Három évnyi előkészület után lassan célegyenesbe ér a digitális működés ellenállóképességének szabályozása, a Digital Operational Resilience Act, röviden a DORA. A banki ügyfeleknek nincs dolga ezzel, de a pénzügyi szolgáltatók nem érnek rá 2025-ig – az érvénybe lépés tervezett időpontjáig – várni, mert addig még sok tennivaló van hátra.
◼︎ Digitális Európa sorozat – 2. rész
A DORA létrehozását az indokolja, hogy jelenleg is több iparági szabályozás van hatályban, amelyek mind a pénzügyi, mind a tágabban vett pénzügyi szektort lefedik, például a tőkemegfelelési és egyéb szempontok. De az, hogy milyen információtechnológiai biztonsági előírásoknak kellene megfelelni, egységes formában eddig nem volt. Országonként nagyon eltérő az a szint, amelynek meg kell felelni az adott pénzügyi intézményeknek. Különböző szabályzásokról van tehát szó, ami azt jelenti, hogy országon belül, és az EU-n belül is még nagyobbak az eltérések aközött, hogy a szolgáltatók milyen technológiai biztonsági szintet tartanak. A gyakorlat egyre erősebb késztetést jelentett az egységes szabályozásra.
Három évvel ezelőtt, 2020 szeptemberében jelentette meg az Európai Bizottság a DORA első változatát a digitális pénzügyi csomag (DFP) részeként. Az Európai Parlament 2022 novemberében el is fogadta a DORA-t. 2025 januárjáig tart az a türelmi időszak, ameddig a szabályzat hatálya alá tartozó vállalkozásoknak, intézményeknek meg kell felelniük az előírásoknak. A részletszabályokat egyébként még további jogforrásokkal fogják biztosítani, nemzeti és uniós szinten egyaránt, és ezek fogják összességében biztosítani, hogy egységes minimum standardoknak feleljenek meg a szolgáltatók.
Figyeljen a kriptopiac – és a beszállítók
A DORA hatálya kiterjed a bankokra, alapkezelőkre, biztosítókra, de benne vannak a kriptoszolgáltatók is (például kriptotőzsdék), sőt ezek IKT-alvállalkozóira is: nekik is meg kell felelniük a standardoknak. „Az egyelőre még kérdés, hogy a láncolat meddig terjed, tehát az alvállalkozó alvállalkozójának is meg kell-e felelnie. Nyilvánvaló, hogy minél tovább biztosítjuk a láncolatot, annál nagyobb biztonságot jelent, mert a leggyengébb láncszem, még ha a sor végén is van, az egész sor biztonságát veszélyeztetheti”, mondta el kérdésünkre Dr. Havas-Sághy Gábor IT-szakjogász.
A jogszabály jelentőségét jelzi, hogy a nagy tanácsadó cégek – PWC, EY, Deloitte – mind követik az ezzel kapcsolatos fejleményeket, és folyamatosan tájékoztatják ügyfeleiket és a tágabb közönséget az új fejleményekről. Az EY szerint „egyvalami biztosan látszik, ha elolvassuk a DORA 64. cikkelyét, mégpedig az, hogy az Európai Felügyeleti Hatóságok (ESA-k) központi szerepet játszanak majd a szektor átfogó digitális ellenállóképességének kialakításában”.
A pénzügyi szektor egyre nagyobb mértékben függ az IKT-től és a digitális formában létrehozott információtól. A Covid-járvány miatti lezárások tovább gyorsították ezt a folyamatot, mivel az ügyfelek sokáig nem is tudták másképp intézni a pénzügyeiket. Ezzel párhuzamosan a biztonsági kockázatok is egyre növekedtek. A pénzügyi cégek szigorúbb ellenőrzésekre számíthatnak az alábbi feladatok esetében:
– eljárásrendek kidolgozása,
– a kötelező informatikai biztonsági incidensek jelentéseinek megosztása,
– alapos üzletmenet-folyamatossági tervek (BCP-k) és katasztrófa-visszaállítási tervek (DRP-k) kidolgozása
– a kötelező éves ellenállóképességi tesztek elvégzése.
Mindez természetesen jelentős költségeket jelenthet, de az európai hatóságok ezzel tisztában vannak, folytatja az EY. A jogszabályok alkalmazása során figyelembe veszik a vállalat méretét, komplexitását és a szolgáltatásait. Hogy pontosan miképpen fog ez történni, azt a Deloitte ismerteti: „A szabályozás a tagállamok felügyeleti szerveiből létrehoz egy közös, EU-s szintű felügyeleti bizottságot, amelynek joga lesz kinevezni egy-egy tagállami hatóságot. A pénzügyi intézményeknek technológiai szolgáltatásokat nyújtó harmadik feleknek hozzáférést kell majd biztosítaniuk a tagállami hatóság számára a megfelelőségi vizsgálat elvégzéséhez szükséges információkhoz.”
Magyarországon is fokozódik a helyzet
Dr. Havas-Sághy Gábor szerint Magyarországon lesznek szúrópróba-szerű ellenőrzések és iparági szintű átfogó ellenőrzés egyaránt. Biztosan lesz technológiai, tehát nem humánerőforrást igénylő ellenőrzés is. Eddig sem volt elég IT-biztonsági területen dolgozó szakember, ezután még kevésbé lesz. Feltételezhető, hogy nagyobb bírsággal lehet motiválni az iparági szereplőket, hogy mindenképpen feleljenek meg ezeknek az előírásoknak. De az biztos, hogy nehéz lesz átfogó ellenőrzéseket végezni, miközben a technológiai fejlesztések – a jelenlegi chip- és szakemberhiány következtében – súlyos terhet rónak az érintett vállalkozásokra. Magyarországon a szolgáltatók nagy része az MNB hatálya alá tartozik, és feltehetően a továbbiakban is az MNB fog eljárni ezekben a kérdésekben.
Mind a pénzintézetek, mind pedig a technológiai cégek az elmúlt években felkészültek a támadásokra. De valójában akármekkora összeget is költöttek, az nem áll arányban a fenyegető szereplők fokozott figyelmével arányosan növekvő technológiai fejlődéssel a támadói oldalon. „Egyre több bűnöző jött rá arra, hogy mennyivel kifizetődőbbek a technológiai bűncselekmények a hagyományosoknál. Több olyan, targetált, specifikus támadást hajtottak végre, amelyek ellen a legtöbb (pénzügyi) intézmény nem, vagy nem megfelelően tudott védekezni. Úgy is mondhatjuk, hogy amennyit a felkészülés jegyében költöttek megelőzésre, még mindig nagyságrendekkel kevesebb, mint az okozott, vagy a potenciálisan okozható veszteség. Tehát magasabbra kell emelni a lécet”, hangsúlyozza Dr. Havas-Sághy Gábor.
