01
Dlaczego dostawca odczuwa DORA
Podmiot finansowy musi zarządzać ryzykiem ICT oraz informacjami o umowach z dostawcami. Jeżeli usługa wspiera funkcję krytyczną lub ważną, ocena i warunki mogą być bardziej szczegółowe.
Nie oznacza to automatycznie, że każdy mały dostawca staje się podmiotem nadzorowanym jak instytucja finansowa. Może jednak zostać objęty wymaganiami klienta i kontrolą umowną.
02
Informacje o usłudze
Dostawca powinien umieć wskazać zakres, dane, lokalizacje świadczenia i przetwarzania, podwykonawców, zależności, poziom usługi oraz osoby kontaktowe. Zmiana istotnego podwykonawcy nie powinna być dla klienta zaskoczeniem.
- opis usługi i wspieranych procesów;
- dostęp administracyjny oraz jego kontrola;
- lokalizacje danych i świadczenia;
- podwykonawcy oraz dalszy łańcuch;
- monitorowanie, incydenty i współpraca;
- zwrot lub usunięcie danych oraz plan wyjścia.
03
Od umowy do działania
Wymóg powiadomienia o incydencie musi wskazywać zakres, kanał i osoby dyżurne. Prawo audytu wymaga sposobu bezpiecznego udostępniania dowodów. Cele odtworzeniowe powinny wynikać z architektury i regularnych testów.
Największym ryzykiem jest podpisanie standardowego załącznika bez sprawdzenia, czy operacje potrafią spełnić wszystkie deklaracje. Każdy zapis powinien mieć właściciela i procedurę.
04
Przygotowanie do rozmowy z klientem
Zbierz pakiet dostawcy: opis architektury, schemat przepływu danych, kontrolę dostępu, kopie i testy, proces incydentowy, listę podwykonawców, ciągłość działania oraz plan wyjścia.
Odpowiedzi powinny być konkretne i proporcjonalne. Jeżeli kontrola jest w trakcie budowy, lepiej przedstawić termin i właściciela działania niż deklarować nieistniejący mechanizm.
ŹRÓDŁA
Sprawdzone materiały źródłowe
Stan informacji zweryfikowano w dniu publikacji. W sprawach prawnych zakres obowiązków zawsze należy odnieść do konkretnej organizacji i zastosowania.