Az egyre fejlettebb kiberbiztonsági támadások közepette az Európai Unió egységes szabályozással igyekszik csökkenteni a kockázatokat. Az új EU-s szabályozások különböző területeket fednek le: a NIS2 a meghatározott kritikus ágazatokra, a Cyber Resilience Act a digitális elemekkel rendelkező termékekre, míg a DORA a pénzintézeti szektor szereplőire vonatkozik. Cikkünkben Nagy Gergely, az AAM Tanácsadó Zrt. információbiztonsági szolgáltatások üzletágának vezetője tisztázott néhány lényeges változást a DORA-val kapcsolatosan.
◼︎ Jön a közös EU-s szabályozás
A digitális működési rezilienciáról szóló rendelet (DORA) minden uniós tagállamban egységes követelményeket határoz meg a pénzügyi ágazatban működő vállalkozások és szervezetek, valamint a kritikus jelentőségű harmadik felek – például felhőplatform-, adatelemzési és egyéb IKT-szolgáltatók – hálózati és információs rendszereinek biztonságára. A rendelet szerint minden vállalkozásnak gondoskodnia kell arról, hogy az IKT-hez kapcsolódó zavarok és fenyegetések valamennyi típusának ellen tudjon állni, képes legyen ezekre reagálni, és az okozott károkat is helyre tudja állítani. „Az egységes szabályozás nagy előrelépés, a kidolgozás alatt álló részletszabályozásokon viszont még sok minden múlhat, egy biztos, hogy a 2024-es év mindenképpen érdekes lesz”, mondta Nagy Gergely.
Eddig sem volt szabályozatlan a terület
A pénzintézeti szektor védelmére jellemzően eddig is komoly figyelmet fordítottak a tagállamok. Mind a követelményekben, mind pedig az audit gyakorlatban azonban eltérőek a megközelítéseik. Magyarországon biztonsági hiányosságok estén a pénzintézeti szektorban gyakoriak a felügyeleti bírságok, míg Bulgáriában elsősorban csak felszólítással él a felügyeleti szerv.
Az AAM Tanácsadó Zrt. 2023 szeptemberében készített egy tanulmányt a DORA, a végrehajtási szabályai, valamint a jelenleg hatályos magyar, német, illetve bolgár pénzintézeti szabályozások összehasonlításával. A hazai MNB-ajánlásokban már jelenleg is igen részletes követelmények szerepelnek. A németországi pénzintézeti felügyeleti szerv (BaFin) által kiadott szabályozás hasonlít a magyarországi MNB-ajánlásokhoz, általánosságban azonban elmondható, hogy többet hagy meg az adott szervezet hatáskörében, például az ellenőrzéseket, a kockázatelemzések gyakoriságának meghatározását. Bulgáriában nem készült a pénzintézetekre ágazati szintű szabályozás, helyette a felsőszintű nemzeti kiberbiztonsági törvényt, valamint az EBA ajánlásait használják.
Rendszerszinten kezelt kockázatok
A kiforrott kontrollterületeken (például a felhasználói jogosultságok kezelésében) a DORA nem hoz nagy újdonságot. Lesznek viszont olyan DORA-követelmények és végrehajtási szabályok, amelyek még az eddig kifejezetten részletes követelményeket teljesítő magyarországi intézmények részére is szigorítást jelentenek. Átfogó informatikai kockázatelemzést Magyarországon például eddig két évente kellett végeznie a pénzintézeti szervezeteknek, ezután viszont évente kell. A szabályozás technikai sztenderd javaslata a kritikus rendszerekre heti rendszerességű sérülékenység-vizsgálatot ír elő, a korábbi, negyedéves gyakorlattal szemben, a nagyobb szervezetek részére bevezetésre kerülő „fenyegetettségi szempontú behatolási tesztelés” pedig új követelmény.
A harmadik felekhez, beszállítókhoz kapcsolódó kockázatok kezelésére, biztonsági incidensekre történő reagálásra, az azokkal kapcsolatos információk megosztására nagy hangsúlyt fektet DORA: a kockázatokat nemcsak intézményenként elkülönítetten, hanem rendszerszinten, az egész pénzintézeti ökoszisztémára vonatkozóan kívánja kezelni az EU.
