DORA действует почти два года: что финансовым компаниям нужно знать о своих облачных провайдерах
Банк может перенести часть ИТ-инфраструктуры в облако, но не может передать поставщику всю ответственность за связанные с этим риски. Если из-за сбоя дата-центра перестанут работать платежи или клиентское приложение, финансовой организации придется разбираться не только с последствиями аварии, но и с тем, как она управляла рисками и подготовилась к такому сценарию.
DORA (Digital Operational Resilience Act) — регламент ЕС о цифровой операционной устойчивости финансового сектора. Он применяется с 17 января 2025 года и устанавливает требования к финансовым организациям, в том числе к управлению рисками, связанными с внешними поставщиками ИТ-услуг.
Договор с провайдером как инструмент управления рисками
DORA распространяется на широкий круг финансовых организаций ЕС. Конкретные требования зависят от категории организации и предусмотренных регламентом исключений.
Финансовая организация должна оценивать риски, связанные с ИТ-поставщиками, и сохраняет ответственность за выполнение требований DORA, даже если использует внешние услуги. Критичность функции влияет на дополнительные требования к договору и контролю поставщика. При этом поставщик ИТ-услуг не подпадает под прямой надзор DORA только потому, что обслуживает финансовую компанию. Прямой надзор распространяется на поставщиков, которых европейские надзорные органы официально признали критически важными. Это не отменяет договорных требований и оценки рисков со стороны клиента.
Локация, резервные копии и действия при инциденте
Первое, что стоит уточнить, — география инфраструктуры. Для ИТ-услуг, поддерживающих критические или важные функции, договор должен определять регионы или страны, где предоставляются услуги и обрабатываются данные, включая места хранения. В нем также предусматривается предварительное уведомление клиента о планируемом изменении этих мест.
Важно знать и то, какие сторонние организации участвуют в предоставлении услуги. Если от субподрядчиков зависит работа критических систем, финансовой организации нужно понимать характер этой зависимости и связанные с ней риски.
После аварии может выясниться, что для восстановления платежного сервиса нужны не только резервные копии, но и сетевые настройки, сертификаты, конфигурации приложений и доступ к внешним системам. Поэтому стоит уточнить, что именно резервируется, как проверяется восстановление и кто за него отвечает. Для критически важных сервисов нужно также согласовать целевые показатели RPO и RTO: допустимый объем потери данных и целевое время восстановления.
Клиенту важно знать, куда обращаться при сбое, как провайдер сообщает о ходе работ и какие действия должна выполнить собственная ИТ-команда. Помимо условий SLA стоит проверить порядок реагирования на инциденты, каналы связи, доступность технической поддержки и правила информирования о проблемах. Для услуг, поддерживающих критические или важные функции, DORA предусматривает дополнительные договорные условия, включая требования к уровням сервиса и уведомлению о событиях, которые могут существенно повлиять на предоставление услуги.
DORA не требует от финансовых организаций отказаться от облачных услуг или размещения инфраструктуры за рубежом. Регламент требует оценивать связанные с ИТ-поставщиками риски и закреплять необходимые условия в договорах. Поэтому при выборе облачного провайдера важно понимать, где предоставляется услуга, как устроена цепочка поставщиков и что произойдет при сбое.
