Răspunsul scurt
O simulare DORA pentru consiliu trebuie să verifice dacă directorii primesc informații utile, decid la timp și își documentează corect deciziile în timp ce echipele operaționale gestionează incidentul. Pornește de la o întrerupere realistă, separă clasificarea incidentului de urgența pentru activitate și exersează procedura reală de raportare, cu termenele ei distincte. Ghidul oferă un scenariu fictiv de 90 de minute, întrebări pentru coordonator, un jurnal al deciziilor și un registru al acțiunilor ulterioare. Este o propunere practică, nu un format impus de DORA și nici o dovadă de conformitate. Adaptează scenariul, competențele de decizie și obligațiile de raportare la entitatea ta înainte de exercițiu.
1. Testează deciziile, nu abilitatea de a recita reglementarea
Într-un incident tehnologic grav, întrebarea dificilă pentru consiliu este rareori „Trebuie să luăm situația în serios?”. Mai des, trebuie decis dacă se oprește un serviciu, se lucrează cu controale reduse, se finanțează o alternativă de urgență sau se comunică public înainte ca toate faptele să fie cunoscute. O simulare scoate la iveală aceste tensiuni înaintea unui incident real.
Articolele 17–19 din DORA privesc gestionarea, clasificarea și raportarea incidentelor. Articolul 17 include escaladarea către directorii competenți și informarea organului de conducere despre incidentele majore, efectele lor, răspuns și controalele suplimentare. Aceasta nu atribuie consiliului conducerea operațională a intervenției. Exercițiul verifică dacă responsabilitățile și căile de escaladare funcționează împreună.
Stabilește trei rezultate concrete: o decizie clară cu un responsabil, o sarcină de raportare atribuită unei persoane și o evidență a faptelor disponibile la momentul deciziei. Prezența tuturor nu este suficientă pentru a declara exercițiul reușit. Un rezultat util poate fi descoperirea faptului că nimeni nu poate accesa portalul de raportare dacă sistemul de identitate nu funcționează.
Exercițiul folosește un scenariu fictiv. Nu înlocuiește testele tehnice de restabilire, programul complet de testare a rezilienței sau testele de penetrare bazate pe amenințări. Cele 90 de minute sunt o propunere, nu un minim impus de reglementare.
2. Separă clasificarea, urgența și escaladarea către consiliu
Un incident poate necesita atenția conducerii executive înainte de stabilirea clasificării sale în raport cu normele. Invers, un incident major, ce trebuie raportat, poate cere notificare promptă în timp ce munca de recuperare deja progresează. Nu condiționa niciuna din decizii de disponibilitatea președintelui pentru aprobarea unui comunicat de presă.
Regulile detaliate de clasificare se găsesc în Regulamentul delegat (UE) 2024/1772. Articolul 8 combină afectarea serviciilor critice cu anumite condiții de semnificație. Nu orice întrerupere tehnică este automat un incident major. Regulile acoperă și incidentele recurente. Folosește o fișă de clasificare aprobată, care aplică pragurile și criteriile efective, în loc să improvizezi o evaluare pe culori în ședință.
În exercițiu, atribuie unei persoane din conformitate sau risc recomandarea de clasificare și faptele care o susțin. Responsabilul incidentului stabilește prioritățile operaționale. O persoană autorizată pregătește și trimite notificarea. Repartizarea reală a competențelor poate fi diferită în organizația ta: noteaz-o înainte de prima evoluție a scenariului.
- Ce se știe despre serviciile, clienții, tranzacțiile și datele afectate?
- Ce este o estimare, ce o susține și când va fi actualizată?
- Ce criterii de clasificare sunt îndeplinite, care nu sunt îndeplinite și care rămân incerte?
- Cine poate decide și acționa dacă persoana responsabilă în mod obișnuit nu este disponibilă?
Înregistrează separat momentul în care entitatea află despre incident și momentul clasificării. Informarea ulterioară a directorilor nu repornește primul termen. Detectarea incidentului și clasificarea sa ca major sunt evenimente distincte, care trebuie plasate precis în cronologie.
3. Exersează calcularea termenelor cu un exemplu
Rezumatul următor privește raportarea incidentelor majore legate de TIC conform articolului 5 din Regulamentul delegat (UE) 2025/301. Într-un incident real, consultă textul normativ și urmează procedura autorității competente.
| Etapă | Termenul obișnuit |
|---|---|
| Notificare inițială | Cât mai curând posibil, în patru ore de la clasificarea ca major și cel târziu la 24 de ore după ce entitatea află despre incident. |
| Excepție de clasificare ulterioară | Dacă clasificarea ca major are loc la mai mult de 24 de ore după ce entitatea află despre incident, notificarea trebuie trimisă în patru ore de la acea clasificare. |
| Raport intermediar | În 72 de ore de la trimiterea notificării inițiale, chiar dacă situația sau modul de gestionare nu s-au schimbat. Un raport intermediar actualizat este necesar fără întârziere nejustificată și, în orice caz, când activitățile obișnuite au fost restabilite. |
| Raport final | Nu mai târziu de o lună după raportul intermediar, sau cel mai recent raport intermediar actualizat, acolo unde este cazul. |
În exemplul fictiv, entitatea află despre incident marți la 09:00 și îl clasifică drept major la 10:00. Termenul obișnuit pentru notificarea inițială este marți la 14:00, rămânând valabilă obligația de a notifica cât mai curând. Dacă notificarea se trimite marți la 11:30, cele 72 de ore pentru raportul intermediar expiră vineri la 11:30. O actualizare ulterioară a raportului intermediar schimbă reperul pentru termenul de o lună al raportului final. O lună nu înseamnă 30 de zile.
Termenele nu se suspendă automat în weekend. Când este aplicabil, articolul 5 alineatul (4) permite transmiterea până la prânz în următoarea zi lucrătoare dacă termenul cade în weekend sau într-o sărbătoare legală din statul membru al entității. Alineatul (5) exclude de la această facilitate notificările inițiale și rapoartele intermediare ale instituțiilor de credit, contrapărților centrale, operatorilor locurilor de tranzacționare și altor entități financiare identificate ca esențiale sau importante potrivit NIS2. În baza alineatului (6), autoritățile pot exclude și alte entități semnificative sau sistemice după ce le informează; decizia se aplică incidentelor raportate după acea informare. Verifică aplicabilitatea înainte să folosești facilitatea.
Dacă nu poți respecta un termen, informează autoritatea competentă fără întârziere nejustificată și cel târziu la expirarea termenului, explicând motivele. Aceasta nu acordă automat o prelungire.
4. Pregătește sala și regulile de desfășurare
Invită președintele sau un director delegat să decidă, un responsabil de serviciu, responsabilul incidentului, reprezentanți din risc sau conformitate, juridic și comunicare, precum și o persoană care să noteze deciziile. Include responsabilul relației cu furnizorul dacă serviciul depinde de o platformă externă. Într-o organizație mică, aceeași persoană poate avea mai multe roluri, dar responsabilitățile trebuie să fie clare.
Trimite materiale scurte de pregătire: descrierea serviciului, căile de escaladare, obiectivele de restabilire, procedura de raportare, contactele actualizate și un jurnal gol al deciziilor. Cere folosirea procedurilor reale ale organizației. Coordonatorul stabilește faptele fictive și avansarea timpului. Persoana care ține jurnalul notează deciziile, nu transcrie toate discuțiile.
Separă timpul exercițiului de timpul scenariului. Cinci minute de discuție pot reprezenta o oră din incidentul fictiv, dar coordonatorul trebuie să anunțe saltul. Marchează fiecare mesaj și ciornă cu „EXERCIȚIU”. Nu trimite notificări de probă unei autorități, unui client sau furnizor dacă participarea lor nu a fost convenită. Folosește un canal de transmitere simulat și sigur.
Entitatea fictivă oferă clienților un serviciu de plăți printr-o platformă externă. Marți la 09:00, echipa operațională află despre plăți nereușite. Cauza este neclară. În scenariu, funcția susținută a fost evaluată ca fiind critică sau importantă. Participanții trebuie totuși să aplice criteriile pentru un incident major: clasificarea funcției nu determină singură clasificarea incidentului.
5. Parcurge această agendă de 90 de minute
Programul pune accent pe decizii, nu pe prezentări. Coordonatorul trebuie să oprească speculațiile tehnice prelungite și să ceară o decizie, o informație necesară sau o acțiune cu responsabil. Nu rezolva toate incertitudinile în locul participanților: alegerea dovezilor necesare face parte din exercițiu.
| Minutele exercițiului | Activitate | Rezultat așteptat |
|---|---|---|
| 0–10 | Confirmă domeniul, rolurile, competențele de decizie și faptele scenariului. | Decident nominalizat, lider de incident și persoană responsabilă cu notarea. |
| 10–25 | Prima evoluție: întrerupere și informații incomplete. | Priorități inițiale, solicitări de informații și decizie de escaladare. |
| 25–45 | A doua evoluție: clasificare ca incident major și procedura de raportare. | Momente inițiale și termene înregistrate, responsabil de raportare desemnat și plan de transmitere. |
| 45–65 | A treia evoluție: restabilire anunțată, presiunea clienților și incertitudini privind furnizorul. | Condiții de recuperare, decizia de comunicare și următorul moment de revizuire. |
| 65–80 | Compară deciziile cu planurile și identifică lacunele. | Constatări ordonate după prioritate, cu observații care le susțin. |
| 80–90 | Stabilește responsabili, termene și dovezi pentru închiderea acțiunilor. | Registru de acțiuni și o nouă verificare a problemei identificate. |
Dacă o decizie este amânată, responsabilul cu înregistrarea ar trebui să noteze cine va reveni cu ce dovezi și până când. „Am implica departamentul juridic” nu reprezintă o acțiune completată dacă nu este identificată persoana de contact juridică, întrebarea de clarificat sau timpul disponibil. Același standard se aplică pentru „contactați furnizorul” și „activați planul de recuperare”.
6. Introdu trei evoluții care cer evaluarea consecințelor
Prima evoluție: serviciul nu funcționează normal, dar cauza este incertă
La 09:15 în scenariu cresc plățile nereușite. Furnizorul confirmă o problemă a platformei, dar nu estimează timpul de restabilire. Unii clienți încearcă din nou, ceea ce poate complica reconcilierea tranzacțiilor. Echipa operațională poate limita temporar procesarea, dar ar întrerupe astfel serviciul și pentru clienți care poate nu sunt încă afectați.
Întreabă: ce prejudiciu pentru client este limitat și ce nou prejudiciu ar putea crea restricția? Cine are autoritatea de a schimba serviciul? Ce fapte minime sunt necesare acum? Cum va distinge echipa o tranzacție întârziată de una care trebuie reluată? Rezultatul așteptat este o decizie operațională limitată, un responsabil numit și un moment de revizuire, nu o presupunere despre cauza tehnică.
A doua evoluție: clasificare confirmată și responsabilul obișnuit de raportare indisponibil
La ora 10:00 în scenariu, facilitatorul furnizează o evaluare care arată că sunt îndeplinite condiția serviciilor critice afectate și pragurile de materialitate aplicabile. Pentru exercițiu, echipa autorizată clasifică incidentul ca fiind major la ora 10:00. Responsabilul obișnuit de raportare este indisponibil. Adjunctul nu a folosit niciodată portalul de transmitere și nu știe dacă are acces funcțional.
Solicită participanților să identifice ruta de raportare și să completeze o notificare inițială simulată folosind informațiile disponibile. Înregistrează necunoscutele cu onestitate și repartizează urmărirea lor. Care este termenul limită inițial? Cine transmite? Cine confirmă primirea? Poate organizația să continue fără a aștepta o altă ședință programată a consiliului? Folosește Regulamentul de punere în aplicare (UE) 2025/302 pentru șabloanele și procedurile de raportare; un jurnal de decizii pentru exerciții nu înlocuiește formularul de reglementare.
A treia evoluție: furnizorul anunță restabilirea, dar verificările sunt incomplete
La 11:15 în scenariu, furnizorul anunță reluarea procesării. Reconcilierea internă nu a confirmat încă tratarea corectă a tentativelor duplicate. Un client important cere o declarație publică potrivit căreia nicio înregistrare nu a fost afectată. Responsabilul serviciului propune reluarea imediată; responsabilul incidentului cere verificări suplimentare.
Întreabă ce dovezi justifică reluarea și cine poate accepta riscul operațional rezidual. Poate serviciul să revină în etape? Ce se poate comunica exact acum? De ce actualizare are nevoie autoritatea competentă? Stabilește condițiile revenirii la normal, responsabilul verificărilor suplimentare și ora următoarei informări. Nu recompensa reluarea cea mai rapidă dacă participanții nu explică modul de verificare a datelor clienților.
7. Ține un jurnal de decizii care să arate raționamentul
Un jurnal bine realizat permite reconstruirea justificării unei decizii rezonabile luate cu informații incomplete. Trebuie să distingă o decizie de o presupunere și să identifice cine poate modifica decizia. Următorul exemplu este fictiv și ilustrează o metodă de înregistrare, nu o reacție recomandată la fiecare incident de plată.
| Câmp | Exemplu rezolvat |
|---|---|
| Ora și decizia | 09:25: limitarea noilor ordine de plată prin canalul afectat până la reconcilierea datelor. |
| Informații disponibile | Plățile nereușite cresc; furnizorul nu estimează timpul de restabilire; rămâne de verificat dacă noile încercări au produs duplicate. |
| Opțiuni analizate | Continuarea fără modificări, limitarea noilor ordine sau redirecționarea tranzacțiilor eligibile printr-o alternativă aprobată. |
| Motiv și autoritate | Scop: limitarea incertitudinii suplimentare în procesare. Decizia este luată de directorul autorizat responsabil de serviciu. |
| Responsabil și următoarea verificare | Responsabilul operațional pune decizia în aplicare și raportează efectele la 09:45. |
| Condiții pentru revizuire | Rezultatul reconcilierii verificat și recomandarea de restabilire aprobată. |
Păstrează în cronologia incidentului momentele aflării, clasificării și trimiterii notificărilor, alături de jurnalul deciziilor. Folosește același fus orar. Conservă sursele faptelor importante și estimările anterioare când se modifică. Corectarea numărului de clienți afectați nu trebuie să șteargă fără urmă valoarea pe care s-a bazat decizia inițială.
8. Transformă observațiile în acțiuni cu rezultate verificabile
Începe analiza post-eveniment cu observații: ce decizie a fost amânată, ce informație nu a putut fi obținută și ce proces nu a putut fi demonstrat? Evită concluziile generale precum „comunicarea a fost deficitară” fără exemple concrete. Întreabă participanții ce decizii ar fi schimbat dacă incidentul ar fi debutat în afara orelor normale sau ar fi afectat instrumentele lor uzuale de colaborare.
Păstrează versiunea scenariului, participanții și rolurile, deciziile importante, fișa de clasificare, notificările simulate, lacunele observate și deciziile ulterioare. Protejează materialele potrivit sensibilității lor. Scopul este îmbunătățirea activității organizației, nu distribuirea inutilă a datelor reale ale clienților sau a informațiilor confidențiale ale furnizorilor.
| Lacună observată | Acțiune și responsabil | Termen propus | Dovezi de închidere |
|---|---|---|---|
| Adjunctul nu a putut demonstra accesul la raportare. | Responsabilul de conformitate verifică accesul înlocuitorului autorizat la sistemul de raportare și instrucțiunile aferente. | În termen de două săptămâni. | Test controlat de acces reușit și program de permanență actualizat. |
| Aprobarea recuperării nu a inclus criterii de integritate a datelor. | Responsabilul serviciului și echipa operațională stabilesc verificările și aprobarea reluării. | În termen de o lună. | Listă de verificare aprobată folosită într-un exercițiu țintit de recuperare. |
| Actualizările furnizorului nu precizau efectele asupra activității. | Responsabilul relației cu furnizorul revizuiește întrebările de escaladare și disponibilitatea contactelor. | Înaintea următoarei revizuiri a serviciului. | Ruta de escaladare agreată, demonstrată prin discuție comună. |
Aceste termene sunt exemple de decizii manageriale, nu termene legale. Desemnează o persoană care verifică închiderea și continuă să documentezi riscurile reziduale nerezolvate. Include constatările importante în tabloul de bord pentru consiliu. Dacă exercițiul evidențiază o dependență externă fără alternativă realistă, folosește ghidul riscului legat de furnizori pentru a lega constatarea de contracte, concentrarea dependențelor și planificarea ieșirii.
9. Leagă formarea conducerii de următoarea verificare
Cel mai util pas următor este un exercițiu scurt care verifică dacă o slăbiciune a fost corectată. Dacă a lipsit accesul la portalul de raportare, cere înlocuitorului să demonstreze cum îl folosește. Dacă nu erau clare condițiile de reluare a serviciului, testează-le din nou. Aceeași prezentare cu aceleași lacune nerezolvate oferă puține garanții suplimentare.
Folosește ghidul cerințelor DORA privind formarea membrilor consiliului pentru a lega exercițiul de formarea continuă a organului de conducere. Cursul BlueTeam Academy «Curs DORA de securitate cibernetică pentru membrii organelor de conducere și directori» prezintă principiile de guvernanță echipelor de conducere ale entităților financiare supuse DORA. Finalizarea cursului sau lista de prezență nu dovedesc conformitatea organizației. Completează această bază cu propriul context operațional, deciziile observate și îmbunătățirile verificate.
Întrebări adresate de lideri
Trebuie raportat fiecare incident TIC ca fiind major, conform DORA?
Nu. Aplică regulile de clasificare și pragurile de semnificație din Regulamentul delegat (UE) 2024/1772. O problemă operațională gravă poate justifica escaladarea internă în timp ce evaluarea potrivit normelor este încă în curs. Documentează evaluarea și revizuiește-o când faptele se schimbă.
Este termenul inițial de raportare DORA întotdeauna 24 de ore?
Nu. Regula obișnuită cere notificarea cât mai curând, în patru ore de la clasificarea ca incident major și cel târziu la 24 de ore după ce entitatea află despre incident. O regulă specială se aplică dacă această clasificare are loc după mai mult de 24 de ore. Înregistrează separat începutul și scadența fiecărui termen.
Acoperă o simulare toate cerințele DORA de testare?
Nu. Acest exercițiu antrenează deciziile consiliului și coordonarea. Nu demonstrează restabilirea tehnică și nu înlocuiește programul de testare a rezilienței aplicabil, testele specializate sau testele de penetrare bazate pe amenințări.
Ar trebui consiliul să aprobe fiecare notificare de incident?
Folosește un model de autoritate care permite raportarea la timp și informarea adecvată a organului de conducere. Nu inventa o dependență de aprobare care face imposibil termenul legal. Documentează înainte de incident cine poate trimite raportarea, delegatul și ruta de escaladare.
Surse și lecturi suplimentare
Legislație primară și materiale de supraveghere. Exemplele practice și șabloanele din acest ghid sunt sugestii, nu forme reglementate prescrise.
- Regulamentul (UE) 2022/2554: gestionarea incidentelor, clasificare și raportare
- Regulament delegat (UE) 2024/1772: clasificări și praguri de materialitate
- Regulament delegat (UE) 2025/301: conținutul raportării și termenele limită
- Regulamentul de punere în aplicare (UE) 2025/302: șabloane și proceduri de raportare
Acest ghid are scop educațional. Confirmați domeniul de aplicare al entității, cadrul aplicabil și cerințele de supraveghere împreună cu echipa juridică și de conformitate.
