DORA за финансовия сектор: с какво се различава от ISO 27001

Банки, застрахователи и инвестиционни посредници, с които работим, почти винаги стартират разговора с една и съща реплика: „Вече имаме ISO 27001, защо ни трябва и DORA“. Разбираема реакция — но двете покриват различни неща, а застъпването е по-малко, отколкото изглежда на пръв поглед.

ISO 27001 е рамка за управление, DORA е регулаторно изискване с конкретика

ISO 27001 задава система за управление на сигурността на информацията — процесен подход, който вие адаптирате към риска си. DORA е регламент с конкретни, незаобиколими изисквания, специфични за финансовия сектор: тестване на оперативната устойчивост, надзор на критични доставчици на трети страни, стриктни срокове за докладване на инциденти.

Тестването на устойчивостта е отделен пласт работа

ISO 27001 изисква управление на риска, но DORA изрично задължава редовно тестване — от основни оценки на уязвимости до задълбочени тестове за проникване, базирани на заплахи (TLPT) за по-големите институции. Това е програма, а не еднократна проверка.

Доставчиците на трети страни са в центъра на вниманието

DORA въвежда конкретен регистър и надзор на критичните ИКТ доставчици — облачни услуги, платежни системи, аутсорсинг партньори. Договорите с тях трябва да съдържат конкретни клаузи за сигурност и право на одит, които много съществуващи договори просто нямат.

Практическият извод

Ако вече имате ISO 27001, това е добра основа — но за DORA са ви нужни допълнителна програма за тестване, надзор на веригата от доставчици и процеси за докладване, съобразени точно с регулаторните срокове на финансовия сектор.