Január közepétől már élesben kell alkalmazni a pénzügyi szektor szereplőire vonatkozó EU-rendeletet, a DORA-t. A végső határidő lejárta azonban nem jelenti azt, hogy az érintettek hátradőlhetnének.
◼︎ Élesedett a DORA
Két éve lépett hatályba, és idén január 17-től kötelezően alkalmazandó a hazai pénzügyi szektor szereplői számára a DORA-rendelet (Digital Operational Resilience Act). A rendelet elsődleges célja, hogy a pénzügyi szervezetek jobban kezeljék a működési kockázatokat, és zavar esetén is biztosítva legyen a folyamatos működés. Ennek része az informatikai biztonságról való gondoskodás is, de a hangsúly a jogszabály nevében is szereplő rezilienciára tevődött át, amely sokkal inkább a rugalmas ellenálló- és alkalmazkodóképességet takarja.
Egységben az erő
„A DORA jelentősége abban rejlik, hogy a teljes Európai Unión belül egységes követelményrendszert teremt a pénzügyi ágazat számára. A DORA egyik fő célja volt, hogy a töredezett szabályozási környezetet egységesítse amellett, hogy a teljes pénzügyi szektor digitális működési ellenálló képességét javítja”, mondta el kérdésünkre Ragó István, a Magyar Bankszövetség kiber- és IT-biztonsági munkacsoportjának elnöke.
Magyarországon az egységes követelményrendszer nem számít újdonságnak, hiszen a Magyar Nemzeti Bank (MNB), illetve korábban a Pénzügyi Szervezetek Állami Felügyelete már kialakította az egységes informatikai követelményeket. Számos európai uniós országban azonban jelentősen eltértek például a bankokra, biztosítókra vagy pénztárakra vonatkozó követelmények és az egyes országok informatikai felügyeleti gyakorlatai közt is komoly különbségek mutatkoztak.
Bár a DORA kapcsán legtöbbször a bankokat emlegetik, hatálya minden pénzügyi szolgáltatókra kiterjed, köztük biztosítókra, befektetési vállalkozásokra vagy akár kriptovaluta-szolgáltatókra.
Szigorúbb szabályok
A magyar pénzügyi szektor informatikai szabályozása alapvetően már a DORA előtt is elég szigorú volt, azonban a DORA hozott néhány új elemet, és magasabb szintre emelte a meglévő elvárásokat, kezdi az újdonságok ismertetését Ragó István. A bankok számára nem volt újdonság az incidensekkel kapcsolatos bejelentési kötelezettség, vagy a kiszervezések nyilvántartása és bejelentése, azonban a DORA és a hozzá kapcsolódó felhatalmazáson alapuló rendeletek a korábbiaknál sokkal részletesebb nyilvántartási és jelentési kötelezettségeket írnak elő.
Ezek a kötelezettségek okoztak is némi nehézséget az érintettek számára. A korábbinál sokkal részletesebb adattartalmat kell szolgáltatniuk a pénzügyi intézményeknek, és az adatszolgáltatás formai követelményei is rendkívül szigorúak lettek. A 2024 nyarán tartott összeurópai tesztüzemben 1039 intézmény, köztük jó néhány magyar is részt vett, de a beküldött jelentések 3447 intézmény konszolidált adatait tartalmazták. A jelentésekből 947 ment át a formai ellenőrzéseken, de ezeknek csak 6,5 százaléka felelt meg adatminőségi szempontból az Európai Felügyeleti Hatóságok közös jelentése szerint.
| Hárman egy célért
A DORA két másik fontos szabályozással, a NIS2 irányelvvel és a kritikus infrastruktúrákra vonatkozó CER (Critical Entities Resilience) irányelvvel egy időben jelent meg. Amíg a két irányelvet a tagországoknak át kellett ültetnie a saját jogrendjükbe, addig a DORA (a GDPR-hoz hasonlóan) direkt hatályú, azaz közvetlenül alkalmazandó rendelet. Érdemes megemlíteni, hogy a DORA, a NIS2 és a CER „együtt mozognak”: a DORA a NIS2 lex specialisa, pénzintézeti szektorra vonatkozó változata. Mivel a NIS2 és a CER irányelvek magyar átültetése még folyamatban van (lásd cikkünket a 12. oldalon), elképzelhető, hogy ezek visszahatnak a DORA alkalmazásának gyakorlatára, vagy éppen fordítva, a NIS2 átültetéshez merít a jogalkotó további ötleteket a DORA-ból. A tágabb EU-s kiberbiztonsági szabályozói környezet is folyamatos mozgásban van, amit szintén érdemes figyelemmel kísérni. |
A DORA egyik lényeges újdonsága, hogy kiterjeszti a pénzügyi felügyeletek hatáskörét az úgynevezett kritikus harmadik fél IKT-szolgáltatókra, például a nagy felhőszolgáltatókra. „Ezek működése kritikus a pénzügyi szektor szempontjából, mivel nagyon sok pénzügyi intézmény veszi igénybe a szolgáltatásaikat. Ezek a szolgáltatók a DORA révén együttes felvigyázás alá kerülnek, azaz az európai felügyeleti hatóságok közösen fogják őket ellenőrizni. Ez a szorosabb ellenőrzés adta nagyobb biztonság mellett olyan előnnyel is jár, hogy a kisebb bankok és más intézmények előnyösebb alkupozícióba kerülnek, ha arról van szó, hogy érvényesíteni kell a pénzügyi szektorra vonatkozó jogszabályi követelményeket a kiszervezési szerződésekben”, említ egy fontos aspektust Ragó István.
Szintén jelentős szigorítás a korábbi elvárásokhoz képest, hogy évente kell informatikai kockázatelemzést végezni. Hasonlóan teljesen új követelmény a fenyegetés alapú behatolási tesztekre (TLPT – threat-led penetration test-ekre) vonatkozó előírás is, amely elsősorban a nagyobb intézményeket érinti.
Nincs vége a munkának
Bár a DORA esetében nem kellett magyar jogszabályokra várni, és a rendelet szövege 2022. december 27. óta elérhető, a felkészülés során mindvégig kihívást jelentett, hogy a részletszabályokat tartalmazó technikai standardok (RTS – Regulatory Technical Standardek) és végrehajtás-technikai standardok (ITS – Implementing Technical Standardek) csak a következő két év során készültek el. Ráadásul elfogadásuk és hivatalos közzétételük még a várakozásokhoz képest is késve történt meg, vagy még mindig várat magára. Így például a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások alvállalkozásba adására vonatkozó követelményeket taglaló RTS elfogadását az Európai Bizottság 2025. január 21-ei (!) levelében visszautasította, említ egy extrém példát Ragó István.
A bankok számára ugyanakkor könnyebbséget jelentett, hogy a DORA ténylegesen egyforma követelményeket támaszt minden EU tagországban, ezért a nemzetközi bankok és pénzügyi csoportok legalább részben központosítani tudták a szükséges fejlesztéseket.
Noha a rendelet már alkalmazandó, az érintetteknek még vannak feladataik. „Azon DORA-követelmények esetében, ahol még nem érhető el a végleges rendelet szövege, a korábban az európai hatóságok által közzétett, részükről véglegesnek tekintett tervezetek szövegével kezdtek el dolgozni az érintettek, hogy a 2025. január 17-ei határidőt be tudják tartani”, teszi hozzá Ragó István.
Várható, hogy a jelenleg még hiányzó részletszabályok hivatalos formában is megjelennek hamarosan, utána pedig számon kérhetővé és ellenőrizhetővé válnak. Az adatszolgáltatások is kiforrottabbá válnak, a felügyeleti hatóságok részéről pedig további segédanyagok publikálása várható. Nagyon valószínű az is, hogy az MNB frissíteni fogja az informatikai ajánlásait, tehát a megfeleléssel kapcsolatos feladatok még korántsem értek véget, mondja végül a Magyar Bankszövetség munkacsoportjának elnöke.
