EN UA

Регламент DORA: як A42 допоможе з відповідністю

З набранням чинності DORA фінансові компанії та їхні ІКТ-постачальники мають виконувати суворіші вимоги до кібербезпеки та цифрової стійкості, щоб працювати на європейському ринку.

Що таке DORA

Digital Operational Resilience Act (DORA) – це регламент Європейського Союзу, який встановлює єдині та обов'язкові правила щодо кібербезпеки та цифрової стійкості у фінансовому секторі. Регламент набув чинності 16 січня 2023 року, а його вимоги застосовуються з 17 січня 2025 року.

Метою DORA є підвищення операційної стійкості фінансових установ Європейського Союзу і зменшення ризиків по всьому ланцюжку створення вартості фінансового сектора. Головна його особливість полягає у зміщенні фокусу з простого захисту від кібератак на кіберстійкість – тобто здатність організацій витримувати серйозні кіберінциденти, адаптуватися до них та швидко відновлювати роботу.

Відповідність DORA: на кого поширюється регламент і які штрафи

DORA поширюється на фінансові установи, що працюють в ЄС, і встановлює вимоги до ІКТ-постачальників, на яких вони покладаються в цифрових послугах і роботі з даними. Регламент охоплює близько 20 типів фінансових установ:

Фінансові установи: банки, кредитні спілки, інвестиційні та страхові компанії, постачальники послуг у сфері криптоактивів, торгові майданчики тощо.

Постачальники послуг для фінансових установ: хмарні провайдери, розробники програмного забезпечення, IT-аутсорсингові компанії тощо.

Постачальники поза ЄС і штрафи за недотримання:

Працюєте з України? DORA стосується і вас.

Якщо ви надаєте хмарні сервіси, розробляєте ПЗ, займаєтесь IT-аутсорсингом чи іншими ІКТ-послугами для фінансових клієнтів із ЄС, будьте готові до перегляду контрактів, вимог до процесів безпеки та аудиту з їхнього боку.

До 1% середньоденного світового обороту

Такий штраф загрожує критичним стороннім ІКТ-постачальникам за кожен день невідповідності, протягом щонайбільше шести місяців. Для фінансових установ санкції визначає кожна країна ЄС: це можуть бути значні штрафи та персональна відповідальність керівників.

Що охоплює DORA

DORA встановлює комплексну систему цифрової операційної стійкості, яка охоплює кілька ключових напрямів:

Управління ІКТ-ризиками

Вимоги до створення надійної структури кібербезпеки під контролем керівництва.

Управління ризиками третіх сторін

Постійний моніторинг ІКТ-підрядників та обов'язкові вимоги до безпеки в контрактах з ними.

Тестування цифрової стійкості

Регулярні перевірки систем – від базових тестів на вразливості до просунутих пентестів (TLPT) кожні 3 роки для критичної інфраструктури.

Реагування на ІКТ-інциденти

Алгоритм дій під час кібератак та обов'язкове швидке звітування про масштабні збої регуляторам.

Обмін інформацією

Безпечний обмін даними про кіберзагрози між фінансовими установами.

Нагляд за критичними провайдерами

Право регуляторів ЄС прямо інспектувати та штрафувати постачальників ІТ-послуг.

Не знаєте, які вимоги стосуються саме вас? Замовте безкоштовний ознайомчий дзвінок з командою A42.

Що DORA вимагає від тестування стійкості

Тестування — не «галочка» для звіту. DORA очікує, що ви насамперед перевірите те, що найкритичніше для вашого бізнесу, з огляду на реальні загрози.

Базове тестування Просунуте тестування (TLPT)
Для кого Обов'язкове для всіх Великі критично важливі фінансові установи: банки, платіжні системи, клірингові та розрахункові центри
Як часто Щонайменше раз на рік. Великі критично важливі фінансові установи — також перед кожним розгортанням нових чи оновлених застосунків та інфраструктури Щонайменше раз на 3 роки
Охоплення Усі ІТ-системи та застосунки, що підтримують критичні або важливі функції Red Teaming на живих системах на основі аналізу загроз
Що входить Оцінка вразливостей, пентест, перевірка безпеки мережі та коду, аналіз прогалин, тести за сценаріями хакерів Сценарії реальних загроз на основі threat intelligence
З A42 AI Pentest, Recon + Exposure, AI SAST

  • Пентест обов'язковий

    DORA прямо називає тестування на проникнення серед обов'язкових інструментів.

  • Без фіксованої кількості сценаріїв

    Регламент визначає підхід, покриття та регулярність. Детальні вимоги є лише для TLPT.

  • Зовнішній чи внутрішній виконавець

    Внутрішній команді потрібні достатні ресурси та відсутність конфлікту інтересів. Для сервісів третіх сторін (хмара, SaaS, ШІ) право на тестування має бути прописане в контракті.

Як побудувати відповідність вимогам DORA разом з A42

Разом з A42 ваша компанія може закрити основні вимоги до тестування цифрової стійкості ІТ-інфраструктури навіть за умови обмежених ресурсів команди безпеки.

  • Статичний аналіз коду
    AI SAST сканує весь код за кілька хвилин, а не лише окремий коміт: близько 200 автоматизованих перевірок за методологією OWASP WSTG. Безкоштовно у складі Recon + Exposure.
  • Моніторинг вразливостей
    A42 Recon + Exposure регулярно й автоматично сканує ваш зовнішній периметр і виявляє витоки даних.
  • Тестування на проникнення
    AI Pentest: незалежний зовнішній пентест до 4 робочих днів, від $1 000. 130 спеціалізованих ШІ-агентів виконують 100 схем атак під наглядом досвідченого пентестера. Підходить для щорічної перевірки та для перевірок перед новими релізами.
  • Класифікація та пріоритезація знахідок за ризиком
    Кожна знахідка має рівень ризику. В AI Pentest кожна вразливість підтверджена proof-of-concept.
  • Production-дані без анонімізації
    AI Pentest виявляє неанонімізовані production-дані та фіксує їх у звіті, як того вимагає регламент.
  • Усунення вразливостей
    Рекомендації щодо виправлення в кожному звіті. Звіт AI SAST надається у форматі Markdown — його зручно передати ШІ-асистенту.
  • Підтвердження виправлень
    Повторне сканування всього домену за 50% від ціни першого сканування, щоб підтвердити, що кожну вразливість усунуто.

Як підготуватися до DORA разом з A42

  1. Ознайомчий дзвінок

    Визначаємо, які вимоги DORA стосуються саме вас.

  2. План і пропозиція

    План дій і комерційна пропозиція під ваш бізнес.

  3. Тестування

    AI Pentest і безперервний моніторинг з Recon + Exposure.

    До 4 робочих днів
  4. Звіт і ре-тест

    Виправляєте знахідки, а ре-тест за 50% ціни підтверджує результат.

Швидше до відповідності DORA

Замовте дзвінок з A42 для консультації щодо впровадження вимог DORA.

Новини по темі

FAQ

Що таке DORA простими словами?

DORA (Digital Operational Resilience Act) — це регламент Європейського Союзу, що встановлює єдині обов'язкові правила з кібербезпеки та цифрової стійкості для фінансового сектору. Його мета — підвищити стійкість фінансових компаній ЄС і зменшити ризики в усьому ланцюжку створення вартості фінансового сектору. Головна ідея — не просто захист від кібератак, а кіберстійкість: здатність витримувати серйозні кіберінциденти, адаптуватися до них і швидко відновлювати роботу. Регламент набув чинності 16 січня 2023 року, а його вимоги застосовуються з 17 січня 2025 року.

На кого поширюється DORA?

DORA має екстериторіальну дію і поширюється на всі компанії, що працюють на фінансовому ринку ЄС або надають йому критично важливі послуги. Це близько 20 типів фінансових установ (банки, страхові та інвестиційні компанії, постачальники послуг у сфері криптоактивів, торгові майданчики тощо) та їхні постачальники ІКТ-послуг: хмарні провайдери, розробники ПЗ та інші.

Які штрафи за недотримання DORA?

Для фінансових установ DORA не встановлює єдиного розміру штрафу: конкретні санкції визначає кожна країна ЄС, і вони можуть включати значні штрафи та персональну відповідальність керівників. Для критичних сторонніх ІКТ-постачальників регламент передбачає окрему санкцію — періодичний штраф до 1% середньоденного світового обороту за кожен день невідповідності, протягом щонайбільше шести місяців.

Чи стосується DORA компаній поза ЄС, зокрема українських?

Так. Якщо ваша компанія надає хмарні сервіси, розробляє ПЗ, займається IT-аутсорсингом чи іншими ІКТ-послугами для клієнтів із ЄС, вимоги DORA поширюються на вас як на ІКТ-постачальника, навіть якщо ви працюєте поза ЄС. На практиці це означає перегляд контрактів із європейськими клієнтами, приведення процесів безпеки у відповідність і готовність до аудиту з їхнього боку.

Що таке тестування цифрової стійкості за DORA?

Це регулярна перевірка того, чи здатні ваші ІКТ-системи витримати реальні атаки та збої, щоб слабкі місця знаходили й усували раніше, ніж ними скористаються зловмисники. DORA очікує ризик-орієнтованого підходу: насамперед тестувати системи, що підтримують критичні або важливі функції. Тестування охоплює все — від оцінки вразливостей, перевірки безпеки мережі та коду й пентестів (базовий рівень, щонайменше раз на рік для всіх) до тестування на проникнення на основі аналізу загроз, TLPT (щонайменше раз на 3 роки для системно важливих організацій).

Чи обов'язковий пентест для відповідності DORA?

Так, DORA прямо називає тестування на проникнення серед обов'язкових інструментів. Базовий рівень передбачає оцінку вразливостей і пентести для всіх систем, що підтримують критичні функції, щонайменше раз на рік. Регламент не фіксує конкретну кількість сценаріїв, а говорить про підхід, покриття й регулярність.

Як часто потрібно проводити пентест за вимогами DORA?

Базове тестування критичних систем — щонайменше раз на рік, а для системно важливих організацій ще й перед розгортанням нових чи оновлених застосунків. Просунуте тестування TLPT проводиться щонайменше раз на три роки. Між перевірками доцільно тримати регулярний моніторинг, щоб не пропускати нові вразливості.

Що має містити звіт про пентест за вимогами DORA?

Знайдені вразливості мають бути класифіковані та пріоритезовані за рівнем ризику, звіт повинен містити достатньо інформації для їх усунення, а клієнт — мати змогу перевірити, що вразливість справді усунуто. Тобто важлива не лише знахідка, а й підтверджене виправлення.

Чи підходить AI Pentest для відповідності DORA?

Так, AI Pentest від A42 відповідає вимогам DORA до процесів тестування та звітів: кожна вразливість класифікована, пріоритезована й підтверджена proof-of-concept, а звіт придатний для проходження комплаєнсу. Він добре закриває базовий рівень тестування й підходить як для щорічної перевірки, так і для регулярних сканувань перед релізами.

Скільки коштує пентест для DORA?

Вартість залежить від масштабу вашого периметра. AI Pentest істотно дешевший за ручне тестування, бо основну роботу виконують ШІ-агенти, а базовий пентест починається від $1 000 (приблизно €900). Точну вартість найкраще розрахувати під час короткої консультації.