim, temeljne obveze poput prijave značajnih incidenata, vođenja registra pružatelja i osnovnog testiranja vrijede za sve obveznike. Proporcionalnost ublažava opseg, ali ne ukida obvezu.
Nije sam po sebi dovoljan, ali je vrlo snažan temelj. ISO 27001 pokriva velik dio kontrola koje DORA traži, posebno u području upravljanja rizicima i sigurnosnih mjera. DORA ipak dodaje specifične zahtjeve koje norma ne pokriva u potpunosti, poput rokova za prijavu incidenata regulatoru i naprednog testiranja vođenog prijetnjama. Institucija s ISO 27001 mora napraviti analizu praznina prema DORA-i, što opisujemo i u tekstu o ISO 27001 u Hrvatskoj.
Ovisi o vrsti institucije. Hrvatska narodna banka nadzire kreditne institucije, platne institucije i institucije za elektronički novac. Hanfa nadzire društva za osiguranje, investicijska društva, društva za upravljanje fondovima i druge subjekte tržišta kapitala. Obje institucije surađuju s europskim nadzornim tijelima, a za kritične pružatelje IKT usluga predviđen je izravan europski nadzor.
Ne moraju sve institucije. Napredno testiranje vođeno prijetnjama obvezno je samo za subjekte koje regulator odredi na temelju njihove sistemske važnosti i profila rizika. Većina manjih i srednjih institucija provodi standardno penetracijsko testiranje i procjenu ranjivosti, što je i dalje obvezno. Ako niste sigurni pripadate li krugu koji mora provoditi TLPT, regulator daje smjernice, a mi pomažemo u procjeni.
Tražite tim koji razumije i tehničku stranu i regulatorni kontekst. Izvješće koje navodi ranjivosti bez poslovnog konteksta ne pomaže upravi da odlučuje. Tražite jasnu metodologiju, iskusne inženjere i sposobnost da rezultate povežu s DORA zahtjevima. Više o kriterijima pišemo u tekstu kako odabrati partnera za pentest.
DORA nije prolazna obveza nego trajni okvir koji oblikuje kako financijske institucije upravljaju tehnološkim rizikom. Institucije koje na nju gledaju kao na priliku da urede svoje procese izlaze jače, a one koje je odgađaju riskiraju i regulatorne sankcije i stvarne incidente. Naš posao je da taj put učinimo jasnim i mjerljivim, od analize praznina do testiranja i trajnog održavanja okvira. Pogledajte našu GRC uslugu za potpunu sliku kako povezujemo upravljanje, rizik i usklađenost, a kad budete spremni za konkretan plan, dogovorite uvodni razgovor i zajedno ćemo odrediti opseg vašeg programa.