Pénzügyi szolgáltatóknak (DORA)
Kis- és középméretű pénzügyi szolgáltatóknak segítünk az IKT-kockázatkezelésben és a DORA-megfelelésben: nyilvántartás a harmadik felekről, incidens-osztályozás és jelentés az MNB felé, tesztprogram, exit-stratégia és a szerződések műszaki felülvizsgálata. Pénzforgalmi és e-pénz intézményeknek, befektetési vállalkozásoknak, alapkezelőknek, biztosítóknak, és a pénzügyi ügyfelekkel dolgozó IKT-szolgáltatóknak.
Csapatunk 25+ éve dolgozik banki és nagyvállalati IT-környezetekben. Onnan hozzuk a fegyelmet: a dokumentált incidenskezelést, a jegyzőkönyvezett helyreállítási tesztet, az auditálható változáskezelést, a kisebb intézmények méretére igazítva.
- 25+ év banki és nagyvállalati IT-tapasztalat
- 2025. 01. 17. óta közvetlenül alkalmazandó a DORA
- MNB a felügyeleti hatóság Magyarországon
Négy helyzet, amelyben segítünk
Az IKT-t külső szolgáltatók viszik
A központi rendszer, a felhő és az üzemeltetés partnernél van, a DORA-felelősség viszont nálatok marad. Ilyenkor a nyilvántartás, a szerződéses minimumok és az exit-tervek adják a munka nagyát.
Van ISO 27001 vagy belső szabályzat
A kockázatkezelés alapjai megvannak; a tesztprogram, a nyilvántartás, a hatósági incidensjelentés és az exit-stratégia hiányzik vagy hiányos.
Csoporton belüli szolgáltatások
Az anyavállalat vagy egy csoporttag nyújtja az IKT-szolgáltatást. A nyilvántartásban ezt is rögzíteni kell, entitás, részkonszolidált és konszolidált szinten.
IKT-szolgáltató pénzügyi ügyféllel
A bank vagy a biztosító DORA-minimumokat ír a szerződésbe, és adatot kér a nyilvántartásához. Egy előre összerakott szolgáltatói csomaggal nem kell minden ügyfélnél elölről kezdeni.
Amit a banki környezetből hozunk
Incidenskezelési reflex
Súlyossági osztályozás, eszkaláció és ügyelet, amelyben mindenki tudja, ki dönt. A DORA kezdeti jelentésének határideje a jelentősnek minősítéstől 4 óra: ez csak előre rögzített eljárással tartható.
Tesztelt helyreállítás
RTO és RPO a kritikus funkciókra üzleti hatáselemzésből, és rendszeres, jegyzőkönyvezett visszaállítási teszt.
Auditálható változáskezelés
Dokumentált változások, jóváhagyás és visszakereshető napló, hogy a felügyeleti vagy a belső audit kérdéseire bizonyítékkal lehessen válaszolni.
Architektúra és függőségek
Az IKT-szolgáltatók, alkalmazások és üzleti funkciók térképe, amelyből a nyilvántartás és a koncentrációs kockázat is levezethető. Ehhez az Enterprise Architecture módszertanunkat használjuk.
Mi marad nálatok a munka végén?
A pillérenkénti részleteket a DORA megfelelőség oldal írja le. Itt az számít, mit tartotok a kezetekben, amikor az MNB vagy a belső audit kérdez.
| Terület | Amit a végén a kezetekben tartotok |
|---|---|
| IKT-kockázatkezelés | Jóváhagyott keretrendszer, eszköz- és szolgáltatásleltár, RTO és RPO a kritikus funkciókra |
| Harmadik felek | Validált információs nyilvántartás, szerződés-felülvizsgálati lista, exit-terv a kritikus szolgáltatókhoz |
| Incidensek | Osztályozási kritériumok, eszkalációs lánc, jelentés-sablonok az MNB felé, a gyakorlat jegyzőkönyve |
| Tesztelés | Éves tesztterv, az elvégzett alap tesztek eredménye, javítási terv |
| Irányítás | Vezetői jóváhagyások, felelősségi mátrix, a felülvizsgálatok rendje |
Ha a csoportot a NIS2 is érinti
A pénzügyi entitás IKT-kockázatkezelésére a DORA a különös szabály (lex specialis), a felügyelet az MNB. Ha a csoport más tevékenysége NIS2 alá esik, a két incidens-folyamatot és a közös kontrollokat egy rendszerben kezeljük, egy bizonyíték-tárral.
- DORA megfelelőségMi az a DORA? Az EU 2022/2554 rendelete, 2025. január 17. óta kötelező a pénzügyi szektorban, MNB-felügyelettel. DORA-megfelelőség 5 pillérben, roadmappel.Megnézem
- DORA TLPT — fenyegetés-vezérelt behatolástesztA DORA TLPT red team támadás élő rendszereken, a TIBER-EU szerint, a kijelölt pénzügyi cégeknél legalább 3 évente. Kire kötelező, miben más, mint a pentest?Megnézem
- NIS2 + DORA + ISO 27001 — hogyan illeszkedik?NIS2, DORA vagy ISO 27001: melyik vonatkozik rád, és hol fedik egymást? Átfedés-térkép és egységes ISMS a párhuzamos megfeleléshez, háromszoros munka nélkül.Megnézem
Gyakori kérdések pénzügyi szolgáltatóktól
Mennyire vonatkozik a DORA egy kisebb pénzügyi szolgáltatóra?
A rendelet a pénzügyi entitások széles körére vonatkozik, méretkorláttól nagyrészt függetlenül, de arányosan: a mikrovállalkozásokra enyhébb követelmények vonatkoznak, egyes kisebb entitásokra pedig egyszerűsített ICT-kockázatkezelési keret. Az incidensjelentés és az információs nyilvántartás így is kötelező.
Pénzügyi tanácsadó cég, biztosításközvetítő vagy könyvelőiroda vagyunk. Ránk is vonatkozik a DORA?
Az engedélyeteken múlik. A DORA a rendeletben felsorolt pénzügyi entitásokra vonatkozik, például a bankokra, a pénzforgalmi és e-pénz intézményekre, a befektetési vállalkozásokra és a biztosítókra. A mikro-, kis- és középvállalkozásnak minősülő biztosításközvetítőket a rendelet kiveszi a hatálya alól, a könyvelőiroda pedig nem pénzügyi entitás. Pénzügyi tanácsadónál az számít, milyen engedéllyel végzi a tevékenységét; a besorolást ez alapján, írásban rögzítjük.
Kell TLPT-t végeznünk?
Csak akkor, ha a felügyelet jelentős entitásként kijelöl; ők legalább háromévente, a TIBER-EU keret szerint teszteltetnek. A többieknek a rendszeres, a kockázattal arányos alap tesztprogram az elvárás.
Kinek jelentjük a jelentős ICT-incidenst?
Az MNB-nek mint illetékes felügyeletnek. A kezdeti értesítés a jelentősnek minősítéstől 4 órán belül, de legkésőbb az észleléstől 24 órán belül esedékes, ezt követi a köztes és a záró jelentés.
Milyen banki tapasztalatra építetek?
A csapatunk 25+ éve dolgozik banki és nagyvállalati IT-környezetekben, rendszerintegráció, infrastruktúra, üzemeltetés és vállalati architektúra területén. Hogy ebből mi számít a ti esetetekben, azt egy első beszélgetésen, a rendszereitek és a szolgáltatóitok ismeretében tudjuk megmutatni.
IKT-szolgáltatóként mit kell adnunk a pénzügyi ügyfelünknek?
Adatot a nyilvántartásához (jogi azonosító: LEI vagy EUID, a szolgáltatás, az adatkezelés helye, az alvállalkozók), a szerződésben pedig a DORA-minimumokat: szolgáltatási szinteket, audit-jogot, incidens-értesítést és kilépési feltételeket. Ha kritikus vagy fontos funkciót támogattok, az elvárások szigorúbbak.
Nézzük meg, hol tart az intézményetek
Írd le, milyen engedéllyel működtök, kik az IKT-szolgáltatóitok, és melyik terület sürget. Ebből megmondjuk, mi az első lépés. Munkanapokon 24 órán belül válaszolunk.