Риск от външни доставчици на ИКТ по DORA: ръководство за управителния орган

1. Започнете с услугата, която дружеството трябва да продължи да предоставя

Докладът на отдел „Снабдяване“ обикновено започва с доставчици, годишни разходи и дати за подновяване. Полезната дискусия по DORA започва с резултат за клиента: изплащане на обезщетение, изпълнение на плащане, поддържане на инвестиционен запис или достъп до сметка. След това проследете обратно системите, външните услуги и хората, необходими за този резултат.

Така въпросът „Оценили ли сме нашия облачен доставчик?“ се променя на „Какво става с тази услуга, ако платформата за идентичност, хостинг регионът или доставчикът на поддръжка са недостъпни?“. Вторият въпрос разкрива зависимости, които оценъчната карта на доставчика може да пропусне. Евтина услуга за удостоверяване може да блокира повече дейности от голям договор за софтуер.

Правната отправна точка е, че използването на ИКТ услуги не прехвърля задълженията на финансовия субект върху доставчика. DORA включва риска от външни доставчици в рамката за управление на риска на самия субект. Вижте член 28 от Регламент (ЕС) 2022/2554. Тълкуването и работните подходи в това ръководство са практически предложения, а не изчерпателно описание на всички изисквания за всеки вид субект.

За материал до управителния орган поискайте от отговорния ръководител да посочи засегнатата бизнес услуга, вътрешния отговорник, допустимото прекъсване, текущия риск и необходимото решение. Техническите подробности остават в подкрепящите материали. Членовете на органа се нуждаят от достатъчно информация, за да оспорят дадено допускане, без да се превръщат в екип за реагиране или да договарят всяка клауза.

2. Разграничавайте критичната функция от определения като критичен доставчик

Две оценки отговарят на различни въпроси. Вашият субект определя кои функции са критични или важни според рамката на DORA. Европейските надзорни органи определят критични трети страни — доставчици на ИКТ услуги за надзорната рамка на Съюза. ESMA обяснява, че този надзор допълва собствените отговорности на финансовите субекти, без да ги заменя. Вижте обяснението на ESMA за надзора по DORA.

Приложете разграничението към малък специализиран доставчик. Той може да поддържа единствения ви начин да предоставяте важна финансова услуга, без да присъства в списъка на критичните доставчици. По същия начин покупката на второстепенна услуга от голям определен доставчик не отменя оценката на действителната ѝ употреба. Поддържайте двете класификации отделно, за да не управлява едно подвеждащо поле „критичен: да/не“ всички следващи решения.

3. Направете регистъра пълен, свързан и разбираем

Регистърът не се ограничава до договорите, поддържащи критични или важни функции. Член 28, параграф 3 обхваща всички договорни споразумения за ИКТ услуги от външни доставчици, като разграничава тези, поддържащи такива функции. Регламент за изпълнение (ЕС) 2024/2956 определя стандартните образци, включително допълнителни данни за оценката и веригата на доставки, относими към критични или важни функции.

Практическата проверка за пълнота започва със сравнение с данните за покупки, периодичните плащания, инвентара на приложенията и информацията от отговорниците за услуги. Разликите изискват проверка; те не доказват автоматично нарушение. Фактура може да е за услуга извън ИКТ, а няколко фактури — да принадлежат към едно споразумение. Документирайте заключението, вместо тихо да отхвърляте несъответствието.

Поискайте човек извън екипа, поддържащ регистъра, да проследи една зависимост от начало до край. Може ли да установи договарящия субект, действителния ползвател, доставчика, поддържаната функция, отговорника и действащия договор? Може ли да различи външното споразумение от свързаното вътрешногрупово споразумение? Ако връзките не могат да се обяснят, технически валидният файл не е решил управленския проблем.

• Определете конкретен отговорник за нерешените въпроси по класификацията и собствеността.
• Записвайте датата и причината за промяна, особено след придобивания или миграции.
• Отразявайте промените при одобряване на нова услуга, а не само преди срок за подаване.
• Показвайте на ръководството пропуските и колко време остават отворени, вместо само общ брой доставчици.

Управителният орган не трябва да одобрява всеки ред в таблица. Той се нуждае от увереност, че пълнотата има отговорник, неизвестното е видимо и важните зависимости получават необходимото внимание.

4. Превърнете политиката в контролни точки за решения

Политиката е полезна, когато променя решение, преди организацията да е станала зависима. За субектите, към които се прилагат съответните изисквания, Делегиран регламент (ЕС) 2024/1773 обхваща жизнения цикъл на споразуменията за критични или важни функции. Той изисква преглед на политиката от управителния орган поне веднъж годишно и актуализация при необходимост. Приложимостта и пропорционалността трябва да се проверят според регулаторната категория на субекта.

Следващите контролни точки са предложен работен модел. Преди избора отговорникът за бизнеса описва услугата и последствията от отказ. Преди подписване екипите по риск, сигурност, право и снабдяване установяват нерешените въпроси заедно. Преди пускане в експлоатация оперативният екип показва, че има наблюдение, поддръжка и възстановяване. При подновяване или съществена промяна отговорникът проверява дали първоначалните допускания още са валидни.

Във всяка точка разграничете три неща: получено доказателство, направена преценка и прието изключение. Докладът за увереност от доставчика е доказателство. Заключението, че той покрива достатъчно добре вашата употреба на услугата, е преценка. Продължаването въпреки нерешен пропуск е изключение, което изисква оправомощено решение, условия и краен срок.

Не превръщайте всеки проблем в „приет от бизнеса“. Определете кой има право да приеме какъв риск според управленските правила. Ескалирайте зависимостите, чиито последствия надхвърлят тези правомощия. Най-полезният принос на управителния орган може да е финансирането на липсваща възможност за възстановяване или отказът от прибързано стартиране с непроверени допускания.

5. Проверявайте концентрацията отвъд графиката на разходите

Концентрацията включва свързани откази, а не само търговска зависимост. Два договора с различни имена на компании може да разчитат на една хостинг платформа, доставчик на свързаност, услуга за идентичност или специализиран подизпълнител. Два облачни региона може да споделят една система за управление. Това са архитектурни въпроси, на които диаграма на покупките не отговаря.

Член 29 от DORA разглежда оценяването на риска от концентрация на ИКТ. За практическа дискусия поискайте от ръководството няколко реалистични отказа на зависимости и обяснение кои бизнес услуги ще спрат заедно. Направете допусканията видими: наличност на хора, достъп до ключове, свързаност, съгласуваност на данните и капацитет на предложената алтернатива.

Повече доставчици могат да увеличат и сложността, оперативните разходи и риска при координация. Практическата цел не е универсална забрана на концентрацията или дублирана инфраструктура навсякъде. Тя е информиран избор за конкретен риск, подкрепен с реалистични варианти и ясен отговорник. Записвайте защо избраната мярка е пропорционална и кое събитие би наложило преоценка.

6. Проверявайте договорните доказателства спрямо действителната услуга

Статус „Подписано допълнение по DORA“ е твърде общ за ефективен надзор. Член 30 определя договорни изисквания, с допълнителни разпоредби за ИКТ услуги, поддържащи критични или важни функции. Юридическите съветници трябва да свържат приложимите изисквания с конкретното споразумение. Следващото сравнение е инструмент за проверка, а не готова договорна формулировка.

Четете докладите за увереност с внимание към границите им. Кой период покриват? Коя конфигурация на услугата е оценена? Приемат ли изпълнение на определени отговорности от клиента? Изключват ли компонент, на който разчита планът ви за възстановяване? Актуален сертификат може да бъде полезен и едновременно да оставя конкретен оперативен въпрос без отговор.

Поддържайте кратък регистър на пропуските, който свързва всеки проблем с бизнес последствие, компенсираща мярка, отговорник и срок. Представяйте на органа съществените нерешени рискове и решенията извън делегираните правомощия. Не скривайте значим пропуск зад висок процент изпълнени клаузи: една липсваща възможност може да е по-важна от много приключени маловажни точки.

7. Проверете дали планът за изход може да се изпълни

Договорното право да напуснете доставчик и оперативната възможност да го направите са различни неща. Разпоредбите на DORA за изход при услуги, поддържащи критични или важни функции, са в член 28, параграф 8. На практика управителният орган трябва да проверява допусканията под плана: крайна среда, данни, хора, време, средства и непрекъснатост на услугата.

Разделяйте планираната миграция от аварийното прекъсване. Шестмесечна програма за миграция може да е търговски реалистична, но безполезна като непосредствен отговор на срив. Планът за възстановяване може да поддържа услугата, докато планът за изход решава дългосрочната зависимост. Поискайте обяснение на връзката между тях, вместо един от документите да се представя като универсално решение.

1. Изберете представителна услуга и определете събитието, което задейства изход.
2. Извлечете контролирана извадка от необходимите данни с подходяща защита.
3. Проверете дали новата среда може да прочете и съгласува данните, а не само да съхрани файл.
4. Проверете права за достъп, лицензи, специализирани умения и договорена помощ при преход.
5. Измерете времето и установете ръчните дейности, липсващите зависимости и непроверените допускания.
6. Актуализирайте разхода, последователността, отговорника и датата за следващ тест.

Това е предложена последователност за тест, а не изискване за неконтролирана миграция в реална среда. Избирайте безопасни тестове според услугата и документирайте ограниченията им. Ако е проверена само малка извадка, посочете го. Ако алтернативата не е готова, покажете ограничението открито и временното решение за риска. Зелен статус не трябва да означава само наличие на документ.

8. Използвайте кратък доклад с конкретни решения

Полезният доклад за надзор може да се изгради около пет въпроса: какво се промени, какво може да спре заедно, къде увереността отслабна, какви варианти остават и какво решение е нужно? Това е предложена структура. Честотата следва да отразява рисковете и управленските правила на организацията, а не измислен универсален тримесечен график по DORA.

Включете ограничения брой зависимости с най-големи бизнес последствия, последните промени по тях, просрочените съществени действия и следващото важно решение за договор или миграция. Обяснявайте тенденциите. Повече доставчици може да означава по-добро покритие на инвентара, а не увеличен риск. По-малко отворени действия може да означава реално подобрение или промяна в начина на отчитане.

• Свързвайте всеки съществен риск с бизнес услуга и отговорен ръководител.
• Разграничавайте проверена възможност за възстановяване от цел или обещание на доставчик.
• Показвайте договорните изключения, нерешените пропуски и от колко време са отворени.
• Посочвайте промени в концентрацията и допусканията, които изискват нови доказателства.
• Формулирайте исканото решение, разгледаните алтернативи и последствията от отлагане.

Използвайте ръководството за управленския доклад по DORA, за да свържете тези показатели с общия надзор на ИКТ риска. За практическо упражнение включете една зависимост с тежки последствия в сценарий за реакция при инцидент. В трите дискусии органът трябва да разпознава едни и същи услуги, отговорници и допускания за възстановяване.

9. Подгответе следващата дискусия около една реална зависимост

Не започвайте с искане всички екипи да преработят всички доклади. Изберете една важна услуга и поискайте последователна верига от доказателства: оценка на функцията, запис в регистъра, договор, преглед на увереността, тест за възстановяване и план за изход. Нека различните отговорници преминат през тях заедно. Противоречивите идентификатори, остарелите допускания и действията без отговорник ще станат видими бързо.

Превърнете изводите в кратък план за подобрение. Първо решете пропуските в отговорностите и инвентара. След това разгледайте решенията с ограничено време заради подновяване, миграция или риск. Накрая подобрете периодичния надзор, за да не се появяват отново същите пропуски. Всяко действие трябва да има проверим резултат, а не само указание „да се подобри управлението“.

Членовете на управителния орган се нуждаят и от общо разбиране за ролята си. Ръководството за изискванията за обучение по DORA свързва ученето с управленските отговорности. Обучение по киберсигурност за ръководители и управителни органи на BlueTeam Academy е въвеждаща отправна точка за ръководствата на финансови субекти в обхвата на DORA. Въвеждащият курс не оценява съответствието на организацията. Свържете обучението със собствени доказателства за услугите, решения и последващи действия.