DORA
Закон ЕС о цифровой операционной устойчивости — отдельный свод правил финансового сектора об ИТ-рисках, инцидентах и зависимости от поставщиков.
Регламент (ЕС) 2022/2554 действует с 17 января 2025 года и распространяется на банки, платёжные организации, страховщиков, поставщиков услуг с криптоактивами и длинный список других. Он требует систему управления ICT-рисками, уведомления о крупных инцидентах в установленные сроки, регулярные проверки устойчивости — для крупнейших участников это тестирование на проникновение по сценариям угроз (TLPT) — и реестр всех ICT-контрактов.
Главная новинка — надзор за сторонними поставщиками. Те из них, кого признали критическими, а на практике это крупные облачные провайдеры, подпадают под прямой надзор европейских надзорных органов. Для финансов DORA как более специальный закон имеет приоритет над NIS2, и юристам хватает работы, чтобы разобраться, какой режим к чему применяется.