DORA

הסבר בקצרה

DORA היא תקנה אירופית לחוסן תפעולי דיגיטלי, החלה מ-17 בינואר 2025. היא מחייבת גופים פיננסיים שבתחולתה בניהול סיכוני ICT, בדיווח על אירועים משמעותיים ובבדיקות חוסן, ומגדירה גם פיקוח על ספקי ICT קריטיים.

התקנה עוסקת גם בספקי ICT קריטיים ובתלות בהם, מעבר לחובות הגופים הפיננסיים עצמם.

על מי חלות הדרישות?

גופים פיננסיים שבתחולת התקנה, ובהם בנקים, מבטחים, חברות השקעות וספקי שירותים פיננסיים נוספים. יש גם חובות חוזיות ופיקוחיות ביחס לספקי ICT.

דרישות מרכזיות

מסגרת מתועדת לניהול סיכוני ICT, סיווג ודיווח על אירועים, בדיקות חוסן ורישום הסכמים עם ספקי ICT. בחלק מהגופים נדרשות בדיקות חדירה מבוססות איומים.

משמעויות לאבטחת מידע ולפרטיות

תהליכי הזיהוי וההסלמה צריכים לתמוך במועדי הדיווח הרגולטוריים, לרבות דיווח ראשוני, ביניים וסופי.

שיטת ההערכה

סקר פערים בניהול סיכוני ICT, בניית מרשם ספקים, תכנון סיווג ודיווח על אירועים והגדרת תוכנית בדיקות חוסן.

שלבי היישום

הערכה

ניתוח פערים במסגרת ניהול הסיכונים ובמרשם ספקי ה-ICT.

הקמה

יישום תהליכי סיווג ודיווח על אירועים ותוכנית בדיקות חוסן.

בדיקה

ביצוע בדיקות חוסן, לרבות TLPT כאשר נדרש.

דרישות ראיות ותיעוד

תיעוד מסגרת הסיכונים, מרשם ספקי ICT, דיווחי אירועים ותוצאות בדיקות חוסן.

טעויות נפוצות

העברת מלוא האחריות למחלקת IT ללא מעורבות הנהלה ותיעוד חסר של התקשרויות ותלות בספקי ICT.

תקנים ומסגרות קשורים

סקירה מקצועית

ניצן לוי

מייסד-שותף ב-Cybecs וב-RedRok ומנהל תחום פרטיות ו-GRC. הסמכות: CISM, CISSP, CDPSE, CCSK, CSA.

שאלות נפוצות

האם התקנה נוגעת לנו כספק ICT?

ייתכנו דרישות חוזיות מצד לקוחות פיננסיים. ספק שהוגדר קריטי עשוי להיות כפוף גם למסגרת הפיקוח הישירה של DORA.

איזה אירוע ICT מחייב דיווח כאירוע משמעותי?

הסיווג מבוסס על קריטריונים מוגדרים, כגון לקוחות שנפגעו, משך האירוע, היקף גאוגרפי ואובדן מידע. מתאימים את תהליך הסיווג לפעילות הארגון.

האם נדרשת בדיקת חדירה מבוססת איומים?

הדרישה ל-TLPT חלה על גופים שנבחרו בהתאם לקריטריונים הרלוונטיים. גם גופים אחרים נדרשים לבדיקות חוסן, בהתאם לתחולתם.

לתיאום סקר פערים

בדקו את מסגרת ניהול סיכוני ה-ICT שלכם מול דרישות DORA.

לתיאום סקר פערים ←