Responsabilitățile conducerii conform DORA: de la politici la decizii

Stabiliți cui îi revin responsabilitățile descrise de DORA

Punctul de plecare este entitatea juridică reglementată. Sfera de aplicare și excluderile DORA apar în articolul 2, iar articolul 3 punctul 30 definește „organul de conducere” în raport cu normele sectoriale și naționale de guvernanță aplicabile. Simpla denumire a unui post în companie nu stabilește cine îndeplinește acest rol. Documentați ce organ sau ce organe exercită funcțiile relevante în organizație.

În cadrul general, articolul 5 alineatul (2) atribuie organului de conducere responsabilitatea pentru cadrul de gestionare a riscurilor TIC, inclusiv responsabilitatea finală pentru riscul TIC al entității. Specialiștii pot efectua activitatea operațională. Consiliul trebuie însă să poată demonstra că a stabilit așteptările, a primit informații suficiente, a analizat critic lacunele și a urmărit punerea în aplicare a deciziilor importante.

Acest articol se concentrează pe acel cadru general. Entitățile din Articolul 16 urmează un regim simplificat în locul articolelor 5–15; prevederile de guvernanță pentru acel regim sunt dezvoltate în articolul 28 din Regulamentul delegat 2024/1774. Confirmați regimul aplicabil înainte de a transforma acest ghid într-un registru intern de obligații.

Aceeași claritate este necesară și în interiorul unui grup. Societatea-mamă poate gestiona operațiunile de securitate și achizițiile sau poate oferi expertiză pentru elaborarea politicilor. Filiala trebuie totuși să înțeleagă serviciile de care depinde, riscurile pe care și le asumă și deciziile care îi revin propriului organ de conducere. „Se ocupă grupul” nu explică suficient cine răspunde de fiecare aspect.

Priviți aprobarea ca pe începutul supravegherii

Articolul 5 acoperă responsabilități privind strategia de reziliență și toleranța la risc TIC, continuitatea și recuperarea, planificarea auditurilor, resursele, politica privind furnizorii terți și canalele de raportare. Consultați repartizarea exactă în articolul 5 alineatul (2) literele (c)–(i). Abordarea de mai jos este propunerea noastră pentru organizarea practică a activităților; nu înlocuiește prevederea legală.

Pentru fiecare aprobare importantă, păstrați o scurtă înregistrare a deciziei, cu trei elemente legate între ele: ce a autorizat consiliul, pe ce ipoteze s-a bazat și ce dovezi așteaptă ulterior. Aprobarea unei strategii ar trebui să ducă la progrese în prioritățile stabilite. Aprobarea unui plan de recuperare ar trebui să ducă la o capacitate de recuperare testată. Aprobarea unui buget ar trebui să asigure oameni, servicii sau măsuri de control care reduc efectiv expunerea identificată.

Aprobarea unui plan de remediere pe șase luni fără a întreba cine îl va realiza creează o problemă previzibilă. Dacă aceiași doi specialiști sunt deja implicați într-o migrare esențială, planul poate fi imposibil de realizat. Cereți ipotezele privind disponibilitatea personalului și timpul necesar înainte de aprobare și consemnați compromisul ales. Un termen revizuit realist, însoțit de o măsură temporară de protecție explicită, este mai util decât o dată pe care nimeni nu o poate respecta.

Separați punctele care necesită o decizie de cele prezentate doar pentru informare. Orice document supus deciziei ar trebui să precizeze acțiunea propusă, alternativele viabile, consecințele întârzierii, incertitudinile rămase și termenul de decizie. Membrii consiliului pot astfel analiza critic recomandarea fără să intre în fiecare detaliu tehnic.

Clarificați atribuțiile decizionale cu ajutorul unei matrice

Stabiliți cine pregătește propunerea, cine o analizează critic, cine decide și cine verifică implementarea. Adaptați exemplul la structura juridică a organizației, la competențele rezervate fiecărui organ și la regulamentele comitetelor. Aici, „consiliu” desemnează organul de conducere competent; nu înseamnă că orice decizie operațională trebuie să aștepte o ședință în plen.

Funcțiile de risc și conformitate trebuie să poată analiza critic propunerea fără să răspundă de fiecare control operațional. Auditul intern trebuie să păstreze independența necesară rolului său. Nu atribuiți aceluiași comitet atât implementarea remedierii, cât și verificarea exclusivă a eficacității acesteia.

Testați matricea pe o decizie reală care urmează să fie luată. Dacă un contract cu un furnizor trebuie reînnoit săptămâna viitoare, știe toată lumea cine poate aproba reînnoirea, cine poate impune condiții și cine acceptă riscul rezidual? Clarificați răspunsurile contradictorii înainte să le scoată la iveală un incident sau un termen comercial.

Transformați toleranța la risc în decizii privind serviciile

Declarația că firma are un „apetit scăzut pentru riscul cibernetic” nu îi spune unui director cum să aleagă între proiecte concurente. Cereți conducerii executive să o lege de servicii, consecințe pentru clienți, controale așteptate și criterii de escaladare. Distingeți clar între rezultatul dorit și capacitatea demonstrată.

Presupuneți o firmă fictivă de investiții care ia în considerare o nouă platformă de raportare către clienți. Conducerea propune un obiectiv de recuperare după materialul de marketing al furnizorului. Consiliul ar trebui să întrebe dacă obiectivul acoperă întregul serviciu de raportare: datele sursă, autentificare, reconciliere, accesul personalului și distribuția către clienți. Dacă doar platforma a fost testată, documentați dependențele netestate și decizia pe care o influențează.

Întrebări utile pentru o analiză critică:

• Ce prejudicii ar apărea dacă serviciul nu ar fi disponibil sau datele sale nu ar fi fiabile?
• Ce ipoteze au fost verificate și care rămân estimări?
• Ce putem continua în siguranță, în timp ce serviciul principal este degradat?
• Ce eveniment ar necesita escaladare sau o decizie operațională diferită?
• Cine poate accepta riscul rezidual, pentru cât timp și cu ce condiții?

Stabiliți limite clare pentru excepții. O excepție temporară poate preciza serviciul afectat, justificarea, măsurile provizorii, responsabilul, data expirării și circumstanțele care cer o reevaluare anticipată. Prelungirile repetate ar trebui să ducă la o discuție despre fezabilitatea planului inițial. Un registru al excepțiilor ajută la luarea deciziilor numai dacă cineva acționează pe baza lui.

Verificați dacă bugetul permite obținerea rezultatului promis

Articolul 5 alineatul (2) litera (g) privește resursele adecvate și revizuirea periodică a bugetului. Un buget este mai util când leagă cheltuielile de un rezultat decât când le etichetează pur și simplu drept „DORA” sau „securitate cibernetică”. Cereți conducerii să explice riscul vizat, dependențele necesare realizării lucrării și dovezile așteptate ale îmbunătățirii.

Comparați „Achiziționarea unui nou produs de backup” cu „Demonstrarea faptului că serviciul oferit clienților poate fi restabilit cu date reconciliate într-un mediu izolat”. A doua propunere permite întrebări despre personal, timpul pentru teste, integrare și validarea rezultatului de către echipele de afaceri. Produsul poate fi necesar, dar cumpărarea lui nu înseamnă atingerea obiectivului.

O propunere de investiție utilă ar trebui să prezinte:

1. Serviciul și expunerea la risc care justifică activitatea.
2. Rezultatul și modul în care acesta va fi verificat.
3. Costuri unice și recurente, inclusiv timpul personalului și suportul furnizorului.
4. Dependențele de alte proiecte și de competențe greu de găsit.
5. Expunerea reziduală dacă propunerea este întârziată sau redusă.
6. Persoana care va confirma obținerea beneficiului așteptat.

Includeți exerciții de învățare și decizie în planificarea resurselor. Un plan poate eșua pentru că personalul nu știe cum să-l pună în aplicare, chiar și atunci când tehnologia funcționează. Invers, instruirea nu poate compensa lipsa unui control tehnic. Mențineți legătura între aceste nevoi, deși sunt măsurate separat.

Păstrați responsabilitatea chiar dacă serviciul este furnizat de un terț

Externalizarea schimbă modul de furnizare a serviciului, dar nu elimină responsabilitățile entității. Pentru entitățile cărora li se aplică aceste cerințe privind politica, articolul 3 din Regulamentul delegat 2024/1773 impune guvernanță clară pentru aranjamentele relevante și cel puțin o revizuire anuală de către organul de conducere a politicii pentru serviciile TIC care susțin funcțiile critice sau importante. Verificați excepțiile în articolul 28 alineatul (2) din DORA, inclusiv cele pentru microîntreprinderi. Această frecvență de revizuire privește o politică specifică; nu este o regulă universală pentru frecvența tuturor cursurilor destinate consiliului.

Pentru o dependență semnificativă, cereți o explicație scurtă, concentrată pe serviciu. Ce ar pierde clienții dacă furnizorul nu ar mai funcționa? Ce alte servicii depind de aceeași infrastructură sau de același subcontractant? Cum va obține organizația informațiile, va păstra controlul și își va recupera datele? Ce presupune în practică încetarea relației cu furnizorul?

Luați un exemplu fictiv de reînnoire a contractului, cu o reducere importantă pentru un angajament mai lung. Conducerea are dreptul de a exporta datele, dar nu a verificat niciodată dacă le poate importa într-un alt mediu funcțional. Consiliul nu trebuie să proiecteze migrarea. Trebuie să întrebe dacă posibilitatea de ieșire este reală și dacă reînnoirea ar trebui condiționată de validarea datelor, estimarea resurselor de tranziție sau reducerea unui alt risc de concentrare.

Separați documentele furnizorului de propriile concluzii. O certificare sau un raport de asigurare poate contribui la verificările prealabile, dar examinați domeniul acoperit, perioada, excluderile și relevanța pentru serviciu. Consemnați cine a evaluat documentul și ce rămâne neclar.

Documentul BCE privind prioritățile de supraveghere pentru 2026–2028 identifică reziliența operațională și capacitățile TIC ca priorități pentru bănci. El subliniază că supravegherea furnizorilor critici completează gestionarea de către bănci a propriilor riscuri legate de terți. Acestea sunt priorități de supraveghere bancară, nu o afirmație că toate entitățile financiare sunt tratate identic de autorități.

Stabiliți atribuțiile de intervenție înaintea crizei

Stabiliți din timp cum primește consiliul informațiile relevante și ce poate face conducerea imediat. Un incident nu ar trebui să scoată la iveală neînțelegeri despre cine poate restricționa un serviciu, aproba cheltuieli de urgență sau transmite o informare clienților. Echipa operațională are nevoie de circuite clare pentru raportarea către autorități, conform procedurilor aplicabile.

Cereți actualizări scurte cu patru elemente: ce se știe, ce rămâne incert, ce acțiuni sunt în desfășurare și ce decizie este necesară. Nu solicitați un termen sigur de restabilire dacă dovezile nu permit acest lucru. Întrebați ce se va verifica în continuare și când va reveni conducerea cu informații mai solide.

Decizia de restabilire trebuie să țină cont de integritatea serviciului, nu doar de disponibilitate. O aplicație accesibilă poate conține în continuare înregistrări lipsă, duplicate sau neconcordante. Întrebați cine validează rezultatul pentru activitatea companiei, ce reconcilieri de date mai trebuie făcute și ce restricții protejează clienții în timpul restabilirii parțiale.

Testați aceste reguli printr-un exercițiu. Simulați indisponibilitatea canalului obișnuit de ședință, absența unui director și informații contradictorii de la furnizor. Verificați dacă înlocuitorii autorizați pot acționa și dacă deciziile sunt consemnate. Este o propunere de exercițiu; nu înlocuiește testele tehnice și celelalte măsuri cerute de cadrul aplicabil.

Atribuiți apoi fiecare constatare importantă unei singure persoane responsabile și precizați dovezile necesare pentru închidere. „Procedură actualizată” poate rezolva o problemă de documentație. Nu rezolvă incapacitatea de a restabili serviciul dacă această capacitate nu a fost și demonstrată.

Conduceți o ședință care produce decizii și o evidență utilizabilă

O ordine de zi scurtă poate fi mai utilă decât o prezentare tehnică lungă. Exemplul de mai jos propune o ședință periodică de guvernanță. Stabiliți frecvența în funcție de riscuri, obligațiile aplicabile și structura comitetelor.

1. Analizați schimbările de la ultima ședință: expunerea serviciilor la risc, incidentele importante și dependențele.
2. Examinați cea mai importantă diferență dintre așteptări și capacitatea demonstrată.
3. Decideți asupra excepțiilor, resurselor sau priorităților care depășesc autoritatea delegată.
4. Cereți explicații pentru acțiunile întârziate și prelungirile repetate.
5. Confirmați ce dovezi vor fi prezentate data viitoare și ce instruire este necesară.

Procesul-verbal trebuie să consemneze întrebările critice și obiecțiile importante fără să devină o transcriere cuvânt cu cuvânt. Notați informațiile analizate, incertitudinile recunoscute, alternativele discutate, decizia și condițiile ei. Indicați un responsabil și o dată de reexaminare. Nu scrieți doar că organul de conducere „a luat act de informarea privind securitatea cibernetică” dacă, în realitate, a acceptat un risc cu consecințe importante.

Exemplu de decizie consemnată: consiliul a analizat rezultatele testului de recuperare a serviciului de raportare către clienți. Aplicația a fost restabilită, dar reconcilierea datelor nu s-a încheiat în intervalul planificat. Conducerea va păstra verificarea manuală provizorie, îi va valida capacitatea și va prezenta rezultatele unui nou test al întregului proces. Directorul de operațiuni răspunde de acțiune; data următoarei evaluări este înscrisă în registrul de acțiuni.

Exemplul se bazează intenționat pe fapte. Nu declară organizația conformă și nu afirmă că problema a dispărut. Arată clar întrebarea deschisă și pasul următor. Pentru alegerea informațiilor utile unei astfel de ședințe, consultați ghidul nostru pentru tabloul de bord DORA destinat consiliului.

Îmbunătățiți ciclul de guvernanță în următoarele 90 de zile

Aplicați acest plan alături de obligațiile curente; el nu permite amânarea unei obligații deja în vigoare. Începeți cu lacuna care creează cel mai imediat risc pentru deciziile de luat.

Evaluați calitatea închiderii acțiunilor. Alegeți trei acțiuni finalizate și verificați dacă dovezile arată că problema inițială a fost remediată. Dacă s-a produs doar un document, iar riscul persistă, reluați discuția. Alegeți o excepție acceptată și verificați dacă termenul ei, condițiile și responsabilul desemnat rămân adecvate.

În final, asigurați-vă că membrii consiliului înțeleg materialele pe care trebuie să le analizeze critic. Acest ghid privind cerințele DORA pentru instruirea consiliului explică modul de adaptare a instruirii la responsabilitățile fiecărei persoane. Programul « Curs DORA de securitate cibernetică pentru membrii organelor de conducere și directori » oferă un program orientat spre decizie, cu aproximativ trei ore de studiu ghidat, împărțit în opt module. Adăugați propriile aranjamente de guvernanță și exerciții de decizie; finalizarea cursului nu reprezintă acreditare sau determinare de conformitate.