DORA για παρόχους υπηρεσιών ΤΠΕ: τι ζητούν οι χρηματο­οικονομικές οντότητες στην Κύπρο

01Πού βρίσκεται ο DORA το φθινόπωρο του 2026

Ο DORA, δηλαδή ο Κανονισμός (ΕΕ) 2022/2554 (ανοίγει εξωτερικό ιστότοπο) για την ψηφιακή επιχειρησιακή ανθεκτικότητα, εφαρμόζεται από τις 17 Ιανουαρίου 2025. Ως κανονισμός δεσμεύει χωρίς μεταφορά σε εθνικό νόμο· το εθνικό δίκαιο ορίζει κυρίως ποιες αρχές εποπτεύουν και ποιες κυρώσεις ισχύουν. Στην Κυπριακή Δημοκρατία οι αρμόδιες αρχές ορίστηκαν με την Κ.Δ.Π. 252/2025, γνωστοποίηση του Υπουργού Οικονομικών που δημοσιεύθηκε στις 14 Αυγούστου 2025. Οι λεπτομέρειες βρίσκονται σε τεχνικά πρότυπα της Επιτροπής: πλαίσιο διαχείρισης κινδύνων ΤΠΕ, ταξινόμηση και αναφορά συμβάντων, μητρώο πληροφοριών, συμβατικές πολιτικές, υπεργολαβία και δοκιμές παρείσδυσης βάσει απειλών.

Για μια τράπεζα ή μια ΚΕΠΕΥ, ο DORA λειτουργεί ως ειδικός νόμος απέναντι στη NIS2: στη διαχείριση κινδύνων ΤΠΕ, στην αναφορά συμβάντων και στην εποπτεία εφαρμόζονται οι δικοί του κανόνες. Η ΚΕΠΕΥ λογοδοτεί λοιπόν στην ΕΚΚ με βάση τον DORA, και όχι στην Αρχή Ψηφιακής Ασφάλειας με βάση τον Ν. 89(Ι)/2020. Σε ευρωπαϊκό επίπεδο, η EBA, η EIOPA και η ESMA δημοσίευσαν (ανοίγει εξωτερικό ιστότοπο) στις 18 Νοεμβρίου 2025 τον πρώτο κατάλογο κρίσιμων τρίτων παρόχων ΤΠΕ, τους οποίους επιβλέπουν απευθείας.

02Ποιους αφορά: οντότητες και πάροχοι

Οι τύποι χρηματοοικονομικών οντοτήτων στον Κανονισμό είναι είκοσι. Στην κυπριακή αγορά μεγάλη ομάδα αποτελούν οι ΚΕΠΕΥ και οι διαχειριστές ΟΣΕΚΑ και ΟΕΕ, που εποπτεύει η ΕΚΚ· δίπλα τους πιστωτικά ιδρύματα, ιδρύματα πληρωμών και ηλεκτρονικού χρήματος, πάροχοι υπηρεσιών κρυπτοστοιχείων, τόποι διαπραγμάτευσης, ασφαλιστές και ασφαλιστικοί διαμεσολαβητές, ταμεία επαγγελματικών συντάξεων, πλατφόρμες συμμετοχικής χρηματοδότησης. Οι απαιτήσεις κλιμακώνονται: το άρθρο 4 τις προσαρμόζει σε μέγεθος, προφίλ κινδύνου και πολυπλοκότητα, και το άρθρο 16 δίνει απλουστευμένο πλαίσιο σε ορισμένες μικρότερες οντότητες.

Ποιος είναι τρίτος πάροχος υπηρεσιών ΤΠΕ; Όποιος παρέχει υπηρεσίες ΤΠΕ, και ο Κανονισμός τις ορίζει πλατιά: ψηφιακές υπηρεσίες και υπηρεσίες δεδομένων μέσω συστημάτων ΤΠΕ, σε εσωτερικούς ή εξωτερικούς χρήστες, σε διαρκή βάση. Στην πράξη: φιλοξενία, διαχειριζόμενες υπηρεσίες, SaaS, συντήρηση και υποστήριξη εφαρμογών, υπηρεσίες δεδομένων. Ο ίδιος ο προμηθευτής δεν εποπτεύεται, εκτός αν χαρακτηριστεί κρίσιμος· οι υποχρεώσεις τον βρίσκουν μέσα από κάθε σύμβαση με μια οντότητα.

03Την ευθύνη τη φέρει το διοικητικό όργανο

Ποιος λογοδοτεί; Το διοικητικό όργανο, λέει το άρθρο 5. Εκείνο ορίζει, εγκρίνει και επιβλέπει το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, αποφασίζει τη στρατηγική ανθεκτικότητας και το πόσο κίνδυνο αντέχει η οντότητα, υπογράφει την πολιτική συνέχειας και τα σχέδια απόκρισης και ανάκαμψης, και ελέγχει περιοδικά την πολιτική για τους τρίτους παρόχους. Τα μέλη του πρέπει να κρατούν τις γνώσεις τους επίκαιρες, και η τακτική εκπαίδευση είναι ένας από τους τρόπους. Για το διοικητικό συμβούλιο μιας ΚΕΠΕΥ, η επιλογή ενός παρόχου cloud ή λογισμικού παύει να είναι υπόθεση μόνο της πληροφορικής.

04Μείζονα συμβάντα: 4 ώρες, 72 ώρες, ένας μήνας

Πρώτο βήμα, η ταξινόμηση. Τα κριτήρια βρίσκονται στο άρθρο 18 και στον Κανονισμό 2024/1772 της Επιτροπής (ανοίγει εξωτερικό ιστότοπο): πόσοι πελάτες και πόσες συναλλαγές θίγονται, πόσο κράτησε το συμβάν και πόσο έμειναν εκτός λειτουργίας οι υπηρεσίες, σε ποιες χώρες απλώθηκε, αν χάθηκαν δεδομένα, πόσο κρίσιμες ήταν οι υπηρεσίες και τι κόστισε. Όταν το συμβάν βγαίνει μείζον, ακολουθούν τρεις αναφορές προς την αρμόδια αρχή, στους χρόνους που θέτει ο Κανονισμός 2025/301 της Επιτροπής (ανοίγει εξωτερικό ιστότοπο). Για τις οντότητες που εποπτεύει, η ΕΚΚ δηλώνει ότι οι αναφορές αυτές απευθύνονται σε εκείνη.

Οι πελάτες των οποίων τα οικονομικά συμφέροντα θίγονται ενημερώνονται χωρίς αδικαιολόγητη καθυστέρηση. Η οντότητα μπορεί να αναθέσει την ίδια την υποβολή σε τρίτο, όμως παραμένει πλήρως υπεύθυνη γι’ αυτήν (άρθρο 19 παράγραφος 5).

Εδώ ο προμηθευτής μπαίνει στην εικόνα. Το άρθρο 30 παράγραφος 2 στοιχείο στ) θέλει σε κάθε σύμβαση ΤΠΕ υποχρέωση συνδρομής όταν συμβαίνει περιστατικό στην υπηρεσία του, δωρεάν ή με κόστος που συμφωνήθηκε από πριν. Οι τέσσερις ώρες της ΚΕΠΕΥ ή της τράπεζας βγαίνουν μόνο αν η παρακολούθηση, τα αρχεία και οι υπεύθυνοι επικοινωνίας του προμηθευτή είναι ήδη στη θέση τους.

05Δοκιμές, έως και TLPT

Κάθε οντότητα χρειάζεται πρόγραμμα δοκιμών ανάλογο με τον κίνδυνο (άρθρο 24). Τις δοκιμές τις κάνουν ανεξάρτητοι, εσωτερικοί ή εξωτερικοί, και τα συστήματα ΤΠΕ πίσω από κρίσιμες ή σημαντικές λειτουργίες περνούν δοκιμή κάθε χρόνο. Όσες οντότητες επιλέξει η αρμόδια αρχή ανεβαίνουν ένα επίπεδο: TLPT, τουλάχιστον ανά τριετία, πάνω σε ζωντανά συστήματα παραγωγής, όπως ορίζει ο Κανονισμός 2025/1190 της Επιτροπής (ανοίγει εξωτερικό ιστότοπο) στο πνεύμα του TIBER-EU.

Αν μια TLPT περιλαμβάνει υπηρεσίες προμηθευτή, εκείνος συμμετέχει· την ευθύνη να το εξασφαλίσει την έχει η οντότητα (άρθρο 26 παράγραφος 3), και για κρίσιμες ή σημαντικές λειτουργίες η υποχρέωση γράφεται στη σύμβαση (άρθρο 30 παράγραφος 3 στοιχείο δ)). Μια τέτοια δοκιμή όμως μπορεί να εκθέσει άλλους πελάτες του προμηθευτή. Γι’ αυτό το άρθρο 26 παράγραφος 4 επιτρέπει συγκεντρωτική δοκιμή, που την αναθέτει ο ίδιος ο προμηθευτής σε εξωτερικό ελεγκτή για λογαριασμό πολλών οντοτήτων μαζί.

06Κίνδυνος από τρίτους: στρατηγική, μητρώο, έξοδος

Το άρθρο 28 εντάσσει τον κίνδυνο από τρίτους παρόχους ΤΠΕ στο πλαίσιο διαχείρισης κινδύνων, και η οντότητα μένει πλήρως υπεύθυνη για τη συμμόρφωση, ό,τι κι αν αναθέσει. Οι βασικές υποχρεώσεις:

• Στρατηγική για τον κίνδυνο από τρίτους παρόχους ΤΠΕ, με πολιτική για τις υπηρεσίες που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες, που το διοικητικό όργανο αναθεωρεί τακτικά.
• Μητρώο πληροφοριών, σε επίπεδο οντότητας και ομίλου, με κάθε συμβατική ρύθμιση για υπηρεσίες ΤΠΕ και ξεχωριστή σήμανση όσων αφορούν κρίσιμες ή σημαντικές λειτουργίες. Τη μορφή του την καθορίζουν τα υποδείγματα του Κανονισμού 2024/2956 της Επιτροπής (ανοίγει εξωτερικό ιστότοπο). Η αρχή λαμβάνει αναφορά τουλάχιστον μία φορά τον χρόνο και ολόκληρο το μητρώο όποτε το ζητήσει.
• Δέουσα επιμέλεια πριν από την υπογραφή: στηρίζει η υπηρεσία κρίσιμη ή σημαντική λειτουργία; Ποιοι κίνδυνοι υπάρχουν, και ο κίνδυνος συγκέντρωσης; Είναι ο προμηθευτής κατάλληλος, υπάρχουν συγκρούσεις συμφερόντων; Ο προμηθευτής εφαρμόζει κατάλληλα πρότυπα ασφάλειας πληροφοριών, και για κρίσιμες ή σημαντικές λειτουργίες τα πιο σύγχρονα και υψηλής ποιότητας.
• Δικαιώματα καταγγελίας, μεταξύ άλλων για σοβαρή παράβαση από τον προμηθευτή, για αποδεδειγμένες αδυναμίες στη διαχείριση κινδύνων ΤΠΕ του, ή για καταστάσεις που εμποδίζουν την αποτελεσματική εποπτεία.
• Στρατηγικές εξόδου, γραπτές και δοκιμασμένες, για κάθε υπηρεσία ΤΠΕ πίσω από κρίσιμη ή σημαντική λειτουργία. Ο στόχος: η οντότητα να μπορεί να αλλάξει πάροχο χωρίς διακοπή εργασιών, χωρίς κενά συμμόρφωσης και χωρίς ζημιά στους πελάτες της.

Τι γράφει η σύμβαση

Το άρθρο 30 ορίζει τους ελάχιστους όρους. Η σύμβαση ΤΠΕ είναι γραπτή, ενιαία, μαζί με τα επίπεδα υπηρεσιών, και καλύπτει τουλάχιστον:

• πλήρη περιγραφή των λειτουργιών και των υπηρεσιών, και αν, και με ποιους όρους, επιτρέπεται υπεργολαβία·
• πού παρέχονται οι υπηρεσίες και πού γίνεται η επεξεργασία και η αποθήκευση των δεδομένων, με προειδοποίηση πριν από κάθε αλλαγή·
• διαθεσιμότητα, γνησιότητα, ακεραιότητα και εμπιστευτικότητα των δεδομένων, μαζί με τα προσωπικά δεδομένα·
• πρόσβαση, ανάκτηση και επιστροφή των δεδομένων σε εύχρηστη μορφή σε περίπτωση αφερεγγυότητας, διακοπής ή λήξης της συνεργασίας·
• περιγραφή των επιπέδων υπηρεσιών·
• βοήθεια στα περιστατικά ΤΠΕ που αφορούν την υπηρεσία, χωρίς πρόσθετο κόστος ή με κόστος προσυμφωνημένο·
• πλήρη συνεργασία με τις αρμόδιες αρχές και τις αρχές εξυγίανσης· στην Κύπρο, ανάλογα με την οντότητα, την ΚΤΚ, την ΕΚΚ ή τον Έφορο Ασφαλίσεων·
• δικαιώματα καταγγελίας και ελάχιστες προθεσμίες προειδοποίησης·
• συμμετοχή στα προγράμματα ευαισθητοποίησης για την ασφάλεια ΤΠΕ και στην εκπαίδευση ψηφιακής ανθεκτικότητας της οντότητας.

Όταν η υπηρεσία αγγίζει κρίσιμη ή σημαντική λειτουργία, η λίστα μεγαλώνει (άρθρο 30 παράγραφος 3). Η σύμβαση ορίζει τότε μετρήσιμους στόχους απόδοσης, πότε και πώς ο προμηθευτής ειδοποιεί και αναφέρει, ποια σχέδια έκτακτης ανάγκης εφαρμόζει και δοκιμάζει, πώς λαμβάνει μέρος σε TLPT, ότι η οντότητα και ο επόπτης της μπαίνουν, επιθεωρούν και ελέγχουν χωρίς περιορισμούς, και πώς γίνεται η έξοδος, με μεταβατική περίοδο που δεν είναι προαιρετική. Αν μέρος αυτών των υπηρεσιών το εκτελεί υπεργολάβος, ο Κανονισμός 2025/532 της Επιτροπής (ανοίγει εξωτερικό ιστότοπο) λέει τι πρέπει να αξιολογήσει η οντότητα.

07Κρίσιμοι τρίτοι πάροχοι ΤΠΕ

Ποιος πάροχος είναι κρίσιμος; Το αποφασίζουν οι Ευρωπαϊκές Εποπτικές Αρχές (άρθρο 31), κοιτάζοντας τέσσερα πράγματα: τι συστημικό αντίκτυπο θα είχε μια αστοχία του, πόσο σημαντικές είναι οι οντότητες που τον χρησιμοποιούν, αν στηρίζει κρίσιμες ή σημαντικές λειτουργίες, και πόσο δύσκολα αντικαθίσταται. Μία από τις τρεις αρχές γίνεται ο κύριος εποπτικός φορέας του, με εξουσία να ζητά στοιχεία, να ερευνά, να επιθεωρεί και να εκδίδει συστάσεις.

Ο κατάλογος της 18ης Νοεμβρίου 2025 (ανοίγει εξωτερικό ιστότοπο) είχε 19 ονόματα, από φορείς cloud και κέντρων δεδομένων ως εταιρείες τηλεπικοινωνιών, υπηρεσιών πληροφορικής, δεδομένων αγοράς και επιχειρησιακού λογισμικού. Για την οντότητα δεν αλλάζει τίποτα: για καθέναν από αυτούς τους παρόχους, μια ΚΕΠΕΥ ή μια τράπεζα συνεχίζει να τηρεί μητρώο, συμβατικούς όρους και στρατηγική εξόδου.

08Τι πρέπει να έχει έτοιμο ένας πάροχος ΤΠΕ

Λίγοι προμηθευτές θα βρεθούν ποτέ στον κατάλογο των κρίσιμων. Όλοι όμως συναντούν τον DORA στις συμβάσεις, στη δέουσα επιμέλεια και στους ελέγχους. Όποιος έχει έτοιμα τα παρακάτω κάνει τον διαγωνισμό συντομότερο και τη συζήτηση του πελάτη με την ΕΚΚ ή την ΚΤΚ ευκολότερη:

• Στοιχεία για το μητρώο. Όσα χρειάζεται ο πελάτης για το μητρώο πληροφοριών: νομική οντότητα και αναγνωριστικά, ποιες υπηρεσίες παρέχονται και ποιες λειτουργίες στηρίζουν, τοποθεσίες, υπεργολάβοι της αλυσίδας.
• Όροι σύμφωνοι με το άρθρο 30. Καλύτερα ένα έτοιμο παράρτημα DORA, που καλύπτει τόσο τους γενικούς όσο και τους πρόσθετους όρους, παρά διαπραγμάτευση από το μηδέν για κάθε ρήτρα.
• Τεκμήρια για συμβάντα. Παρακολούθηση σε λειτουργία, αρχεία καταγραφής με αξιόπιστη ώρα, και μια διαδικασία ειδοποίησης αρκετά γρήγορη ώστε ο πελάτης να ταξινομήσει και να αναφέρει μέσα σε λίγες ώρες.
• Δοκιμασμένη συνέχεια. Σχέδια επιχειρησιακής συνέχειας και δοκιμές επαναφοράς, με ημερομηνίες και αποτελέσματα.
• Ασφάλεια που αποδεικνύεται. Πρότυπα ασφάλειας πληροφοριών, έλεγχος πρόσβασης, ασφαλής κύκλος ανάπτυξης λογισμικού και χειρισμός ευπαθειών, με ανεξάρτητα τεκμήρια όπου γίνεται.
• Ετοιμότητα για ελέγχους και δοκιμές. Πρακτικός τρόπος να φιλοξενήσει ελέγχους και επιθεωρήσεις και να συμμετάσχει σε TLPT, και σε συγκεντρωτική δοκιμή όπου ταιριάζει.
• Σχέδιο εξόδου. Επιστροφή δεδομένων σε αξιοποιήσιμη μορφή, τεκμηρίωση και υποστήριξη μετάβασης για συμφωνημένο διάστημα.

Αυτά εφαρμόζουμε και στις δικές μας συνεργασίες με τράπεζες, ΚΕΠΕΥ και ασφαλιστές. Οι όροι του DORA μπαίνουν στη σύμβαση από την αρχή, τα συμβάντα τα γνωστοποιούμε από το κανάλι που ορίσαμε μαζί, το σχέδιο εξόδου είναι γραμμένο, λαμβάνουμε μέρος στις δοκιμές ανθεκτικότητας και παραδίδουμε όσα στοιχεία ζητά το μητρώο σας. Περισσότερα για τον τρόπο που δουλεύουμε, και για την πιστοποίηση ISO/IEC 27001 του συστήματος διαχείρισης ασφάλειας πληροφοριών μας, στη σελίδα Εμπιστοσύνη και συμμόρφωση.

09Πρακτικό σχέδιο για τις δύο πλευρές

1. 01Ολοκληρώστε το μητρώο. Συνδέστε κάθε σύμβαση ΤΠΕ με τις λειτουργίες που στηρίζει και σημειώστε τις κρίσιμες ή σημαντικές.
2. 02Κλείστε τα κενά των συμβάσεων. Συγκρίνετε κάθε σύμβαση με το άρθρο 30 και συμφωνήστε παράρτημα όπου λείπουν όροι.
3. 03Ευθυγραμμίστε τον χειρισμό συμβάντων. Συμφωνήστε με κάθε κρίσιμο προμηθευτή τα στοιχεία ταξινόμησης, τους υπευθύνους και τους χρόνους ειδοποίησης, και δοκιμάστε τα.
4. 04Δοκιμές με τους προμηθευτές μέσα. Βάλτε τους στο πρόγραμμα δοκιμών και, όπου χρειάζεται, στη συζήτηση για το εύρος μιας TLPT.
5. 05Γράψτε και δοκιμάστε στρατηγικές εξόδου. Για κάθε κρίσιμη ή σημαντική λειτουργία: εναλλακτικές, επιστροφή δεδομένων, μεταβατική περίοδος.
6. 06Προσέξτε τη συγκέντρωση. Πολλές κρίσιμες λειτουργίες στον ίδιο πάροχο είναι κίνδυνος που καταγράφεται και διαχειρίζεται (άρθρο 29).

10Οι αρμόδιες αρχές στην Κύπρο

Το κείμενο του DORA είναι ίδιο σε όλη την Ένωση, η εποπτεία όμως είναι εθνική για τις περισσότερες οντότητες, με την ΕΚΤ για τις σημαντικές τράπεζες. Στην Κύπρο, αρμόδιες αρχές για τον DORA είναι η Κεντρική Τράπεζα της Κύπρου, η Επιτροπή Κεφαλαιαγοράς Κύπρου, ο Έφορος Ασφαλίσεων και ο Έφορος Ιδρυμάτων Επαγγελματικών Συνταξιοδοτικών Παροχών, η καθεμία για τις οντότητες που εποπτεύει (Κ.Δ.Π. 252/2025). Η ΚΤΚ καλύπτει τα πιστωτικά ιδρύματα που δεν εποπτεύει απευθείας η ΕΚΤ, τα ιδρύματα πληρωμών και ηλεκτρονικού χρήματος· η ΕΚΚ τις ΚΕΠΕΥ, τις εταιρείες διαχείρισης, τους παρόχους υπηρεσιών κρυπτοστοιχείων που αδειοδοτεί και τους τόπους διαπραγμάτευσης που εποπτεύει. Η μορφή και το κανάλι για το μητρώο και τις αναφορές συμβάντων, όπως και η αρχή που είναι υπεύθυνη για τις TLPT, καθορίζονται σε εθνικό επίπεδο: ελέγχετε τις οδηγίες της δικής σας αρχής.

11Τι να παρακολουθείτε τους επόμενους μήνες

• Τις εποπτικές προτεραιότητες και τα ευρήματα της ΚΤΚ, της ΕΚΚ ή του Εφόρου Ασφαλίσεων για το μητρώο πληροφοριών και την αναφορά συμβάντων.
• Την επίβλεψη των κρίσιμων τρίτων παρόχων ΤΠΕ από τους κύριους εποπτικούς φορείς, και συστάσεις που αγγίζουν υπηρεσίες που χρησιμοποιείτε.
• Τη νομοθετική πρόταση COM(2025) 837 (ανοίγει εξωτερικό ιστότοπο), γνωστή ως Digital Omnibus: αν εγκριθεί, οι αναφορές μειζόνων συμβάντων του DORA θα περνούν από ενιαίο σημείο εισόδου υπό τον ENISA. Τον Οκτώβριο του 2026 η πρόταση βρισκόταν ακόμη στο Ευρωπαϊκό Κοινοβούλιο· μέχρι να εγκριθεί και να αρχίσει να εφαρμόζεται, μένουν τα σημερινά κανάλια και οι σημερινοί χρόνοι.

Εκτός χρηματοπιστωτικού τομέα, ανάλογες απαιτήσεις για τους προμηθευτές φέρνει η NIS2, στην Κύπρο μέσω του Ν. 89(Ι)/2020 όπως τροποποιήθηκε· τις εξετάζουμε στο άρθρο NIS2 στην Κύπρο και προμηθευτές λογισμικού. Για τα τεχνικά πρότυπα και την επίβλεψη των κρίσιμων παρόχων, οι Ευρωπαϊκές Εποπτικές Αρχές διατηρούν ενημερωμένες σελίδες για τον DORA (ανοίγει εξωτερικό ιστότοπο).