Răspunsul scurt
Un exercițiu de tip tabletop DORA pentru consiliu ar trebui să testeze dacă liderii primesc informații utile, iau decizii la timp și mențin o evidență fiabilă în timp ce echipele operaționale gestionează incidentul. Folosiți o perturbare realistă, separați clasificarea incidentului de urgența de business și exersați ruta reală de raportare cu ceasurile ei distincte. Acest ghid oferă un exercițiu fictiv de 90 de minute, întrebări pentru facilitator, un jurnal al deciziilor și un tracker pentru urmărire ulterioară. Formatul este o recomandare practică, nu un exercițiu DORA prescris sau o dovadă de conformitate. Adaptați scenariul, nivelurile de autoritate și obligațiile de raportare conform entității financiare înainte de rulare.
1. Testează deciziile, nu abilitatea de a recita reglementarea
Decizia dificilă a consiliului într-un incident tehnologic serios este rareori „Ar trebui să luăm în serios această situație?”. Mai degrabă, este dacă să oprească un serviciu de afaceri, să opereze cu controale reduse, să finanțeze o alternativă de urgență sau să facă o declarație pentru clienți înainte ca toate datele să fie complete. Un exercițiu de tip tabletop expune aceste tensiuni înainte de un incident real.
DORA Articolele 17–19 tratează managementul incidentelor, clasificarea și raportarea acestora. Articolul 17 include escaladarea către managementul superior relevant și informarea organului de conducere cu privire la incidentele majore, impactul acestora, răspunsul și controalele suplimentare. Acest fapt nu transformă board-ul în comandantul operațional al incidentului. Exercițiul ar trebui să verifice dacă responsabilitățile și escalarea funcționează împreună.
Stabiliți trei rezultate practice: o decizie clară cu un responsabil, o sarcină de raportare cu o persoană responsabilă și o înregistrare care să explice faptele disponibile la acel moment. Nu acordați promovare doar pentru că toată lumea a participat. Rezultatul util poate fi descoperirea faptului că nimeni nu poate accesa portalul de raportare în caz de eșec al sistemului de identitate.
Exercițiul de mai jos este material de instruire fictiv. Nu înlocuiește testarea tehnică de recuperare, un program complet de testare a rezilienței sau testarea de penetrare orientată pe amenințare. Durata de 90 de minute este un format sugerat, nu un minim impus de reglementări.
2. Separă clasificarea, urgența și escaladarea către consiliu
Un incident poate necesita atenția conducerii executive înainte de stabilirea clasificării sale în raport cu normele. Invers, un incident major, ce trebuie raportat, poate cere notificare promptă în timp ce munca de recuperare deja progresează. Nu condiționa niciuna din decizii de disponibilitatea președintelui pentru aprobarea unui comunicat de presă.
Regulile detaliate de clasificare se găsesc în Regulament delegat (UE) 2024/1772. Articolul 8 combină serviciile critice afectate cu condiții de materialitate specifice; nu este o regulă ca orice întrerupere tehnică să fie automat un incident major. Regulile acoperă și incidentele recurente. Folosiți un formular aprobat de clasificare care aplică criteriile și pragurile reale, nu improvizați un sistem de clasificare prin culori în timpul ședinței.
Pentru exercițiu, acordă unui participant de conformitate sau risc responsabilitatea recomandării de clasificare și a faptelor care o susțin. Acordă liderului de incident responsabilitatea pentru prioritățile operaționale. Acordă unui responsabil de raportare autorizat sarcina pregătirii și transmiterii notificării relevante. Distribuția reală a autorității tale poate diferi; noteaz-o înainte de primul inject.
- Ce se știe despre serviciile, clienții, tranzacțiile și datele afectate?
- Ce este o estimare, ce o susține și când va fi actualizată?
- Ce criterii de clasificare sunt îndeplinite, care nu sunt îndeplinite și care rămân incerte?
- Cine poate decide și acționa dacă persoana responsabilă în mod obișnuit nu este disponibilă?
Înregistrați separat momentul conștientizării reale și cel al clasificării. O informare executivă ulterioară nu repornește cronometrul conștientizării. Similar, identificarea unui incident și clasificarea lui ca major sunt evenimente distincte ce necesită o cronologie exactă.
3. Exersează ritmurile de raportare cu un exemplu practic
Rezumatul de mai jos privește raportarea incidentelor majore legate de TIC în cadrul Articolul 5 al Regulamentului Delegat (UE) 2025/301. Folosiți textul legal efectiv și procesul de raportare al autorității competente pentru un incident.
| Etapă | Regulă de temporizare obișnuită |
|---|---|
| Notificare inițială | Cât mai devreme posibil; în decurs de patru ore de la clasificarea ca major și nu mai târziu de 24 de ore de la conștientizarea incidentului. |
| Excepție de clasificare ulterioară | Dacă incidentul nu a fost clasificat ca major în 24 de ore de la constatare și primește această clasificare ulterior, notificați în termen de patru ore de la noua clasificare. |
| Raport intermediar | În termen de 72 de ore de la trimiterea notificării inițiale, chiar dacă statutul sau modul de gestionare nu s-au schimbat. Un raport intermediar actualizat este necesar fără întârziere nejustificată și de fiecare dată când activitățile normale au fost reluate. |
| Raport final | Nu mai târziu de o lună după raportul intermediar, sau cel mai recent raport intermediar actualizat, acolo unde este cazul. |
În exemplul nostru ficțional, notificarea de conștientizare are loc marți la 09:00 și clasificarea principală la 10:00. Termenul obișnuit pentru notificarea inițială este marți la 14:00, sub rezerva obligației de a notifica cât mai devreme posibil. Dacă transmiterea are loc marți la 11:30, termenul limită pentru raportul intermediar de 72 de ore este vineri la 11:30. O actualizare intermediară ulterioară schimbă punctul de referință pentru termenul final de raportare de o lună. O lună nu înseamnă automat 30 de zile.
Nu există o pauză generală de weekend. Dacă este cazul, Articolul 5(4) permite raportarea până la prânz în următoarea zi lucrătoare, când termenul limită cade într-un weekend sau zi liberă legală în statul membru al entității care raportează. Paragraful 5 exclude raportările inițiale și intermediare efectuate de instituții de credit, contrapărți centrale, operatori de piețe de tranzacționare și alte entități financiare identificate ca esențiale sau importante potrivit NIS2. Potrivit paragrafului 6, autoritățile pot exclude și alte entități semnificative sau sistemice după notificarea acestora; decizia se aplică incidentelor raportate după notificare. Confirmați aplicabilitatea înainte de a vă baza pe această scutire.
Dacă nu puteți respecta un termen, informați autoritatea competentă fără întârzieri nejustificate și cel târziu până la termenul stabilit, explicând motivele. Aceasta nu prelungește automat termenul.
4. Pregătește sala și regulile de desfășurare
Invită președintele sau decidentul executiv delegat, un responsabil de servicii de afaceri, liderul incidentului, risc sau conformitate, juridic, comunicare și un responsabil pentru notare. Include un reprezentant pentru managementul furnizorilor acolo unde serviciul depinde de o platformă externă. Într-o organizație mai mică, o persoană poate îndeplini mai multe roluri, dar responsabilitățile trebuie clar precizate.
Trimiteți un pachet scurt de pregătire: serviciul de business relevant, harta de escaladare, obiectivele de recuperare, traseul de raportare, lista de contacte actualizată și un jurnal de decizie necompletat. Solicitați participanților să folosească procedurile reale ale organizației. Facilitatorul controlează datele ficționale și cronometrul exercițiului. Secretarul notează deciziile, nu transcrierea fiecărei conversații.
Mențineți timpul de exercițiu separat de timpul scenariului. O discuție de cinci minute poate reprezenta o oră în incidentul ficțional, dar facilitatorul trebuie să anunțe saltul. Etichetați fiecare mesaj și ciornă cu „EXERCIȚIU”. Nu trimiteți notificări de practică către un regulator, client sau furnizor decât dacă participarea a fost convenită. Folosiți o rută sigură de depunere fictivă.
Entitatea noastră fictivă furnizează un serviciu de plăți către clienți printr-o platformă externă de procesare. Marți, la ora 09:00, departamentul operațiuni ia la cunoștință despre eșecul procesării plăților. Cauza este neclară. Pentru acest exercițiu, organizația a evaluat funcția suportată ca fiind critică sau importantă. Participanții trebuie totuși să aplice criteriile de clasificare a incidentului major; eticheta funcției singură nu decide rezultatul.
5. Parcurge această agendă de 90 de minute
Această agendă prioritizează luarea deciziilor față de prezentarea de slide-uri. Facilitatorul ar trebui să oprească speculațiile tehnice extinse și să solicite o decizie, o nevoie de informații sau o urmărire nominalizată. Nu rezolvați orice incertitudine pentru participanți: decizia privind dovezile necesare face parte din exercițiu.
| Procese-verbale ale exercițiului | Activitate | Ieșire |
|---|---|---|
| 0–10 | Confirmați domeniul, rolurile, autoritatea și faptele scenariului. | Decident nominalizat, lider de incident și persoană responsabilă cu notarea. |
| 10–25 | Injecție unu: întrerupere și informații incomplete. | Priorități inițiale, solicitări de informații și decizie de escaladare. |
| 25–45 | Injecție doi: clasificare majoră și traseu de raportare. | Ceasurile înregistrate, responsabilitatea pentru raportare aprobată și planul de transmitere. |
| 45–65 | Injecție trei: revendicare de recuperare, presiune din partea clienților și incertitudine a furnizorului. | Condiții de recuperare, decizia de comunicare și următorul moment de revizuire. |
| 65–80 | Comparați deciziile cu planurile și identificați lacunele. | Constatări prioritizate cu observații suport. |
| 80–90 | Stabiliți responsabili, date și dovezi pentru închidere. | Urmăritor de acțiuni și o retestare țintită. |
Dacă o decizie este amânată, responsabilul cu înregistrarea ar trebui să noteze cine va reveni cu ce dovezi și până când. „Am implica departamentul juridic” nu reprezintă o acțiune completată dacă nu este identificată persoana de contact juridică, întrebarea de clarificat sau timpul disponibil. Același standard se aplică pentru „contactați furnizorul” și „activați planul de recuperare”.
6. Folosește trei injectări care impun un compromis real
Injecție unu: serviciul nu funcționează, dar cauza este incertă
La ora 09:15 în scenariu, plățile eșuate sunt în creștere. Furnizorul recunoaște o problemă de platformă dar nu furnizează o estimare pentru recuperare. Unii clienți reiau încercările, ceea ce ar putea crea o problemă de reconciliere. Echipa de operațiuni poate restricționa temporar procesarea, dar aceasta ar întrerupe clienții care s-ar putea să nu fie încă afectați.
Întreabă: ce prejudiciu pentru client este limitat și ce nou prejudiciu ar putea crea restricția? Cine are autoritatea de a schimba serviciul? Ce fapte minime sunt necesare acum? Cum va distinge echipa o tranzacție întârziată de una care trebuie reluată? Rezultatul așteptat este o decizie operațională limitată, un responsabil numit și un moment de revizuire, nu o presupunere despre cauza tehnică.
Injecție doi: clasificarea este confirmată și raportorul obișnuit este indisponibil
La ora 10:00 în scenariu, facilitatorul furnizează o evaluare care arată că sunt îndeplinite condiția serviciilor critice afectate și pragurile de materialitate aplicabile. Pentru exercițiu, echipa autorizată clasifică incidentul ca fiind major la ora 10:00. Responsabilul obișnuit de raportare este indisponibil. Adjunctul nu a folosit niciodată portalul de transmitere și nu știe dacă are acces funcțional.
Solicită participanților să identifice ruta de raportare și să completeze o notificare inițială simulată folosind informațiile disponibile. Înregistrează necunoscutele cu onestitate și repartizează urmărirea lor. Care este termenul limită inițial? Cine transmite? Cine confirmă primirea? Poate organizația să continue fără a aștepta o altă ședință programată a consiliului? Folosește Regulamentul de punere în aplicare (UE) 2025/302 pentru șabloanele și procedurile de raportare; un jurnal de decizii pentru exerciții nu înlocuiește formularul de reglementare.
Injecție trei: furnizorul spune că serviciul este restaurat, dar încrederea este incompletă
La ora 11:15 în scenariu, furnizorul anunță restaurarea procesării. Reconcilierea internă nu a confirmat încă gestionarea adecvată a tentativelor duplicate. Un client major solicită o asigurare publică că niciun registru nu a fost afectat. Proprietarul serviciului propune redeschiderea imediată; responsabilul incidentului dorește validare suplimentară.
Întreabă ce dovezi susțin redeschiderea și cine poate accepta orice risc operațional rezidual. Poate serviciul fi redeschis etapizat? Ce pot comunica corect comunicațiile acum? Ce actualizare este necesară pentru autoritatea competentă? Stabilește condițiile pentru revenirea la normal, un nou responsabil pentru validare și o informare ulterioară specifică. Nu răsplăti cea mai rapidă redeschidere dacă participanții nu pot explica cum vor fi verificate datele clienților.
7. Ține un jurnal de decizii care să arate raționamentul
Un jurnal bine realizat permite reconstruirea justificării unei decizii rezonabile luate cu informații incomplete. Trebuie să distingă o decizie de o presupunere și să identifice cine poate modifica decizia. Următorul exemplu este fictiv și ilustrează o metodă de înregistrare, nu o reacție recomandată la fiecare incident de plată.
| Câmp | Exemplu rezolvat |
|---|---|
| Timp și decizie | 09:25: restricționați noile depuneri prin canalul afectat până la reconciliere. |
| Informații disponibile | Eșecurile cresc; furnizorul nu are o estimare de recuperare; reîncercările duplicate rămân neconfirmate. |
| Opțiuni analizate | Continuați fără schimbări, restricționați transmiterea sau redirecționați tranzacțiile eligibile printr-o alternativă aprobată. |
| Motiv și autoritate | Limitați incertitudinea privind procesarea ulterioară; decizia este luată de către executivul de serviciu autorizat. |
| Proprietar și următoarea verificare | Liderul operațiunilor implementează și raportează impactul la 09:45. |
| Condiții pentru revizuire | Rezultat reconciliere validat și recomandare de recuperare aprobată. |
Păstrează marcaje de timp pentru conștientizare, clasificare și transmitere în cronologia incidentului împreună cu jurnalul. Folosește același fus orar. Reține sursa faptelor semnificative și păstrează estimările anterioare când se modifică. Un număr corectat privind impactul asupra clienților nu trebuie să suprascrie în liniște numărul pe baza căruia s-a luat decizia originală.
8. Transformați observațiile într-un tracker de acțiuni bazate pe dovezi
Începe analiza post-eveniment cu observații: ce decizie a fost amânată, ce informație nu a putut fi obținută și ce proces nu a putut fi demonstrat? Evită concluziile generale precum „comunicarea a fost deficitară” fără exemple concrete. Întreabă participanții ce decizii ar fi schimbat dacă incidentul ar fi debutat în afara orelor normale sau ar fi afectat instrumentele lor uzuale de colaborare.
Păstrați versiunea scenariului, prezența și rolurile, deciziile materiale, foaia de clasificare, notificările simulate, lacunele observate și deciziile ulterioare. Protejați documentația conform sensibilității. Scopul este învățarea organizațională utilă, nu distribuirea inutilă a datelor reale despre clienți sau a secretelor furnizorilor.
| Diferență observată | Acțiune și responsabil | Țintă sugerată | Dovezi de închidere |
|---|---|---|---|
| Adjunctul nu a putut demonstra accesul la raportare. | Responsabilul pe conformitate verifică accesul autorizat la backup și instrucțiunile. | În termen de două săptămâni. | Verificare de acces controlat reușită și o planificare actualizată. |
| Aprobarea recuperării nu a inclus criterii de integritate a datelor. | Proprietarul serviciului și operațiunile definesc validarea și semnarea. | În termen de o lună. | Listă de verificare aprobată folosită într-un exercițiu țintit de recuperare. |
| Actualizările furnizorului au lipsit detalii despre impactul asupra afacerii. | Managerul de furnizor revizuiește întrebările pentru escaladare și acoperirea punctelor de contact. | Înaintea următoarei revizuiri a serviciului. | Ruta de escaladare agreată, demonstrată prin discuție comună. |
Aceste ținte sunt alegeri de management ilustrative, nu termene legislative. Atribuiți un revizor pentru închidere și păstrați riscul rezidual nerezolvat. Includeți constatările materiale în tablou de bord de raportare către consiliu. Dacă exercițiul scoate la iveală o dependență externă fără o alternativă credibilă, folosiți ghid de risc cu terți pentru a lega constatarea de contracte, concentrație și planificarea ieșirii.
9. Conectați învățarea executivă la următoarea retestare
Cel mai util pas ulterior este un exercițiu mai mic care demonstrează că o slăbiciune a fost corectată. Dacă prima sesiune a expus o problemă de acces la raportare, demonstrați ruta adjunctului. Dacă a apărut incertitudine privind redeschiderea unui serviciu, retestați condițiile de aprobare. Repetarea aceleiași prezentări cu aceleași lacune nerezolvate aduce puțină asigurare nouă.
Utilizați Ghid privind cerințele de instruire a consiliului conform DORA pentru a conecta exercițiul cu învățarea continuă la nivelul organului de conducere. BlueTeam Academy DORA Instruire pentru Consiliu & Executiv introduce conceptele de guvernanță pentru echipele de conducere din entitățile financiare aflate în sfera DORA. Finalizarea cursului sau o dovadă de participare nu stabilește conformitatea organizației. Conectați această bază cu contextul serviciilor proprii, deciziile observate și îmbunătățirile verificate.
Întrebări adresate de lideri
Trebuie raportat fiecare incident TIC ca fiind major, conform DORA?
Nu. Aplicați regulile de clasificare și pragurile de materialitate din Regulamentul Delegat (UE) 2024/1772. O preocupare operațională gravă poate justifica escaladarea internă chiar dacă evaluarea reglementară este încă în desfășurare. Documentați evaluarea și revizitați-o pe măsură ce faptele evoluează.
Este termenul inițial de raportare DORA întotdeauna 24 de ore?
Nu. Regula generală impune notificarea cât mai devreme posibil, în termen de patru ore de la clasificarea ca incident major și nu mai târziu de 24 de ore de la conștientizare. O regulă specifică se aplică dacă clasificarea ca incident major survine după 24 de ore de la conștientizare. Orele trebuie înregistrate separat.
Este suficient un exercițiu tabletop pentru toate cerințele DORA de testare?
Nu. Acest exercițiu la nivel de board exersează decizii executive și coordonare. Nu demonstrează recuperarea tehnică și nu înlocuiește programul de testare a rezilienței, testele specializate sau testarea de penetrare ghidată de amenințări.
Ar trebui consiliul să aprobe fiecare notificare de incident?
Folosește un model de autoritate care permite raportarea la timp și informarea adecvată a organului de conducere. Nu inventa o dependență de aprobare care face imposibil termenul legal. Documentează înainte de incident cine poate trimite raportarea, delegatul și ruta de escaladare.
Surse și lecturi suplimentare
Legislație primară și materiale de supraveghere. Exemplele practice și șabloanele din acest ghid sunt sugestii, nu forme reglementate prescrise.
- Regulamentul (UE) 2022/2554: gestionarea incidentelor, clasificare și raportare
- Regulament delegat (UE) 2024/1772: clasificări și praguri de materialitate
- Regulament delegat (UE) 2025/301: conținutul raportării și termenele limită
- Regulamentul de punere în aplicare (UE) 2025/302: șabloane și proceduri de raportare
Acest ghid are scop educațional. Confirmați domeniul de aplicare al entității, cadrul aplicabil și cerințele de supraveghere împreună cu echipa juridică și de conformitate.
