Rozporządzenie DORA (UE 2022/2554) obejmuje instytucje finansowe działające na terenie Unii Europejskiej, w tym banki, zakłady ubezpieczeń i reasekuracji, firmy inwestycyjne, instytucje płatnicze, instytucje pieniądza elektronicznego, dostawców usług w zakresie kryptoaktywów, centralne depozyty papierów wartościowych, partnerów centralnych i inne podmioty wskazane w artykule 2 rozporządzenia. Oprócz instytucji finansowych DORA nakłada wymagania na zewnętrznych dostawców usług ICT wspierających te instytucje, w tym dostawców usług chmurowych klasyfikowanych jako krytyczni.

Standardowa lista kontrolna oparta na tekście rozporządzenia pozwala odpowiedzieć na pytanie, czy dana regulacja jest znana. DORA Navigator odpowiada na pytanie, czy organizacja faktycznie spełnia wymagania, uwzględniając regulacyjne standardy techniczne (RTS) i implementacyjne standardy techniczne (ITS) wydane przez Europejskie Urzędy Nadzoru, które uszczegółowiają wymagania rozporządzenia. To rozróżnienie ma praktyczne znaczenie, bo inspektor KNF lub EBC weryfikuje zgodność na poziomie aktów wykonawczych i rzadko poprzestaje jedynie na poziomie samych artykułów rozporządzenia.

DORA Navigator dostarcza audytorowi wewnętrznemu gotowy program audytu obszaru zarządzania ryzykiem ICT oparty na pełnym zakresie wymagań DORA i aktów wykonawczych. Pytania ankiety przekładają się bezpośrednio na procedury audytowe, audytor wie, co sprawdzić, jakie dowody zebrać i jak ocenić zgodność z wymaganiami regulacyjnych standardów technicznych. To rozwiązanie przydatne tam, gdzie audytor dysponuje doświadczeniem procesowym, a ankieta stanowi wsparcie w obszarach wymagających specjalistycznej wiedzy dotyczącej wymagań technicznych. Eksperci Davidson są dostępni jako wsparcie merytoryczne, pomagając interpretować wymagania i oceniać dowody audytowe.

Przygotowanie wniosku inwestycyjnego w obszarze ICT wymaga rzetelnej oceny stanu zgodności,  która jest wiarygodna nie tylko dla autora, ale też dla zarządu. DORA Navigator dostarcza tej oceny w oparciu o metodykę przygotowaną przez niezależny podmiot, obejmującą pełny zakres wymagań rozporządzenia i aktów wykonawczych. Ankieta prowadzi przez wszystkie wymagane obszary i wymaga odniesienia się do każdego z nich, co zmniejsza ryzyko przeoczenia istotnych luk. Raport wskazuje konkretne obszary niezgodności z przypisanymi priorytetami naprawczymi i dostarcza zarządowi argumentów opartych na regulacyjnych wymaganiach. Eksperci Davidson weryfikują wyniki tam, gdzie odpowiedzi wymagają interpretacji lub potwierdzenia dowodami.

Przygotowanie do kontroli KNF w zakresie DORA wymaga wiedzy o to, gdzie są luki, i dokumentacji pokazującej, że organizacja realizuje proces zarządzania zgodnością. Raport DORA Navigator dostarcza obu. Wskazuje konkretne obszary niezgodności z wymaganiami rozporządzenia i aktów wykonawczych oraz priorytety naprawcze, które organizacja może przedstawić jako dowód aktywnego zarządzania zgodnością. Eksperci Davidson są dostępni, żeby omówić wyniki raportu i przygotować plan naprawczy dostosowany do harmonogramu kontroli.

Raport wskazuje konkretne obszary niezgodności z wymaganiami DORA i powiązanych aktów wykonawczych, przypisuje im priorytety naprawcze i zawiera rekomendacje działań zarówno dokumentacyjnych, jak i operacyjnych. Tam, gdzie wymagania DORA wymagają interpretacji, wyniki raportu stanowią podstawę do dalszej pracy z ekspertem Davidson, który rekomenduje plan naprawczy dostosowany do profilu organizacji i harmonogramu kontroli nadzorczej.

Tak. Wsparcie merytoryczne Davidson Consulting jest dodatkową opcją dostępną przy zakupie dostępu do DORA Navigator lub jako usługa uzupełniająca po zapoznaniu się z raportem. To drugie rozwiązanie sprawdza się szczególnie wtedy, gdy organizacja chce najpierw zobaczyć wyniki, a dopiero potem zdecydować, które obszary wymagają pogłębionej analizy i rekomendacji działań naprawczych.

Pytania trafiają do osób odpowiedzialnych za konkretne obszary, czyli do SOC, IT Operations, funkcji zarządzania ryzykiem, Zakupów lub Vendor Management, Compliance, BCM i audytu wewnętrznego. Każda z tych osób pracuje wyłącznie z pytaniami adekwatnymi do swojej roli. Pytania z obszarów wspólnych dla kilku ról trafiają do wszystkich właściwych osób, co pozwala na weryfikację krzyżową odpowiedzi. Czas wypełnienia dla jednego respondenta to zwykle kilka godzin, rozłożonych na przestrzeni kilku dni pracy własnym rytmem. Eksperci Davidson są dostępni podczas całego procesu, co skraca czas potrzebny na interpretację wymagań.

Artykuł 30 DORA wymaga konkretnych postanowień w umowach z dostawcami usług ICT wspierającymi funkcje krytyczne lub istotne. Rok po wejściu w życie rozporządzenia większość instytucji finansowych przeprowadziła renegocjacje lub aneksowała istniejące umowy. Ankieta pomaga zweryfikować, czy aktualizacje są kompletne i obejmują wszystkie wymagane postanowienia, w tym te dotyczące prawa do audytu, planów wyjścia i warunków zakończenia współpracy.

Zaawansowane testy penetracyjne oparte na analizie zagrożeń (Threat-Led Penetration Testing, TLPT) realizowane są według metodyki TIBER-EU i obejmują szczegółowe wymagania dotyczące kwalifikacji testerów zewnętrznych, zakresu testów i procesu zatwierdzania przez organ nadzoru. Ankieta pomaga zweryfikować, czy organizacja spełnia warunki wymagane przed przystąpieniem do TLPT, czy proces zatwierdzania przez organ nadzoru jest prawidłowo inicjowany i czy dokumentacja wymagana na poszczególnych etapach jest kompletna. W projektach, które realizujemy, to obszar, w którym przygotowanie do spełnienia wymagań zajmuje najwięcej czasu ze względu na złożoność procesu kwalifikacji i zatwierdzania.

Tak. Wyniki oceny w DORA Navigator można zestawić z wynikami KSC Navigator, co daje spójny obraz luk w zarządzaniu ryzykiem ICT bez konieczności prowadzenia dwóch niezależnych ocen w tych samych obszarach. Jest to szczególnie przydatne dla podmiotów z sektora bankowego i finansowego, które podlegają DORA jako instytucje finansowe i jednocześnie mogą być objęte ustawą o KSC jako podmioty kluczowe lub ważne.

Narzędzie jest zaprojektowane tak, żeby organizacja mogła pracować samodzielnie. Pytania zawierają kontekst regulacyjny wyjaśniający intencję wymagania. Eksperci Davidson pozostają dostępni do konsultacji i weryfikacji odpowiedzi, co rekomendujemy szczególnie w obszarach o wysokiej złożoności regulacyjnej, takich jak TLPT czy umowy z krytycznymi dostawcami ICT. Możliwy jest też model mieszany, w którym organizacja wypełnia ankietę samodzielnie, a Davidson weryfikuje wyniki i opracowuje plan naprawczy.