Valmistaudu DORA-asetuksen vaatimuksiin

DORA:n tarkoituksena on luoda yhteinen ja kattava finanssialan ICT-riskienhallintasäännöstö ja yhdenmukaistaa eri EU:n jäsenvaltioissa jo olemassa olevia ICT-riskienhallintaan liittyviä toimintatapoja. Asetus on askel kohti finanssialan digitaalisen häiriönsietokyvyn parantamista ja toiminnan jatkuvuuden turvaamista myös vakavien toimintahäiriöiden varalta. Asetuksen avulla pyritään varmistamaan, että finanssipalvelut ovat asiakkaiden käytettävissä myös vakavien tieto- ja viestintätekniikkaan liittyvien häiriöiden sattuessa.

DORA:n tavoitteena on varmistaa, että finanssialan yrityksillä on olemassa riittävät prosessit, järjestelmät ja valvontatoimet, joiden avulla ne pystyvät hallitsemaan ICT-järjestelmiin liittyviä riskejä ja toimintahäiriöitä. Yrityksillä tulee olla käytössä tehokkaat riskienhallintajärjestelmät ICT-järjestelmiin liittyvien riskien tunnistamiseksi ja hallitsemiseksi. Tämä edellyttää myös sitä, että yrityksillä on olemassa sisäiset prosessit järjestelmien poikkeamiin ja häiriötilanteisiin reagoimiseksi. Yritysten on toimittava ennakoivasti ICT-riskienhallinnassa ja niillä on oltava prosessi, jonka avulla ne myös voivat raportoida ICT-järjestelmiin liittyvistä häiriöistä, kuten esimerkiksi palvelunestohyökkäyksistä, valvovalle viranomaiselle. Yritysten on myös testattava operatiivista häiriönsietokykyään säännöllisin tietoturvatestauksin. Asetus myös mahdollistaa kyberuhkia koskevan tietojen vaihdon yritysten ja viranomaisten välillä. Samalla yritysten tulee ottaa käyttöön prosesseja, joilla pystytään reagoimaan viranomaisilta saatavaan uhkatietoon. Asetuksen soveltamisalaan kuuluvat myös ne palveluntarjoajat, jotka tarjoavat finanssisalan yrityksille ICT-palveluja, ja siksi finanssialan yritysten tulee myös säännöllisesti arvioida ja hallinnoida ICT-palveluntarjoajiin liittyviä riskejä.

DORA:n vaatimusten täyttämiseksi yritysten on koulutettava henkilöstönsä, luotava ja suunniteltava uusia toimintatapoja sekä testattava valmiuttaan sietää ICT-järjestelmien häiriötilanteita. Yritysten tietoturvajärjestelmät tulee tarvittaessa päivittää vastaamaan DORA:n vaatimuksia sekä samalla arvioida ICT-ulkoistussopimusten ja tietosuojaperiaatteiden ajantasaisuus.

Pohditko miten päästä alkuun? Voit esimerkiksi aloittaa seuraavilla toimenpiteillä:

1. Kokoa asiantuntijat:
   Ota mukaan IT-, tietoturva-, ja compliance-henkilöstö.

2. Tunnista prioriteetit:
   Tunnista olennaiset toiminnot ja niitä tukevat ICT-järjestelmät.

3. Suorita GAP-analyysi:
   Arvioi olemassa olevien prosessien vaatimustenmukaisuus ja tunnista tarvittavat toimenpiteet.

4. Tunnista ICT-palveluntarjoajat ja heidän kanssaan solmitut sopimukset:
   Vaativatko sopimukset päivittämistä?

5. Luo strategia:
   Laadi perusteellinen asetuksen vaatimusten implementointisuunnitelma.