- A DORA (EU 2022/2554 rendelet) 2025. január 17. óta közvetlenül alkalmazandó — nincs külön nemzeti átültetés.
- Öt pilléren áll: ICT-kockázatkezelés, incidens-jelentés, reziliencia-tesztelés, ICT-harmadik fél kockázat, információmegosztás.
- Magyarországon a felügyelet a Magyar Nemzeti Bank (MNB); a mikrovállalkozásokra arányosan enyhített követelmények vonatkoznak.
- Jelentős incidensnél háromfázisú jelentés: kezdeti (a besorolástól 4 órán, de az észleléstől legkésőbb 24 órán belül), köztes (a kezdeti értesítéstől 72 órán belül), záró (a köztes jelentéstől 1 hónapon belül).
- A leggyakoribb hiánypont a reziliencia-tesztelés és az ICT-harmadik fél nyilvántartás naprakészen tartása.
01Mi a DORA röviden
A DORA (Digital Operational Resilience Act — az (EU) 2022/2554 rendelet) az EU egységes szabályozása a pénzügyi szektor digitális működési ellenállóképességéről. Mivel rendelet (nem irányelv), nincs külön nemzeti átültetés — 2025. január 17. óta közvetlenül alkalmazandó minden tagállamban.
A cél: a pénzügyi entitás egy súlyos IT-incidenst, kibertámadást vagy beszállítói kiesést is átvészeljen a működés folytonosságának megőrzésével. Nem önmagában a megelőzésről szól, hanem az ellenálló- és helyreállító-képességről — hogy ha baj van, a rendszer kibírja és gyorsan visszaáll.
A DORA nem a megelőzésről szól, hanem az ellenállóképességről — ha baj van, a rendszer kibírja és gyorsan visszaáll.
A megfelelés öt pilléren áll, amelyeket részletes technikai sztenderdek (RTS/ITS) bontanak ki. Az MNB mint felügyelet ezek mentén kéri majd számon a felkészültséget.
02Kit érint Magyarországon
A DORA a pénzügyi entitások széles körét érinti, méretarányos elvárásokkal:
- Hitelintézetek (bankok), pénzforgalmi és e-pénz intézmények
- Befektetési vállalkozások, alapkezelők, központi szerződő felek, kereskedési helyszínek
- Biztosítók és viszontbiztosítók, biztosításközvetítők
- Kriptoeszköz-szolgáltatók (MiCA szerint), tömegfinanszírozási szolgáltatók
- És közvetetten: ICT-harmadik fél szolgáltatók (felhő, szoftver, adatközpont, MSP) — a pénzügyi ügyfeleik szerződéses és átvilágítási követelményein keresztül
A mikrovállalkozásokra arányosan enyhített követelmények vonatkoznak (a 16. cikk szerinti egyszerűsített ICT-kockázatkezelési keret pedig egyes kisebb entitásokra, pl. a kis és nem összekapcsolt befektetési vállalkozásokra). Magyarországon a felügyeleti hatóság a Magyar Nemzeti Bank (MNB).
Gyakorlati következmény az IT-szolgáltatóknak: ha pénzügyi ügyfeled van, a DORA közvetve rád is vonatkozik — szerződéses minimumokkal, audit-joggal, incidens-értesítési kötelezettséggel. Érdemes előre elkészíteni egy „DORA-ready" szolgáltatói csomagot.
03Határidők
| Dátum | Mérföldkő |
|---|---|
| 2023.01.16 | DORA hatályba lépett (20 nappal a kihirdetés után) |
| 2024 folyamán | RTS/ITS technikai sztenderdek véglegesítése |
| 2025.01.17 | DORA alkalmazandóvá vált — a teljes követelményrendszer él |
| 2025–2026 | Register of information beadások, felügyeleti adatszolgáltatás, kritikus ICT-szolgáltatók kijelölése |
| 2026 folyamatos | MNB-felügyeleti gyakorlat felfutása, TLPT-ciklusok a nagy entitásoknál |
A DORA nem jövőbeli céldátum: 2025. január 17. óta a teljes követelményrendszer él. Aki még nem rakta le az 5 pillér minimumát, az már lemaradásban van — a felügyeleti adatszolgáltatás (pl. a register of information) konkrét, számonkérhető kötelezettség.
04Az 5 pillér
- ICT-kockázatkezelési keretrendszer — irányítás és vezetői felelősség, asset-leltár, védelmi és észlelési kontrollok, üzletmenet-folytonossági és helyreállítási tervek (RTO/RPO definiálva).
- ICT-incidensek kezelése, osztályozása és jelentése — egységes folyamat, súlyossági osztályozás, és kötelező jelentés a hatóság felé szigorú határidőkkel.
- Digitális működési reziliencia tesztelése — rendszeres tesztprogram (sebezhetőség-vizsgálat, szkennek, forgatókönyv-tesztek); a nagy, rendszerszinten fontos entitásoknál fenyegetés-vezérelt behatolásteszt (TLPT).
- ICT-harmadik fél kockázatkezelés — beszállítói nyilvántartás (register of information), szerződéses minimum-követelmények, kritikus ICT-szolgáltatók EU-szintű felügyelete.
- Információmegosztás — fenyegetettségi és sérülékenységi információk önkéntes megosztása a szektoron belül.
A pillérek nem egyforma terhelésűek: a tapasztalat szerint a reziliencia-tesztelés és az ICT-harmadik fél nyilvántartás a leggyakoribb hiánypont, míg az alap ICT-kockázatkezelés sok entitásnál (főleg ahol már van ISO 27001) részben megvan.
05Incidens-osztályozás és jelentési határidők
A „jelentős" (major) ICT-incidensekről háromfázisú jelentést kell adni a felügyeletnek. A határidőket a Bizottság (EU) 2025/301 felhatalmazáson alapuló rendelete (RTS) rögzíti:
- Észlelés+ osztályozás
- Kezdeti értesítés4 h / max. 24 h
- Köztes jelentés+72 h
- Záró jelentés+1 hónap
A gyakorlati következmény ugyanaz, mint a NIS2-nél: kell egy működő, dokumentált incidens-eljárás, súlyossági osztályozási kritériumokkal és előre kitöltött jelentés-sablonnal — mert élesben nincs idő vitatkozni azon, hogy „jelentős-e".
06ICT-harmadik fél kockázat
A DORA egyik leghangsúlyosabb újdonsága az ICT-beszállítói lánc szabályozása:
- Register of information: a pénzügyi entitásnak teljes, strukturált nyilvántartást kell vezetnie minden ICT-szolgáltatójáról és a hozzájuk kapcsolódó funkciókról — ezt a felügyelet rendszeresen bekéri.
- Szerződéses minimumok: a DORA előírja, mit kell tartalmaznia egy ICT-szerződésnek (szolgáltatási szintek, audit-jog, exit-stratégia, alvállalkozók, adatkezelés, incidens-értesítés). A kritikus funkciókat támogató szerződéseknél szigorúbb minimum.
- Kritikus ICT-szolgáltatók EU-szintű felügyelete: a legnagyobb, rendszerszinten fontos szolgáltatókat (jellemzően nagy felhő-szolgáltatók) az európai felügyeleti hatóságok közvetlenül felügyelik.
- Exit-stratégia: minden kritikus szolgáltatóhoz kell dokumentált kilépési terv, hogy a függőség ne váljon egyetlen meghibásodási ponttá.
Ha te ICT-szolgáltató vagy pénzügyi ügyféllel, ez rád is hat: a register-adatszolgáltatáshoz adatot kell adnod, és a szerződésednek meg kell felelnie a DORA-minimumoknak.
07TLPT — fenyegetés-vezérelt behatolásteszt
A TLPT (Threat-Led Penetration Testing) egy fejlett, valós támadói forgatókönyveket szimuláló teszt az éles (vagy ahhoz hű) rendszereken, a TIBER-EU kerethez igazodva. A DORA a jelentős, rendszerszinten fontos pénzügyi entitásoktól várja el, jellemzően háromévente, a hatóság bevonásával.
A kisebb entitásoknak a TLPT nem kötelező — nekik a rendszeres, alap reziliencia-tesztelési program az elvárás: sebezhetőség-vizsgálat, hálózati szkennek, forgatókönyv- és helyreállítási tesztek, valamint a kontrollok hatékonyságának értékelése. A lényeg, hogy a tesztelés rendszeres, dokumentált és a kockázattal arányos legyen.
08DORA vs NIS2
Gyakori kérdés: ha a NIS2-vel már foglalkoztunk, kell-e még a DORA? Pénzügyi entitásnál igen — és fordítva is fontos a viszony tisztázása.
| Szempont | DORA | NIS2 |
|---|---|---|
| Jogi forma | Rendelet — közvetlenül alkalmazandó | Irányelv — nemzeti átültetés (Kiberbiztonsági tv.) |
| Hatókör | Pénzügyi szektor (lex specialis) | 18 kritikus szektor széles köre |
| Felügyelet (HU) | MNB | SZTFH |
| Mélység | Pénzügy-specifikus, mély (TLPT, register, EU-felügyelet) | Általánosabb kiberbiztonsági minimum |
| Kapcsolat | Ahol alkalmazandó, elsőbbséget élvez a pénzügyi ICT-re | Kiegészítő, ahol a DORA nem fed le |
A gyakorlatban: egy bank pénzügyi ICT-tevékenységére a DORA az irányadó; az alap kiberbiztonsági higiénia (ISO 27001, MFA, logging) viszont mindkettőt szolgálja. Aki már NIS2-re vagy ISO 27001-re épített, annak a DORA jó részét nem nulláról kell felhúznia — a pénzügy-specifikus rétegeket (reziliencia-tesztelés, register, exit-stratégia) kell rátenni.
09Felkészülési roadmap
Az alábbi indikatív ábra a tipikus kiindulási érettséget mutatja az 5 pilléren egy közepes entitásnál — minél alacsonyabb az oszlop, annál nagyobb a teendő (gap).
Ne mind az öt pillért egyszerre kezdd: az irányítás és a register of information a fundamentum, erre épül az incidens-folyamat, a tesztprogram és a szerződés-felülvizsgálat. Aki már ISO 27001-re épített, annak a DORA nagy részét nem nulláról kell felhúznia.
10GYIK
A DORA már hatályban van?
Igen — 2025. január 17. óta közvetlenül alkalmazandó az egész EU-ban. Mivel rendelet, nem volt szükség nemzeti átültetésre, így nincs külön „magyar DORA-törvény"; az MNB a közvetlenül alkalmazandó rendelet alapján felügyel.
Kis pénzügyi vállalkozásként is vonatkozik rám?
Igen, de arányosan. A mikrovállalkozásokra arányosan enyhített követelmények vonatkoznak (pl. enyhébb tesztelési és dokumentációs elvárások), de az alap ICT-kockázatkezelés, az incidens-jelentés és a beszállítói nyilvántartás rájuk is érvényes.
ICT-szolgáltató vagyok pénzügyi ügyféllel — mit tegyek?
Készíts „DORA-ready" csomagot: a szerződéseidet igazítsd a DORA-minimumokhoz (audit-jog, SLA, exit, incidens-értesítés, alvállalkozók), és legyen kész adatszolgáltatásod az ügyfél register of information-jéhez. Ez versenyelőny is — sok pénzügyi ügyfél emiatt vált szolgáltatót.
Elég az ISO 27001 a DORA-hoz?
Jó alap, de nem elég önmagában. Az ISO 27001 lefedi az ICT-kockázatkezelés és kontrollok jelentős részét, de a DORA pénzügy-specifikus rétegeit (reziliencia-tesztelési program/TLPT, register of information, szerződéses minimumok, exit-stratégia, hatósági incidens-jelentés) külön rá kell tenni.
Mi a DORA rendelet?
A DORA (Digital Operational Resilience Act — az (EU) 2022/2554 rendelet) az EU egységes szabályozása a pénzügyi szektor digitális működési ellenállóképességéről. 2025. január 17. óta közvetlenül alkalmazandó minden tagállamban (rendelet, nem irányelv — nincs külön nemzeti átültetés). Öt területet ír elő: ICT-kockázatkezelés, ICT-incidensek kezelése és jelentése, digitális reziliencia-tesztelés, ICT-harmadik fél kockázatkezelés, és információmegosztás. Célja, hogy a pénzügyi entitások egy súlyos IT-incidenst vagy kibertámadást is átvészeljenek a működés folytonosságának megőrzésével.
Kit érint a DORA Magyarországon?
A pénzügyi entitások széles körét: bankok, biztosítók, befektetési vállalkozások, pénzforgalmi és e-pénz intézmények, alapkezelők, kriptoeszköz-szolgáltatók, központi szerződő felek, kereskedési helyszínek és mások — méretarányos elvárásokkal (a mikrovállalkozásokra arányosan enyhített követelmények vonatkoznak). Emellett közvetetten az ICT-harmadik fél szolgáltatókat (felhő, szoftver, adatközpont, MSP) is, mert a pénzügyi ügyfeleik szerződéses és átvilágítási követelményeket támasztanak feléjük. Magyarországon a felügyeleti hatóság a Magyar Nemzeti Bank (MNB).
Mi a DORA öt pillére?
(1) ICT-kockázatkezelési keretrendszer — irányítás, asset-leltár, védelmi kontrollok, üzletmenet-folytonosság; (2) ICT-incidensek kezelése, osztályozása és jelentése — egységes folyamat és határidők a hatóság felé; (3) Digitális működési reziliencia tesztelése — rendszeres tesztprogram, a nagyobb entitásoknál fenyegetés-vezérelt behatolásteszt (TLPT); (4) ICT-harmadik fél kockázatkezelés — beszállítói nyilvántartás (register of information), szerződéses minimumok, kritikus ICT-szolgáltatók EU-szintű felügyelete; (5) Információmegosztás — fenyegetettségi információk önkéntes megosztása a szektoron belül.
Mi az a TLPT a DORA-ban?
A TLPT (Threat-Led Penetration Testing — fenyegetés-vezérelt behatolásteszt) egy fejlett, valós támadói forgatókönyveket szimuláló teszt az éles (vagy ahhoz hű) rendszereken, a TIBER-EU kerethez igazodva. A DORA a jelentős, rendszerszinten fontos pénzügyi entitásoktól várja el, jellemzően háromévente, a hatóság bevonásával. A kisebb entitásoknak ez nem kötelező — nekik a rendszeres, alap reziliencia-tesztelési program (sebezhetőség-vizsgálat, szkennelés, forgatókönyv-tesztek) az elvárás.
Mi a különbség a DORA és a NIS2 között?
A DORA lex specialis a pénzügyi szektorra: ahol a DORA alkalmazandó, ott a pénzügyi entitás ICT-kockázatkezelésére a DORA az irányadó, nem a NIS2. A NIS2 a kritikus szektorok széles körét fedi le (energia, egészségügy, közlekedés, digitális szolgáltatás stb.), a DORA viszont mélyebb, pénzügy-specifikus (pl. TLPT, ICT-harmadik fél EU-szintű felügyelet, register of information). Egy banknál a pénzügyi tevékenységre a DORA, egy esetleges más kritikus tevékenységre a NIS2 vonatkozhat — a kettő összehangolása fontos. Magyarországon a DORA-t az MNB, a NIS2-t az SZTFH felügyeli.
Mibe kerül és mennyi idő a DORA-felkészülés?
Méret- és érettségfüggő. Egy közepes pénzügyi entitásnál a gap-elemzés + dokumentációs keret 2–6 M Ft egyszeri; a teljes bevezetés-támogatás (5 pillér, register of information, incidens-folyamat, szerződés-felülvizsgálat) 8–20 M Ft egyszeri, 4–9 hónap alatt; a folyamatos compliance-üzemeltetés 250–600 e Ft/hó. A TLPT-kötelezett nagy entitásoknál ez lényegesen magasabb. A leggyakoribb hiánypont a reziliencia-tesztelési program és az ICT-harmadik fél register naprakészen tartása. Ezek piaci nagyságrendek; mi felmérés után, a ti méretetekre és érettségetekre szabott ajánlatot adunk, az aktuális akcióinkkal együtt.
11Konzultáció
Ha DORA gap-elemzésre vagy bevezetésre van szükséged — pénzügyi entitásként vagy pénzügyi ügyféllel rendelkező ICT-szolgáltatóként —, írj nekünk — munkanapokon 24 órán belül válaszolunk. Egy 30 perces ingyenes konzultáció után konkrét, számszerű ajánlatot adunk: hatókör, érettség, határidő, költségkeret.
A bevezetést az Enterprise Architecture, az IT Infrastruktúra (DR/BCP) és a 24/7 NOC szolgáltatásaink keretrendszerével támogatjuk — banki éles tapasztalatból, MNB-felügyelt környezetek ismeretével.