DORA合规：金融科技公司的ICT风险指南 (ZH)

什么是DORA？ 数字运营弹性法案（DORA）是欧盟的一项法规，旨在加强金融实体应对ICT相关中断的弹性。

谁需要遵守？ 所有欧盟金融实体，包括银行、投资公司、保险公司和金融科技公司，以及它们的关键第三方ICT服务提供商。

关键关注领域： DORA强制要求健全的ICT风险管理、事件报告、弹性测试、第三方风险管理和信息共享。

身份提供商的新变化？ 根据DORA，身份提供商正面临越来越多的审查，尤其是在确保安全访问和防止未经授权访问方面的作用。

理解DORA：增强数字运营弹性

DORA，即数字运营弹性法案，代表了欧盟金融实体在数字运营和网络安全方面方法的一次重大改革。它不仅仅是另一个合规打卡项；它是一个全面的框架，旨在确保欧盟金融部门能够抵御、应对和从信息与通信技术（ICT）事件造成的严重运营中断中恢复过来。对于金融科技公司而言，理解和实施DORA对于其在欧盟市场的持续运营和增长至关重要。 DORA的核心在于整合和统一现有的ICT相关监管要求，创建一套统一的规则。这意味着，金融实体将遵守一个单一的、全欧盟范围的标准，而不是应对一堆零散的国家法规。该法规高度强调*数字运营弹性*——即实体在ICT中断期间保持关键业务功能的能力。这包括从防止网络攻击到从影响IT基础设施的自然灾害中恢复的各个方面。 DORA的范围很广，涵盖了银行、保险公司、投资公司、支付机构，以及提供金融服务的金融科技公司。它还将触角延伸到关键的ICT第三方服务提供商，包括提供云服务、软件和身份验证解决方案的提供商。这一包含意味着，如果您的金融科技公司依赖外部提供商提供基本功能，您必须确保这些提供商也符合DORA的严格要求。如果您充当其他金融实体的关键第三方提供商，这也同样适用。 DORA的关键支柱：

• ICT风险管理： 要求建立一个全面的框架，包括政策、程序和控制，以有效管理ICT风险。
• ICT事件报告： 强制要求在严格的时间内对重大ICT相关事件进行分类并向主管当局报告。
• 数字运营弹性测试： 要求对ICT系统和功能进行定期测试，包括漏洞评估、渗透测试和基于场景的演习。
• 第三方风险管理： 建立了详细的监督框架，用于管理源自ICT第三方服务提供商的风险。
• 信息共享： 鼓励金融实体之间自愿共享网络威胁情报。

对于金融科技公司来说，这意味着：积极主动且健全的ICT风险管理方法不再是可选项，而是监管的强制要求。

在DORA下应对金融科技ICT风险

金融科技公司，就其性质而言，是在高度数字化的环境中运营的。它们的商业模式建立在技术之上，因此特别容易受到ICT风险的影响。DORA对这些风险带来了更高程度的审查，要求比以往任何时候都更加成熟和全面的方法。这包括理解整个ICT生态系统，从内部系统到复杂的第三方依赖关系网络。 金融科技公司面临的挑战在于其运营的动态性以及技术的快速发展。它们通常会迅速采用新技术和服务以保持竞争力，这可能会引入新的漏洞。DORA要求采取系统性的方法来识别、评估和缓解这些风险。这意味着不仅要防范恶意软件和网络钓鱼等外部威胁，还要确保支付处理、账户管理以及至关重要的身份验证等关键服务的完整性和可用性。 考虑身份提供商在金融科技生态系统中的作用。这些服务对于了解您的客户（KYC）流程、安全登录和防止欺诈至关重要。根据DORA，这些身份解决方案的弹性和安全性是至关重要的。身份提供商系统的任何泄露都可能导致广泛的未经授权访问、数据泄露以及金融科技公司运营连续性的彻底中断。因此，金融科技公司必须严格评估其选定的身份提供商的ICT风险，确保它们符合弹性标准并采取健全的安全协议。 此外，DORA强调对ICT风险管理采取“从摇篮到坟墓”的方法。这意味着风险评估应整合到任何ICT系统或服务的整个生命周期中，从采购和开发到部署和退役。对于金融科技公司而言，这意味着将风险考虑纳入产品开发路线图、供应商选择流程，甚至用户界面的设计中。目标是在组织结构中构建弹性，而不是事后才加上去。

第三方风险管理：关键组成部分

DORA对于金融科技公司最重要的方面之一是其严格的第三方风险管理框架。鉴于许多金融科技公司在各种功能上严重依赖外部服务提供商——云托管、软件开发、数据分析，以及当然还有身份验证——有效管理这些关系对于合规至关重要。DORA不仅要求尽职调查；它还要求采取积极主动的持续监督流程。 金融实体必须维护所有ICT第三方协议的清单。对于每个关键提供商，都必须进行全面的评估。这包括评估提供商的安全措施、运营弹性能力、业务连续性计划以及他们自己的分包商管理。该法规还引入了“关键”ICT第三方服务提供商的概念，这些提供商可能会受到欧洲监管机构的直接监督。 对于身份提供商而言，这意味着要证明符合DORA的要求。这可能涉及提供有关其安全认证（如ISO 27001）、事件响应程序、数据保护措施以及他们自身弹性测试结果的详细文件。金融科技公司需要确保与这些提供商签订的合同包含与运营弹性、审计权和退出策略相关的特定条款。 这不仅适用于身份提供商，还适用于所有关键供应商。如果一家金融科技公司使用云提供商作为其核心基础设施，那么该提供商的弹性直接关系到金融科技公司自身的运营弹性。DORA推动对这些相互依赖性进行更深入的理解和管理。这还包括理解第三方风险聚合的风险——即多个互联提供商带来的累积风险。 该法规还为某些关键ICT第三方提供商引入了直接监督的可能性。这意味着大型云提供商或其他基本服务提供商可能会面临欧盟监管机构的直接审查，这可以通过确保整个供应链的弹性水平更高，从而间接使依赖它们的金融实体受益。

身份提供商与DORA合规

身份提供商在数字金融生态系统中发挥着关键作用，DORA将它们置于聚光灯下。确保身份验证服务的安全性、完整性和可用性是寻求DORA合规的金融科技公司不可或缺的一环。这需要一个多方面的办法：

1. 健全的身份验证流程： 身份提供商必须采用安全且有弹性的方法来验证用户身份。这包括强大的身份验证机制、防止身份盗用以及遵守GDPR等数据保护法规。对于DORA而言，这意味着确保这些流程不仅安全，而且可用性高且能够抵御中断。
2. 安全的数据处理： 身份数据高度敏感。提供商必须实施最先进的安全措施来保护这些数据免遭泄露，包括加密、访问控制和定期安全审计。DORA规定，所有支持关键功能的ICT系统都必须受到保护，免遭未经授权的访问和数据丢失。
3. 弹性和可用性： 身份服务必须在需要时可用。这需要冗余基础设施、健全的灾难恢复计划和有效的业务连续性管理。金融科技公司需要评估其身份提供商的正常运行时间保证和弹性测试。
4. 事件响应： 在发生事件时，身份提供商必须有清晰、快速且有效的事件响应计划。这包括及时通知其金融科技客户，以便他们履行自己的DORA报告义务。
5. 分包商管理： 如果身份提供商使用其他第三方（例如，用于数据处理或基础设施），他们必须确保这些分包商也符合DORA在ICT风险管理和运营弹性方面的标准。

金融科技公司必须积极与它们的身份提供商互动，要求提供其DORA就绪性或合规性的证据。这可能涉及审查其安全策略、审计报告和事件响应计划。选择一个理解并解决这些DORA要求的身份提供商，对于减轻风险和确保合规至关重要。

为DORA做好准备：金融科技公司的实用步骤

DORA合规是一个持续的过程，而不是一次性事件。金融科技公司应采取以下实用步骤：

• 进行差距分析： 根据DORA的要求评估您当前的ICT风险管理框架。识别您的政策、程序和控制措施不足的领域。
• 更新ICT风险管理政策： 确保您的政策全面，涵盖从威胁检测到事件响应和业务连续性的所有方面。
• 编制第三方提供商清单： 维护一个详细且最新的所有ICT第三方服务提供商清单，并按其关键程度进行分类。
• 加强供应商尽职调查： 增强您在选择和监控第三方提供商方面的尽职调查过程，重点关注其运营弹性和安全状况。
• 实施健全的事件报告： 建立清晰的程序，以便在规定的时间内对ICT事件进行分类并向相关当局报告。
• 制定弹性测试计划： 实施定期的ICT系统和功能测试计划，包括渗透测试和基于场景的演习。
• 培训您的员工： 确保您的员工了解他们在DORA下的角色和职责，特别是那些参与ICT风险管理、合规和运营的人员。
• 与您的身份提供商互动： 积极与您的身份提供商和其他关键供应商讨论DORA。要求提供其合规工作的文件和保证。

通过采取这些步骤，金融科技公司不仅可以实现DORA合规，还可以显著增强其数字运营弹性，从而与客户和监管机构建立更大的信任。

关于DORA的常见问题

DORA合规的截止日期是什么时候？

DORA法规已于2024年1月17日正式生效。所有受影响的金融实体及其关键ICT第三方提供商必须在此日期前遵守规定。

DORA如何影响在欧盟运营的非欧盟金融科技公司？

如果一家金融科技公司，无论其所在地如何，向欧盟金融实体提供服务或直接向欧盟境内的消费者提供服务，它可能会受到DORA的管辖，特别是如果其服务被认为是关键的。这包括对其ICT第三方提供商的要求。

不遵守DORA的处罚是什么？

主管当局可以对不合规行为处以巨额罚款，对于金融实体而言，罚款可能高达其平均每日全球营业额的1%，对于ICT第三方提供商而言，罚款可能高达100万欧元。

准备开始？

驾驭DORA合规的复杂性需要一种战略性的ICT风险管理和第三方监督方法。Didit提供了一个强大的身份验证平台，该平台在弹性和安全性方面都得到了强化，有助于金融科技公司满足严格的监管要求。

了解更多关于Didit的合规功能： Didit合规

探索Didit平台的功能： Didit平台

联系我们获取个性化演示： 联系Didit

Didit 如何支持您的 DORA 态势

Didit 是一家 ICT 第三方提供商，您可以证明：通过 ISO/IEC 27001:2022 认证（Bureau Veritas，证书 ES144068，有效期至 2027-06-03），通过 SOC 2 Type 1 认证（ATOM），并生成您的 DORA 报告所需的 webhook 和审计跟踪。

请参阅 Didit 的安全与合规性，探索产品，查看定价，并免费开始——每月 500 次免费 KYC 检查。