DORA megfelelőség
Segítünk pénzügyi szolgáltatóknak és IKT-beszállítóiknak megfelelni a DORA-nak, vagyis a pénzügyi ágazat digitális működési rezilienciájáról szóló (EU) 2022/2554 rendeletnek: felállítjuk az információs nyilvántartást (register of information), kiépítjük az incidens-osztályozást és a jelentési eljárást, összeállítjuk a tesztprogramot, és dokumentált exit-stratégiát készítünk a kritikus szolgáltatókhoz.
A rendelet 2025. január 17. óta közvetlenül alkalmazandó, nincs hozzá külön magyar törvény, a felügyeletet az MNB látja el. A követelményrendszer azóta teljes egészében él.
- 4 óra a kezdeti jelentésig a jelentősnek minősítéstől (az észleléstől legfeljebb 24 óra)
- 5 pillér, a kockázatkezeléstől az információmegosztásig
- 3 évente TLPT a felügyelet által kijelölt entitásoknál
Pénzügyi entitásoknak és a beszállítóiknak
Pénzügyi entitások
Hitelintézetek, pénzforgalmi és e-pénz intézmények, befektetési vállalkozások, alapkezelők, biztosítók és biztosításközvetítők, kriptoeszköz-szolgáltatók. A mikrovállalkozásokra arányosan enyhébb követelmények vonatkoznak, de az alap ICT-kockázatkezelés, az incidensjelentés és a nyilvántartás rájuk is érvényes.
IKT-beszállítók
Felhő-, szoftver-, adatközponti és üzemeltetési szolgáltatók pénzügyi ügyféllel. Rájuk a szerződésen keresztül hat a DORA: audit-jog, szolgáltatási szintek, incidens-értesítés, alvállalkozói lánc, kilépési feltételek, és adatszolgáltatás az ügyfél nyilvántartásához.
Az öt pillér, gyakorlati feladatokra bontva
| Pillér | Amit a rendelet kér | Amiben segítünk |
|---|---|---|
| ICT-kockázatkezelés | Irányítás és vezetői felelősség, eszközleltár, védelmi és észlelési kontrollok, folytonossági és helyreállítási terv | Hiányelemzés, keretrendszer és szabályzatok, RTO és RPO a kritikus funkciókra |
| Incidenskezelés és -jelentés | Egységes osztályozás; jelentős incidensnél kezdeti jelentés a besorolástól 4 órán (az észleléstől legfeljebb 24 órán) belül, köztes jelentés az után 72 órán, záró jelentés a köztes után 1 hónapon belül | Osztályozási kritériumok, eszkaláció, jelentés-sablonok, gyakorlat |
| Reziliencia-tesztelés | Rendszeres, a kockázattal arányos tesztprogram mindenkinek; TLPT a kijelölt jelentős entitásoknak, legalább háromévente | Éves tesztterv, alap tesztek, TLPT-felkészülés |
| ICT-harmadik fél kockázat | Információs nyilvántartás (28. cikk), szerződéses minimumok, exit-stratégia a kritikus vagy fontos funkciókhoz | Nyilvántartás felállítása, szerződések műszaki felülvizsgálata, exit-terv |
| Információmegosztás | Fenyegetési és sebezhetőségi információk önkéntes megosztása a szektoron belül | Belső eljárás arra, mit osztotok meg és hogyan fogadjátok |
Register of information: itt akad el a legtöbb projekt
A 28. cikk szerinti nyilvántartás nem egyszerű szállítói lista, hanem összekapcsolt táblák halmaza az (EU) 2024/2956 végrehajtási rendelet sablonjai (B_01.01-től) szerint, entitás, részkonszolidált és konszolidált szinten. Évente és a felügyelet kérésére be kell küldeni az MNB-nek, gépi formátumban.
- Azonosítók: minden ICT-szolgáltatóhoz LEI, EU-ban letelepedett szolgáltatónál LEI vagy EUID. Gyakran hiányzik, és a beszerzése időbe telik.
- Kulcsmezők: a szerződés-azonosítónak minden táblában egyeznie kell, különben a validáció elbukik.
- Funkciók: melyik szerződés támogat kritikus vagy fontos funkciót; ez vezérli a szigorúbb elvárásokat.
- Ellátási lánc: a szolgáltatók alvállalkozói is bekerülnek.
Megszervezzük az adatgyűjtést (szerződések, azonosítók, funkciók), és néhány tucat szerződés felett segítünk strukturált, validálható formára váltani, hogy a beküldés export legyen, ne újragépelés.
A kritikus vagy fontos funkciót támogató szolgáltatásokhoz dokumentált exit-stratégia is kell: triggerek, célforgatókönyv, adathordozhatóság, átállási terv és időszakos teszt. A kilépési feltételek a nyilvántartásba is bekerülnek.
- DORA információs nyilvántartás — a register of information sablonA DORA register of information a 28. cikk szerinti kötelező ICT-szerződés-nyilvántartás: RT-táblák, LEI, kritikusság. Így töltsd ki és küldd be az MNB-nek.Megnézem
- Felhő exit-stratégia — kilépési terv lock-in nélkülA felhő exit-stratégia egy tesztelt terv arra, hogyan költözöl ki a szolgáltatótól leállás és adatvesztés nélkül. Triggerek, egress, DORA — és mit írj bele.Megnézem
Tesztprogram mindenkinek, TLPT a kijelölteknek
Minden pénzügyi entitásnak kell rendszeres, dokumentált, a kockázattal arányos tesztprogram: sebezhetőség-vizsgálat, hálózati szkennelés, forgatókönyv- és helyreállítási tesztek. Ezt a méretetekhez igazítva állítjuk össze, és beépítjük az üzemeltetés rendjébe.
A fenyegetés-vezérelt behatolásteszt (TLPT) csak a felügyelet által kijelölt jelentős entitásokra kötelező, legalább háromévente, a TIBER-EU keret szerint. Az aktív red team szakasz legalább 12 hét, a teljes ciklus jellemzően fél év vagy több. A támadást független red team végzi; mi a felkészülésben dolgozunk: a kritikus funkciók és a hozzájuk tartozó harmadik felek rendszerezése, az észlelési és reagálási képesség kiépítése, a feltárt hiányok javítása.
Milyen sorrendben érdemes haladni?
Egy közepes entitásnál a DORA-útmutató szerint jellemzően 4–9 hónap; a pontos ütemet a kiindulási érettség adja.
- Hiányelemzés az öt pilléren
Mi van már meg (például egy működő ISO 27001 rendszerből), és mi hiányzik.
- Irányítás és nyilvántartás
Felelősségek, keretrendszer és a register of information: erre épül minden más.
- Incidens-folyamat
Osztályozás, eszkaláció, jelentés-sablonok az MNB felé. Ha a NIS2 is érint, egy közös eljárásban.
- Tesztprogram
Éves terv és alap tesztek; ha a felügyelet kijelölt, a TLPT előkészítése.
- Szerződések és exit
A kritikus szolgáltatók szerződései a DORA-minimumok szerint, és a kilépési tervek.
- DORA megfelelőségMi az a DORA? Az EU 2022/2554 rendelete, 2025. január 17. óta kötelező a pénzügyi szektorban, MNB-felügyelettel. DORA-megfelelőség 5 pillérben, roadmappel.Megnézem
- Pénzügyi szolgáltatóknak (DORA)DORA-megfelelés pénzügyi szolgáltatóknak és biztosítóknak: IKT-kockázatkezelés, információs nyilvántartás, incidensjelentés az MNB felé. Kérj felmérést.Megnézem
Gyakori kérdések a DORA-ról
Kis pénzügyi vállalkozásként is vonatkozik ránk a DORA?
Igen, de arányosan: a mikrovállalkozásokra enyhébb tesztelési és dokumentációs elvárások vonatkoznak. Az alap ICT-kockázatkezelés, az incidensjelentés és az információs nyilvántartás vezetése alól ez nem mentesít.
IKT-szolgáltató vagyunk pénzügyi ügyféllel. Mit kell tennünk?
A rendelet közvetlenül az ügyfeletekre vonatkozik, de ő szerződésben fogja kérni a DORA-minimumokat: audit-jogot, szolgáltatási szinteket, incidens-értesítést, alvállalkozói átláthatóságot és kilépési feltételeket, valamint adatot a nyilvántartásához. Ezt érdemes egy előre összerakott szolgáltatói csomagban kezelni.
Elég az ISO 27001 a DORA-hoz?
Jó alap, de önmagában nem elég. Az ISO 27001 lefedi az ICT-kockázatkezelés és a kontrollok jelentős részét; a tesztprogramot, a nyilvántartást, a szerződéses minimumokat, az exit-stratégiát és a hatósági incidensjelentést külön kell rárakni.
Mikor kell jelenteni egy jelentős ICT-incidenst?
A kezdeti értesítést a jelentősnek minősítéstől számított 4 órán belül, de legkésőbb az észleléstől számított 24 órán belül kell megküldeni az MNB-nek. A köztes jelentés a kezdeti után 72 órán, a záró jelentés a köztes után 1 hónapon belül esedékes; a határidőket az (EU) 2025/301 felhatalmazáson alapuló rendelet rögzíti.
Ti végzitek a TLPT-t is?
A TLPT támadó (red team) részét független, erre felkészült tesztelők végzik a TIBER-EU keret szerint. Mi a felkészülésben, a hatókör és a kritikus funkciók rendezésében, az észlelési és reagálási képesség kiépítésében és a javításokban segítünk.
Nézzük meg, hol tart a DORA-megfelelésetek
Írd le röviden, pénzügyi entitás vagytok, vagy IKT-szolgáltató pénzügyi ügyféllel, és hol akadtatok el: nyilvántartás, incidens, tesztelés vagy szerződések. Munkanapokon 24 órán belül válaszolunk.