Raportarea DORA către conducere: indicatori, dovezi și tablou de bord

1. Începe cu deciziile pe care consiliul trebuie să le ia

Un material pentru consiliu poate include fiecare metrică de securitate colectată de organizație și totuși să nu răspundă la întrebarea esențială: poate compania să continue să servească clienții când apare o problemă? Un raport își justifică locul în ședință când relevă o incertitudine majoră, explică un compromis sau susține o decizie despre resurse, priorități sau risc.

Întreabă: ce s-a schimbat de la ședința precedentă? Ce serviciu pentru clienți ar putea fi întrerupt, cu urmări inacceptabile pentru organizație? Ce trebuie decis astăzi? Prezintă răspunsurile înaintea graficelor. Un membru al conducerii nu ar trebui să deducă necesitatea unei finanțări urgente dintr-o celulă roșie de la pagina treizeci.

În cadrul general de gestionare a riscurilor TIC, articolul 5 privește responsabilitatea organului de conducere și instruirea periodică; articolul 6 privește cadrul de gestionare a riscurilor și revizuirea acestuia; articolul 13 alineatul (5) cere personalului TIC de conducere să raporteze cel puțin anual anumite constatări și recomandări. Vezi DORA, articolele 5, 6 și 13.

Aceste dispoziții nu impun un singur tablou de bord aprobat sau un format universal pentru documentele lunare ale consiliului. Alege o frecvență proporțională cu riscurile și regulile de guvernanță, cu un mecanism de escaladare a urgențelor între ședințe. Separă raportările cerute de lege, solicitările autorității de supraveghere și rapoartele interne pentru conducere. Ghidul propune un mod practic de lucru; nu înlocuiește evaluarea obligațiilor fiecărei entități. Pentru împărțirea rolurilor, consultă ghidul nostru despre responsabilitățile consiliului conform DORA.

2. Organizează raportul pe servicii și impact asupra afacerii

Începe cu o listă scurtă de servicii pe care membrii conducerii le cunosc: efectuarea unei plăți, accesarea unui cont de investiții, decontarea unei tranzacții sau primirea unei cereri de despăgubire. Corelează-le cu evaluarea funcțiilor critice sau importante ale entității. Nu înlocui această perspectivă asupra activității cu o simplă listă de aplicații. Un serviciu poate depinde de mai multe aplicații, echipe, sedii și furnizori externi.

Pentru fiecare serviciu, identifică un responsabil din zona de activitate respectivă și descrie urmările întreruperii. Include clienții sau tranzacțiile afectate, termenele critice, procedurile manuale alternative și momentul de la care întârzierile devin greu de recuperat. Separă impactul măsurat de estimări. Dacă numărul clienților este incomplet, declară incertitudinea în loc să prezinți un total doar aparent precis.

Un rând util pentru fiecare serviciu combină riscul cu dovezile: scenariul principal de întrerupere, obiectivul de recuperare, cel mai recent test relevant și slăbiciunea rămasă. Restaurarea reușită a unei baze de date spune puțin despre reluarea serviciului de plăți dacă exercițiul a exclus gestionarea identității și accesului, reconcilierea și conexiunile de ieșire.

Evidențiază schimbările. Un furnizor nou, o achiziție, lansarea unui produs sau o migrare pot face ca harta serviciilor să nu mai fie valabilă. Marchează evaluarea ca necesitând actualizare când se schimbă o dependență importantă. Altfel, raportul poate rămâne verde, deși dovezile sale descriu un model operațional care nu mai există.

Păstrează inventarele tehnice detaliate accesibile prin linkuri cu control al accesului. Pagina pentru consiliu trebuie să explice consecințele și deciziile, iar documentația de suport să permită verificarea afirmațiilor până la surse și echipele responsabile.

3. Definește fiecare indicator înainte de a-i atribui o culoare

Un procentaj fără un numitor invită la neînțelegeri. „Testele de recuperare au fost finalizate: 90%” poate însemna nouă din zece exerciții programate, nouă din zece servicii de business sau nouă din zece aplicații. Aceste afirmații descriu lucruri diferite. Scrie numărătorul și numitorul lângă indicator și explicitează elementele excluse.

• Scop: decizia sau întrebarea despre risc la care ajută indicatorul.
• Sfera analizată: serviciile, sistemele, furnizorii sau persoanele incluse și excluderile.
• Calcul: exact numărătorul, numitorul, unitatea și modul de tratare a datelor lipsă.
• Responsabilitate: responsabilul din activitatea vizată, persoana care pregătește datele și cea care le verifică.
• Date de referință: perioada observată, data extragerii, data revizuirii și următoarea actualizare.
• Dovezi: documentul sau înregistrarea care susține rezultatul, cu versiunea sa și reguli de gestionare definite.
• Escaladare: pragul agreat intern și acțiunea declanșată de o depășire.

Separă „netestat”, „test nereușit” și „dovezi indisponibile”. Reunirea lor într-un singur statut verde sau galben ascunde munca necesară. Arată numerele absolute lângă procente, pentru ca un grup mic să nu creeze o siguranță falsă. Trecerea de la o acțiune restantă la două înseamnă o dublare, dar importanța ei depinde de serviciul afectat și de gravitate.

Păstrează comparabilitatea. Dacă numitorul crește după o achiziție, arată noul grup analizat și motivul schimbării. Nu interpreta un procent de finalizare mai mic drept o execuție mai slabă fără să verifici sfera analizată.

4. Separă obiectivele de recuperare de performanța demonstrată

Obiectivul de timp de recuperare (RTO) stabilește timpul vizat pentru restabilirea unui serviciu sau a unei capacități după o întrerupere. Obiectivul punctului de recuperare (RPO) stabilește pierderea acceptabilă de date, exprimată ca interval de timp. Niciunul nu dovedește că recuperarea funcționează. Prezintă separat obiectivul și rezultatul observat, cu scenariul, sfera testată și limitele măsurării.

Un RTO de patru ore nu înseamnă că este suficient să închei comanda de restaurare în patru ore și să reconciliezi datele ulterior. Definește momentul de început și condițiile operaționale care opresc măsurarea. Pentru RPO, înregistrează cel mai recent punct de recuperare utilizabil și dacă reconcilierea tranzacțiilor a confirmat că datele sunt complete. Sistemul poate reporni rapid cu date prea vechi sau nesigure.

În cadrul general, articolul 11 alineatul (6) prevede teste anuale ale planurilor de continuitate și recuperare pentru toate funcțiile, precum și teste la modificări substanțiale. Articolul 24 alineatul (6) cere teste adecvate cel puțin anuale pentru toate sistemele și aplicațiile TIC care susțin funcții critice sau importante, cu excepția microîntreprinderilor. Vezi prevederile DORA privind testarea. Confirmă sfera aplicabilă entității înainte de a transforma cerințele într-un calendar.

Articolul 25 din Regulamentul delegat 2024/1774leagă testarea continuității de analiza impactului asupra activității și de evaluarea riscurilor. Cere analizarea și remedierea deficiențelor, precum și raportarea lor către organul de conducere. Leagă fiecare obiectiv neîndeplinit de o măsură corectivă, un responsabil și un plan de retestare.

Tratează separat testele de penetrare bazate pe amenințări (TLPT). Acestea se aplică entităților identificate, nu tuturor. Criteriile de selecție și cerințele sunt detaliate în Regulamentul delegat 2025/1190, împreună cu articolele 26–27 din DORA. Un exercițiu de discutare a unui scenariu, o scanare a vulnerabilităților sau un test obișnuit de penetrare nu sunt TLPT. Precizează ce demonstrează efectiv fiecare exercițiu.

5. Arată concentrarea furnizorilor prin dependențele de servicii

Numărul de furnizori nu arată gradul de concentrare. Trei furnizori pot depinde de aceeași regiune cloud, aceeași platformă de identitate sau rută de telecomunicații. Pentru fiecare serviciu important, întreabă ce dependențe pot eșua simultan și dacă alternativa propusă este operațional independentă. Distinge alternativele contractuale de cele configurate, cu personal și testate practic.

Documentul ABE privind registrul de informații explică registrul acordurilor contractuale pentru servicii TIC și oferă resurse pentru raportare. Folosește registrul ca sursă pentru raportul către consiliu. Un registru complet este util, dar consiliul trebuie să înțeleagă și ce înseamnă aceste relații pentru continuitatea serviciilor.

O secțiune sintetică despre dependențe poate arăta serviciile susținute de un furnizor, verificările recente, limitările nerezolvate, timpul estimat pentru înlocuirea furnizorului și următoarea decizie necesară. Prezintă durata de ieșire ca estimare până când există dovezi credibile. Include extragerea datelor, migrarea, competențele, restricțiile contractuale și tranziția clienților, nu doar înlocuirea infrastructurii.

Pune o întrebare concretă: dacă furnizorul ar deveni indisponibil sau necorespunzător, ce serviciu ne-ar obliga să intervenim primul și ce ar împiedica o tranziție ordonată? Escaladează explicit informațiile lipsă și dependențele pentru care responsabilitatea rămâne neclară. Ghidul nostru despre riscurile DORA legate de furnizorii terți de servicii TIC detaliază întrebările despre furnizori și contracte.

6. Explică tendințele incidentelor și de cât timp persistă riscurile nerezolvate

Numărul incidentelor are nevoie de context. O creștere poate reflecta o detectare mai bună, nu o reziliență mai slabă. O scădere poate proveni dintr-un flux incomplet de date. Precizează definiția, perioada observată, impactul semnificativ asupra serviciilor și eventualele schimbări în colectarea datelor. Separă nivelurile interne de gravitate de clasificarea incidentelor cerută de reglementări: un grafic pentru consiliu nu trebuie să redefinească implicit procesul de notificare.

Sunt utile minutele de întrerupere pentru fiecare serviciu, cauzele recurente, schimbările nereușite, rezultatele recuperării și durata întârzierilor pentru măsurile corective importante. Pentru timpul de detectare sau răspuns, folosește criterii consecvente de început și sfârșit. Mediile pot ascunde o întrerupere lungă: arată intervalul rezultatelor sau cel mai important caz când influențează decizia.

Urmărește într-un singur registru acțiunile din incidente, teste, audituri și evaluări ale furnizorilor, păstrând sursa fiecăreia. Fiecare acțiune trebuie să aibă un responsabil, termenul inițial și cel actual, serviciul afectat, dovada finalizării și o persoană care verifică. Un tichet „rezolvat” nu înseamnă automat că slăbiciunea de fond a fost eliminată.

Arată prelungirile și acțiunile redeschise. Mutarea termenului poate îmbunătăți graficul restanțelor fără să reducă riscul. Înregistrează cine a aprobat prelungirea, motivul, măsurile temporare și următoarea revizuire. Prioritizează consecințele slăbiciunii rămase, nu numărul tichetelor cu impact redus pe care echipa le închide.

Încheie secțiunea cu o explicație scurtă a problemei recurente și a intervenției propuse. Dacă mai multe incidente dezvăluie aceeași responsabilitate neclară, o decizie operațională precisă poate ajuta mai mult decât un tablou de bord nou.

7. Leagă instruirea de capacitatea demonstrată de a judeca situația

Finalizarea instruirii confirmă participarea, dar nu arată dacă membrii conducerii pot pune sub semnul întrebării o prognoză optimistă de recuperare sau pot prioritiza serviciile într-o situație dificilă. Completează evidențele de instruire cu câteva exerciții practice. Cere participanților să identifice dovezile lipsă, momentele de escaladare și compromisurile într-o întrerupere fictivă.

Indică participanții prevăzuți, conținutul atribuit și versiunea sa, datele de finalizare, metoda de evaluare și acțiunile ulterioare necesare. Înregistrează schimbările de rol și noii membri pentru a păstra numitorul corect. Dacă cineva are experiență relevantă, documentează cum ai luat-o în considerare și ce cunoștințe despre organizație trebuie încă aprofundate.

O discuție despre instruire poate arăta că participanții cunosc termenii despre ransomware, dar nu știu cine poate autoriza cheltuieli de urgență. Acțiunea devine clară: precizează autoritatea, actualizează planul și exersează aplicarea lui. Nu prezenta nota medie la un chestionar drept măsură a rezilienței întregii organizații.

Pentru proiectarea programului, folosește ghidul cerințelor DORA pentru instruirea consiliului. Pentru exersare, ghidul exercițiului de răspuns la incidente pentru conducere arată cum transformi o întrerupere în decizii și lecții documentate. Restricționează corespunzător accesul la evidențele individuale. Consiliul are de obicei nevoie să știe cine a parcurs instruirea, ce lacune există și ce acțiuni urmează, nu să citească răspunsurile detaliate ale fiecărui participant.

8. Un tablou de bord fictiv cu abateri care necesită intervenție

Exemplul de mai jos este complet fictiv. Cifrele nu sunt repere din industrie, praguri legale sau constatări despre organizații reale. Presupune că o entitate financiară a ales patru servicii pentru raport. Materialele din septembrie prezintă situația la 30 septembrie și identifică persoanele responsabile de dovezi pentru verificările ulterioare.

În exemplu, obiectivul privind pierderea de date a fost respectat, dar timpul de recuperare a fost depășit. Eticheta comună „recuperare reușită” ar ascunde întârzierea serviciului. Rândul despre acoperire măsoară serviciile, nu întregul set de sisteme care trebuie testate. Registrul testelor trebuie să păstreze separat această sferă.

Tabelul nu echivalează un rezultat necunoscut cu un test nereușit. Conducerea vede ce incertitudine trebuie investigată și ce slăbiciune demonstrată necesită finanțare. Leagă fiecare rând de documentația păstrată conform regulilor de gestionare și acces. Urmărește decizia în rapoartele următoare până la verificarea rezultatului.

9. Transformă raportul într-un proces decizional repetabil

Adaugă o fișă scurtă de decizie pentru fiecare abatere semnificativă. Descrie serviciul afectat, scenariul, dovezile și incertitudinile. Prezintă opțiuni realiste, costurile sau resursele necesare, recomandarea conducerii și consecințele amânării. Precizează cine este autorizat să decidă și până la ce dată.

Exemplu de decizie: aprobarea îmbunătățirii propuse pentru recuperarea serviciului de plăți, cu directorul operațional responsabil de implementare. Solicitarea unui nou test în raport cu obiectivele declarate, până la data convenită. Înregistrarea măsurilor temporare, a riscului rămas și a condițiilor de escaladare. Prezentarea rezultatului și a dovezilor la următoarea ședință a comitetului competent.

Dacă accepți temporar un risc, înregistrează motivul, autoritatea, condițiile și data expirării acceptării. Aceasta este o decizie de guvernanță; nu anulează o obligație legală neîndeplinită. Un proces-verbal generic care spune că s-a „luat act de raport” explică prea puțin întrebările critice, alternativele sau acțiunile ulterioare.

1. Stabilește ce servicii intră în raport și corelează-le cu obligațiile aplicabile și responsabilitățile interne.
2. Începe cu puțini indicatori și definește-i înainte să automatizezi colectarea datelor.
3. Desemnează responsabilii datelor și persoanele care le verifică. Fixează data-limită a raportului și modul de tratare a dovezilor lipsă.
4. Verifică un indicator prin comparație cu sursa și asigură-te că explicația corespunde rezultatului real.
5. Exersează cu o abatere fictivă și verifică dacă documentele permit o decizie clară.
6. Înregistrează decizia, comunică acțiunea și verifică efectul în rapoartele următoare.

Începe cu documente fiabile pe care participanții le pot analiza critic. Automatizează colectarea după stabilizarea definițiilor. Pentru o bază comună în supravegherea exercitată de conducere, cursul «Curs DORA de securitate cibernetică pentru membrii organelor de conducere și directori» oferă opt module și aproximativ trei ore de studiu ghidat. Integrează-l într-un program mai amplu de discuții, exerciții și urmărire a rezultatelor, adaptat organizației. Finalizarea singură nu demonstrează conformitatea cu reglementările.