西班牙DORA合规服务

DORA条例（数字运营韧性法案，Digital Operational Resilience Act），即欧盟第2022/2554号条例，是规定金融机构数字运营韧性要求的欧盟法规。该条例自2025年1月17日起适用，在所有成员国直接适用，无需转化为国内法。

其目的是确保金融机构能够预防各类ICT相关的中断和事件，并在事件发生时作出响应和恢复。这不是建议，而是附带处罚机制的法定义务。

DORA的适用范围非常广泛，包括信贷机构、投资服务公司、支付机构和电子货币机构、基金管理公司（SGIIC、AIFM）、保险和再保险公司、养老基金、加密资产服务提供商（MiCA下的CASP）、众筹平台，以及它们的关键ICT第三方服务提供商（CTPPs）。

如果贵机构在欧盟金融领域开展业务，很可能适用DORA。首要工作是确定适用层级和相称性规则。

DORA服务围绕条例的五大支柱展开，这五大支柱就是必须遵守的合规领域：

• ICT风险管理：框架、政策、资产分类和安全控制。
• ICT重大事件的管理、分类以及向监管机构报告。
• 数字运营韧性测试：每年的基础测试，以及重要机构的TLPT。
• ICT第三方服务提供商风险管理：合同、登记册、尽职调查和CTPPs。
• 金融机构之间共享网络威胁信息与情报。

DORA第6条要求建立ICT风险管理框架，该框架须形成书面文件，经治理机构批准，且至少每年审查一次。框架应涵盖ICT风险的识别、保护、检测、响应和恢复。

• 按对业务的重要程度，对ICT资产进行清点和分类。
• 信息安全政策和访问控制。
• ICT业务连续性计划和灾难恢复计划（DRP）。
• 变更、补丁和漏洞管理流程。

高级管理层不能转移责任：DORA要求管理机构直接批准并监督该框架。

关键ICT第三方服务提供商（CTPPs）由欧洲监管机构（EBA、ESMA、EIOPA）根据其系统性影响予以指定，并直接受到欧盟层面的监管。

主要的云服务商（Microsoft Azure、Amazon AWS、Google Cloud）是天然的候选对象。将其用于关键职能的机构，必须调整合同、配合检查，并制定书面的退出计划。

支持关键职能的ICT服务提供商合同必须包含强制性条款：服务说明、SLA、审计权、数据可携带性和退出计划。

DORA对ICT重大事件建立了统一的报告机制，时限非常严格：

• 4小时：自事件被归类为重大事件起，向监管机构提交初始报告。
• 72小时：提交中期报告，更新事件信息。
• 1个月：提交最终报告，说明原因分析、影响以及已采取的措施。

未按时报告本身就构成对DORA条例的违反，可被处罚。在事件发生之前就建立好相应流程，才是真正的保障。

时间因机构规模、网络安全成熟度以及所发现差距的范围而异：

• 网络安全基础成熟度一般的中小型机构：完成全面整改通常需要6至12个月。
• 重要机构或基础设施复杂的机构：项目周期可能更长，尤其是TLPT测试以及与关键提供商的合同调整。

鉴于DORA自2025年1月起适用，尚未启动整改的机构应尽快行动，以降低监管和声誉方面的风险敞口。

DORA与NIS2并存，但在ICT风险管理方面，对金融机构而言DORA作为特别法（lex specialis）优先适用。遵守DORA的金融机构，视为符合NIS2的相应要求。

NIS2的行业覆盖面更广，而DORA专为金融行业设计，要求细致得多：报告时限更严格、有专门的TLPT测试，以及NIS2所没有的第三方服务提供商监管制度。