DORA 2026: milyen digitális működési követelmények érintik a fintech cégeket?

Mi az a DORA, és miért fontos 2026-ban?

A Digital Operational Resilience Act – röviden DORA – az Európai Unió digitális működési ellenálló képességre vonatkozó szabályrendszere. A célja, hogy a pénzügyi szektor szereplői informatikai meghibásodások, kibertámadások és külső technológiai szolgáltatói zavarok esetén is képesek legyenek alapvető szolgáltatásaik biztonságos működtetésére vagy helyreállítására.

A rendelet 2025. január 17-étől alkalmazandó. Ezért 2026-ban már nem az a fő kérdés, mikor indul a megfelelés, hanem az, hogyan bizonyítják a vállalatok a kontrollok tényleges működését, hogyan kezelik a változásokat és az incidenseket, illetve milyen információt szolgáltatnak a felügyeletnek.

Mely fintech vállalkozásokat érintheti?

A DORA által felsorolt pénzügyi szervezetek között megtalálhatók például a hitelintézetek, a pénzforgalmi intézmények, az elektronikuspénz-kibocsátó intézmények, a számlainformációs szolgáltatók, valamint egyes befektetési, biztosítási és más pénzügyi piaci szereplők.

Az, hogy egy startup „fintechként” hivatkozik magára, önmagában nem dönti el a jogi helyzetét. A tényleges engedély, tevékenység és szervezeti státusz számít. Emellett az egyes kisebb szervezetekre arányos vagy egyszerűsített követelmények vonatkozhatnak; ezek nem azonosak egy általános mentességgel.

1. IKT-kockázatkezelés és vezetői felelősség

A DORA elvárja, hogy a pénzügyi szervezet azonosítsa és kezelje az informatikai rendszereihez, adataihoz, hozzáféréseihez és külső szolgáltatóihoz kötődő kockázatokat. A vezető testület felelőssége nem pusztán egy informatikai szabályzat jóváhagyására korlátozódik: a keretrendszer felügyelete, a szükséges erőforrások biztosítása és a rendszeres felülvizsgálat is fontos.

A gyakorlatban ide tartozhat az eszközök és kritikus funkciók nyilvántartása, a változáskezelés, a hozzáférések és mentések kontrollja, a helyreállítási forgatókönyvek, valamint a beszállítói kockázatok kezelése.

2. IKT-incidensek kezelése és jelentése

Nem minden hibajegy vagy leállás automatikusan jelentésköteles. Az érintett pénzügyi szervezeteknek az előírt kritériumok alapján kell osztályozniuk az IKT-incidenseket, és a súlyos, azaz major incidenseket a meghatározott folyamat szerint jelenteniük kell az illetékes hatóságnak.

Ezért célszerű előre kijelölni az incidensfelelősöket, kidolgozni a technikai és üzleti hatások dokumentálását, valamint rendszeresen tesztelni a kapcsolattartási és helyreállítási folyamatokat. A jelentési határidőket és részletszabályokat az alkalmazandó uniós technikai standardok és hatósági útmutatók alapján kell kezelni.

3. Digitális reziliencia tesztelése

A működési ellenálló képesség nem kizárólag szabályzat kérdése: a releváns rendszereken és folyamatokon megfelelő teszteket is kell végezni. Ezek között lehetnek sérülékenységvizsgálatok, üzletmenet-folytonossági gyakorlatok és incidens-szimulációk.

A fenyegetésvezérelt behatolási tesztelés (TLPT) a DORA keretében a meghatározott, erre kijelölt szervezeti körre vonatkozik, nem automatikusan minden kis fintech vállalkozásra.

4. Külső IKT-szolgáltatók nyilvántartása és ellenőrzése

Felhőszolgáltató, üzemeltető partner, adatfeldolgozó platform vagy szoftverszolgáltató is hordozhat működési kockázatot. A DORA a pénzügyi szervezetektől az IKT-külső szolgáltatókkal kötött szerződések megfelelő kezelését és információs nyilvántartás vezetését is megköveteli.

A szerződéses követelmények különösen lényegesek a kritikus vagy fontos funkciókat támogató szolgáltatásoknál. A kockázatkezeléshez hozzátartozhat a szolgáltatói koncentráció, az alvállalkozók, a kilépési stratégia és az incidensek közös kezelése is.

5. Fenyegetési információk megosztása

A DORA keretet biztosít bizonyos kibervédelmi információk – például fenyegetésekre és sérülékenységekre vonatkozó ismeretek – együttműködésen alapuló megosztásához. Az ilyen együttműködésnek megfelelő adatvédelmi, üzleti titokvédelmi és versenyjogi feltételek mellett kell történnie.