Riscul TIC legat de furnizori în DORA: ghid de supraveghere pentru conducere

1. Începe cu serviciul pe care compania trebuie să îl mențină

Un raport de achiziții începe de obicei cu furnizorii, cheltuielile anuale și datele de reînnoire. O discuție DORA utilă pentru consiliu începe cu un rezultat pentru client: plata unei despăgubiri, efectuarea unei plăți, păstrarea istoricului investițiilor sau accesul la un cont. De aici, identifică sistemele, serviciile externe și oamenii necesari pentru a obține acel rezultat.

Întrebarea se schimbă din „Am evaluat furnizorul cloud?” în „Ce se întâmplă cu acest serviciu dacă platforma de identitate, regiunea cloud sau furnizorul de asistență devin indisponibile?”. A doua întrebare evidențiază dependențe care pot lipsi din fișa de evaluare a furnizorului. Întreruperea unui serviciu de autentificare ieftin poate bloca mai multă activitate decât indisponibilitatea unui produs software cumpărat printr-un contract mult mai mare.

Utilizarea serviciilor TIC nu transferă obligațiile entității financiare către furnizor. DORA include riscul legat de furnizorii terți de servicii TIC în cadrul de gestionare a riscurilor entității. Vezi articolul 28 din Regulamentul (UE) 2022/2554. Interpretarea și metodele de lucru din acest ghid sunt recomandări practice; nu reprezintă o enumerare exhaustivă a tuturor cerințelor aplicabile fiecărui tip de entitate.

Pentru materialul destinat consiliului, cere directorului responsabil să precizeze serviciul afectat, persoana responsabilă intern, durata tolerabilă a întreruperii, expunerea actuală și decizia necesară. Păstrează detaliile tehnice în anexe. Membrii consiliului au nevoie de suficiente informații pentru a verifica o ipoteză, fără să preia munca echipei de răspuns la incidente sau negocierea fiecărei clauze.

2. Nu confunda o funcție critică cu un furnizor critic desemnat

Cele două evaluări răspund la întrebări diferite. Entitatea ta stabilește care dintre funcțiile sale sunt critice sau importante potrivit DORA. Autoritățile europene de supraveghere desemnează furnizorii terți critici de servicii TIC în cadrul de supraveghere al Uniunii. ESMA explică faptul că această supraveghere completează responsabilitățile entităților financiare, fără să le înlocuiască. Vezi explicația ESMA despre supravegherea prevăzută de DORA.

Aplică această distincție unui furnizor specializat mic. Acesta poate susține singura ta cale către un serviciu financiar important fără să apară pe lista furnizorilor desemnați. De asemenea, achiziționarea unui serviciu minor de la un furnizor desemnat foarte mare nu elimină necesitatea evaluării utilizării efective. Stochează aceste două clasificări separat pentru a preveni ca un câmp „critic: da/nu” să influențeze în mod eronat toate deciziile ulterioare.

3. Asigură un registru complet, cu legături clare între informații

Registrul nu se limitează la contractele care susțin funcții critice sau importante. Articolul 28 alineatul (3) acoperă toate acordurile contractuale pentru utilizarea serviciilor TIC furnizate de terți și cere evidențierea celor care susțin astfel de funcții. Regulamentul de punere în aplicare (UE) 2024/2956 oferă șabloanele standard, inclusiv informații suplimentare pentru evaluare și despre lanțul de aprovizionare relevante pentru funcțiile critice sau importante.

Pentru a verifica dacă registrul este complet, compară-l cu documentele de achiziții, plățile recurente, inventarul aplicațiilor și informațiile deținute de responsabilii serviciilor. Diferențele trebuie investigate; nu dovedesc automat o încălcare a cerințelor. O factură poate privi un serviciu din afara domeniului TIC, iar mai multe facturi se pot referi la același acord. Documentează concluzia, fără să ignori discrepanța.

Cere unei persoane din afara echipei care actualizează registrul să urmărească o dependență de la început până la sfârșit. Poate identifica entitatea contractantă, utilizatorul efectiv, furnizorul, funcția susținută, persoana responsabilă și contractul în vigoare? Poate distinge acordul extern de acordul intern al grupului legat de acesta? Dacă legăturile nu sunt clare, exportul unui fișier valid tehnic nu rezolvă problema de gestionare.

• Desemnează o persoană care să clarifice întrebările deschise despre clasificare și atribuirea responsabilităților.
• Înregistrează data și motivul modificării, mai ales după achiziții sau migrări de servicii.
• Verifică și corelează modificările la aprobarea unui serviciu nou, nu doar înainte de termenul de raportare.
• Arată conducerii ce informații lipsesc și de cât timp, în loc să prezinți doar numărul furnizorilor.

Consiliul nu trebuie să aprobe fiecare rând din tabel. Este nevoie de siguranța că există un responsabil pentru completitudine, incertitudinea este vizibilă și dependențele importante primesc atenția cuvenită.

4. Leagă politica privind furnizorii de deciziile concrete

O politică este utilă când schimbă o decizie înainte ca organizația să devină dependentă de furnizor. Pentru entitățile supuse cerințelor respective, Regulamentul delegat (UE) 2024/1773 abordează ciclul de viață al aranjamentelor care susțin funcții critice sau importante. Solicită revizuirea politicii de către organul de conducere cel puțin anual și actualizarea acesteia atunci când este necesar. Aplicabilitatea și proporționalitatea trebuie verificate raportat la categoria de reglementare a entității.

Etapele următoare sunt o propunere de lucru. Înainte de alegerea furnizorului, responsabilul serviciului descrie activitatea și consecințele unei întreruperi. Înainte de semnare, echipele de risc, securitate, juridic și achiziții identifică împreună problemele nerezolvate. Înainte de lansare, echipele operaționale demonstrează că monitorizarea, asistența și restabilirea serviciului sunt organizate. La reînnoire sau după o modificare importantă, responsabilul verifică dacă ipotezele inițiale mai sunt valabile.

La fiecare etapă, separă dovezile obținute, evaluarea făcută și excepția acceptată. Un raport de verificare a furnizorului este o dovadă. Concluzia că acoperă adecvat modul în care folosești serviciul este o evaluare. Continuarea cu o lacună nerezolvată este o excepție: necesită o decizie luată de cineva cu autoritatea necesară, condiții și un termen de valabilitate.

Nu clasifica orice problemă drept „acceptată de organizație”. Stabilește cine poate accepta fiecare risc conform regulilor de guvernanță. Trimite decizia la nivelul competent când consecințele unei dependențe depășesc acea autoritate. Cea mai utilă contribuție a consiliului poate fi finanțarea unei capacități de restabilire care lipsește sau oprirea unei lansări grăbite, bazate pe ipoteze de reziliență încă netestate.

5. Evaluează concentrarea dincolo de cheltuielile cu furnizorii

Concentrarea privește atât întreruperile cu o cauză comună, cât și dependența comercială. Două contracte cu firme diferite pot depinde de aceeași platformă de găzduire, de același operator de conectivitate, serviciu de identitate sau subcontractant specializat. Chiar și două regiuni cloud pot avea un mediu comun de administrare. Un grafic al cheltuielilor nu clarifică aceste dependențe tehnice.

Articolul 29 din DORA privește evaluarea riscului de concentrare TIC. Pentru o discuție practică, cere conducerii să prezinte câteva scenarii plauzibile de întrerupere a dependențelor și serviciile care s-ar opri simultan. Explicitează ipotezele privind personalul disponibil, accesul la chei, conectivitatea, coerența datelor și capacitatea alternativei propuse.

Mai mulți furnizori pot crește, de asemenea, complexitatea, costul operațional și riscul de coordonare. Obiectivul practic nu este interzicerea universală a concentrării sau cerința duplicării infrastructurilor oriunde. Este o alegere informată privind o expunere specifică, susținută de opțiuni credibile și de un responsabil clar. Înregistrează de ce măsura de atenuare selectată este proporțională și ce eveniment ar genera reconsiderarea acesteia.

6. Verifică documentația contractuală față de serviciul utilizat efectiv

O etichetă care spune „Anexă DORA semnată” este prea generală pentru o supraveghere eficientă. Articolul 30 stabilește cerințe contractuale, cu prevederi suplimentare pentru serviciile TIC care susțin funcții critice sau importante. Consilierii juridici ar trebui să coreleze cerințele aplicabile cu aranjamentul efectiv. Comparația de mai jos este un instrument practic pentru identificarea diferențelor, nu un substitut pentru formularea contractuală.

Citește rapoartele de verificare ținând cont de limitele lor. Ce perioadă acoperă? Ce configurație a fost evaluată? Ce responsabilități presupun din partea clientului? Exclud o componentă de care depinde planul tău de restabilire? Un certificat actual poate fi util și totuși poate lăsa fără răspuns o întrebare operațională concretă.

Păstrează o evidență concisă a lacunelor, legând fiecare problemă de o consecință pentru activitate, o măsură compensatorie, un responsabil și un termen. Prezintă consiliului expunerile importante nerezolvate și deciziile care depășesc autoritatea delegată. Nu ascunde o lacună gravă în spatele unui procent mare de clauze îndeplinite: o singură capacitate lipsă poate conta mai mult decât numeroase probleme minore rezolvate.

7. Testează dacă planul de ieșire poate fi pus în practică

Dreptul contractual de a renunța la un furnizor și capacitatea operațională de a face acest lucru sunt diferite. Dispozițiile DORA privind ieșirea din acordurile pentru servicii care susțin funcții critice sau importante se găsesc în articolul 28 alineatul (8). În practică, consiliul ar trebui să conteste ipotezele pe care se bazează planul: destinație, date, persoane, timp, bani și continuitatea serviciului.

Distinge o migrare planificată de o întrerupere de urgență. O migrare de șase luni poate fi realistă comercial, dar inutilă ca răspuns imediat la indisponibilitatea unui serviciu. Planul de restabilire poate menține activitatea, în timp ce planul de ieșire rezolvă dependența pe termen lung. Cere conducerii să explice legătura dintre ele, fără să prezinte vreunul dintre documente drept soluție universală.

1. Alege un serviciu reprezentativ și definește situația care declanșează ieșirea.
2. Exportă un eșantion controlat de date solicitate cu protecție adecvată.
3. Verifică dacă sistemul de destinație poate citi și reconcilia datele, nu doar stoca un fișier.
4. Verifică drepturile de acces, licențele, competențele de specialitate și suportul contractual pentru tranziție.
5. Măsoară timpul și identifică munca manuală, dependențele lipsă și presupunerile netestate.
6. Actualizează costul, ordinea etapelor, persoana responsabilă și data următorului test.

Această succesiune este o propunere de testare, nu o cerință de migrare necontrolată în producție. Alege teste sigure și potrivite serviciului și documentează limitele. Dacă ai testat doar un eșantion mic, precizează acest lucru. Dacă alternativa nu este pregătită, arată deschis limitarea și decizia temporară privind riscul. Un indicator verde nu trebuie să însemne doar că există un document.

8. Pregătește un raport concis pentru consiliu, cu decizii clare

Un raport util poate răspunde la cinci întrebări: ce s-a schimbat, ce s-ar putea întrerupe simultan, ce verificări oferă mai puțină siguranță, ce opțiuni rămân și ce decizie este necesară? Aceasta este o propunere de structură. Frecvența trebuie să reflecte riscurile și guvernanța organizației, nu un calendar trimestrial DORA universal inventat.

Include numărul restrâns de dependențe cu cele mai grave consecințe, modificările recente, acțiunile importante întârziate și următoarea decizie contractuală sau de migrare. Explică tendințele. Mai mulți furnizori înregistrați pot însemna un inventar mai complet, nu o expunere mai mare. Mai puține acțiuni deschise pot indica rezolvarea problemelor sau schimbarea modului de numărare.

• Leagă fiecare risc important de serviciul afectat și de un director responsabil.
• Distinge capacitatea de restabilire testată de un obiectiv sau de promisiunea furnizorului.
• Arată excepțiile contractuale, lacunele în verificări și de cât timp sunt nerezolvate.
• Identifică modificările de concentrare și ipotezele care necesită dovezi noi.
• Precizează decizia solicitată, alternativele analizate și consecința amânării.

Folosește ghidul tabloului de bord DORA pentru consiliu pentru a lega acești indicatori de supravegherea generală a riscului TIC. Pentru practică, analizează o dependență cu impact major în cadrul exercițiului de simulare a răspunsului la incidente pentru consiliu. Consiliul ar trebui să recunoască aceleași denumiri de servicii, responsabili de risc și presupuneri de recuperare în toate cele trei discuții.

9. Pregătește următoarea discuție pornind de la o dependență reală

Nu începe prin a cere tuturor echipelor să refacă toate rapoartele. Alege un serviciu important și solicită un set coerent de dovezi: evaluarea funcției, înregistrarea, contractul, raportul de verificare, testul de restabilire și planul de ieșire. Cere responsabililor să le examineze împreună. Vor apărea rapid identificatorii neconcordanți, ipotezele depășite și acțiunile fără responsabil.

Transformă constatările într-un plan scurt de îmbunătățire. Clarifică mai întâi responsabilitățile și completează inventarul. Apoi abordează deciziile urgente legate de reînnoiri, migrări sau expunerea la risc. În final, îmbunătățește supravegherea periodică pentru a preveni reapariția acelorași lacune. Fiecare acțiune trebuie să aibă un rezultat verificabil, nu doar indicația „îmbunătățește guvernanța”.

Directorii trebuie, de asemenea, să aibă o înțelegere comună a rolului lor. Ghidul cerințelor DORA privind formarea membrilor consiliului explică legătura dintre învățare și responsabilitățile de guvernanță. Cursul BlueTeam Academy «Curs DORA de securitate cibernetică pentru membrii organelor de conducere și directori» oferă un parcurs centrat pe decizii pentru echipele de conducere ale entităților financiare supuse DORA. Nu evaluează conformitatea organizației. Completează formarea cu dovezi, decizii și acțiuni ulterioare referitoare la propriile servicii.