Ο DORA και οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ: τι χρειάζονται οι χρηματοοικο­νομικές οντότητες από τους προμηθευτές τους

01Πού βρίσκεται ο DORA το φθινόπωρο του 2026

Ο Κανονισμός για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα (ανοίγει εξωτερικό ιστότοπο), Κανονισμός (ΕΕ) 2022/2554, εφαρμόζεται από 17 Ιανουαρίου 2025. Ως κανονισμός ισχύει άμεσα σε κάθε κράτος μέλος. Το εθνικό δίκαιο ορίζει κυρίως τις αρμόδιες αρχές και τις κυρώσεις. Στην Ελλάδα, τις αρμόδιες αρχές τις ορίζει το άρθρο 148 του ν. 5193/2025. Οι λεπτομέρειες βρίσκονται σε τεχνικά πρότυπα που εξέδωσε η Επιτροπή για το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, την ταξινόμηση και την αναφορά συμβάντων, το μητρώο πληροφοριών, τις συμβατικές πολιτικές, την υπεργολαβία και τις δοκιμές διείσδυσης βάσει απειλών.

Για τις χρηματοοικονομικές οντότητες, ο DORA είναι η τομεακή πράξη που αντικαθιστά τους κανόνες της Οδηγίας NIS 2 για τη διαχείριση κινδύνων ΤΠΕ, την αναφορά συμβάντων και την εποπτεία. Στις 18 Νοεμβρίου 2025 οι τρεις Ευρωπαϊκές Εποπτικές Αρχές (EBA, EIOPA και ESMA) δημοσίευσαν (ανοίγει εξωτερικό ιστότοπο) τον πρώτο κατάλογο κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ που εποπτεύουν άμεσα.

02Χρηματοοικο­νομικές οντότητες και πάροχοι ΤΠΕ

Ο DORA καλύπτει είκοσι τύπους χρηματοοικονομικών οντοτήτων: από πιστωτικά ιδρύματα, ιδρύματα πληρωμών, ιδρύματα ηλεκτρονικού χρήματος και επιχειρήσεις επενδύσεων έως παρόχους υπηρεσιών κρυπτοστοιχείων, τόπους διαπραγμάτευσης, διαχειριστές κεφαλαίων, ασφαλιστικές επιχειρήσεις, ασφαλιστικούς διαμεσολαβητές, ιδρύματα επαγγελματικών συνταξιοδοτικών παροχών, οργανισμούς αξιολόγησης πιστοληπτικής ικανότητας και παρόχους υπηρεσιών συμμετοχικής χρηματοδότησης. Η αναλογικότητα είναι ενσωματωμένη: το άρθρο 4 κλιμακώνει τις απαιτήσεις ανάλογα με το μέγεθος, το προφίλ κινδύνου και την πολυπλοκότητα, και το άρθρο 16 προβλέπει απλουστευμένο πλαίσιο για ορισμένες μικρότερες οντότητες. Στην ελληνική αγορά αυτό αφορά μεγάλους και μικρούς οργανισμούς: τράπεζες, ασφαλιστικές εταιρείες, ιδρύματα πληρωμών και ΑΕΠΕΥ.

Τρίτος πάροχος υπηρεσιών ΤΠΕ είναι κάθε επιχείρηση που παρέχει υπηρεσίες ΤΠΕ, και ο DORA τις ορίζει ευρέως: ψηφιακές υπηρεσίες και υπηρεσίες δεδομένων που παρέχονται μέσω συστημάτων ΤΠΕ σε εσωτερικούς ή εξωτερικούς χρήστες σε συνεχή βάση. Η φιλοξενία, οι διαχειριζόμενες υπηρεσίες, το λογισμικό ως υπηρεσία (SaaS), η συντήρηση και υποστήριξη εφαρμογών και οι υπηρεσίες δεδομένων συνήθως εμπίπτουν. Οι προμηθευτές δεν εποπτεύονται βάσει του DORA εκτός αν οριστούν κρίσιμοι, όμως οι πελάτες τους μεταφέρουν τις υποχρεώσεις σε κάθε σύμβαση.

03Τον κίνδυνο ΤΠΕ τον φέρει το διοικητικό όργανο

Το άρθρο 5 δίνει στο διοικητικό όργανο την τελική ευθύνη για τον κίνδυνο ΤΠΕ. Ορίζει, εγκρίνει και εποπτεύει το πλαίσιο διαχείρισης κινδύνων ΤΠΕ, καθορίζει τη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας και την ανοχή στον κίνδυνο, εγκρίνει την πολιτική επιχειρησιακής συνέχειας και τα σχέδια απόκρισης και ανάκαμψης, και εγκρίνει και επανεξετάζει την πολιτική για τη χρήση υπηρεσιών ΤΠΕ από τρίτους παρόχους. Τα μέλη του πρέπει να διατηρούν τις γνώσεις τους επικαιροποιημένες, μεταξύ άλλων με τακτική εκπαίδευση. Σε μια τράπεζα ή ασφαλιστική αυτό σημαίνει ότι τη στρατηγική για τους παρόχους την εγκρίνει το διοικητικό συμβούλιο, όχι μόνο η διεύθυνση πληροφορικής.

04Μείζονα συμβάντα: 4 ώρες, 72 ώρες, ένας μήνας

Οι χρηματοοικονομικές οντότητες ταξινομούν τα συμβάντα που σχετίζονται με ΤΠΕ με τα κριτήρια του άρθρου 18, που εξειδικεύει ο κατ’ εξουσιοδότηση Κανονισμός (ΕΕ) 2024/1772 (ανοίγει εξωτερικό ιστότοπο): πελάτες και συναλλαγές που επηρεάζονται, διάρκεια και χρόνος διακοπής, γεωγραφική εξάπλωση, απώλειες δεδομένων, κρισιμότητα των υπηρεσιών που επηρεάζονται και οικονομικός αντίκτυπος. Ένα μείζον συμβάν αναφέρεται στην αρμόδια αρχή σε τρία βήματα, με προθεσμίες που ορίζει ο κατ’ εξουσιοδότηση Κανονισμός (ΕΕ) 2025/301 (ανοίγει εξωτερικό ιστότοπο):

Οι πελάτες των οποίων θίγονται τα οικονομικά συμφέροντα ενημερώνονται χωρίς αδικαιολόγητη καθυστέρηση. Μια χρηματοοικονομική οντότητα μπορεί να αναθέσει την ίδια την αναφορά σε τρίτον, παραμένει όμως πλήρως υπεύθυνη γι’ αυτήν (άρθρο 19 παράγραφος 5). Στην Ελλάδα, αρμόδια αρχή είναι, ανάλογα με την κατηγορία της οντότητας, η Τράπεζα της Ελλάδος ή η Επιτροπή Κεφαλαιαγοράς.

Για τους προμηθευτές αυτό είναι πολύ συγκεκριμένο. Κάθε σύμβαση ΤΠΕ πρέπει να περιλαμβάνει την υποχρέωση του παρόχου να συνδράμει σε περίπτωση συμβάντος ΤΠΕ που σχετίζεται με την υπηρεσία του, χωρίς επιπλέον κόστος ή με κόστος που έχει συμφωνηθεί εκ των προτέρων (άρθρο 30 παράγραφος 2 στοιχείο στ). Το τετράωρο του πελάτη λειτουργεί μόνο αν η παρακολούθηση, τα αρχεία καταγραφής και οι επαφές του προμηθευτή είναι έτοιμα πριν από το συμβάν.

05Δοκιμές, έως και δοκιμές διείσδυσης βάσει απειλών

Το άρθρο 24 απαιτεί πρόγραμμα δοκιμών βάσει κινδύνου, που εκτελείται από ανεξάρτητους εσωτερικούς ή εξωτερικούς ελεγκτές, με κατάλληλες δοκιμές τουλάχιστον μία φορά τον χρόνο σε όλα τα συστήματα και τις εφαρμογές ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Οι οντότητες που προσδιορίζει η αρμόδια αρχή τους εκτελούν επιπλέον δοκιμές διείσδυσης βάσει απειλών τουλάχιστον κάθε τρία χρόνια, σε συστήματα παραγωγής, σύμφωνα με τον κατ’ εξουσιοδότηση Κανονισμό (ΕΕ) 2025/1190 (ανοίγει εξωτερικό ιστότοπο), που ακολουθεί το πλαίσιο TIBER-EU.

Όταν οι υπηρεσίες ενός προμηθευτή εμπίπτουν σε μια TLPT, η χρηματοοικονομική οντότητα πρέπει να εξασφαλίσει τη συμμετοχή του (άρθρο 26 παράγραφος 3), και οι συμβάσεις για κρίσιμες ή σημαντικές λειτουργίες πρέπει να προβλέπουν αυτή την υποχρέωση (άρθρο 30 παράγραφος 3 στοιχείο δ). Αν η συμμετοχή του προμηθευτή μπορεί να βλάψει άλλους πελάτες του, ο DORA επιτρέπει συγκεντρωτικές δοκιμές, στις οποίες ο προμηθευτής αναθέτει απευθείας σε εξωτερικό ελεγκτή τη δοκιμή για λογαριασμό περισσότερων χρηματοοικονομικών οντοτήτων (άρθρο 26 παράγραφος 4).

06Κίνδυνος τρίτων παρόχων ΤΠΕ: στρατηγική, μητρώο και έξοδος

Το άρθρο 28 εντάσσει τον κίνδυνο τρίτων παρόχων ΤΠΕ στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ, και η χρηματοοικονομική οντότητα παραμένει πλήρως υπεύθυνη για τη συμμόρφωση, ό,τι κι αν αναθέτει σε τρίτους. Οι κύριες υποχρεώσεις:

• Στρατηγική για τον κίνδυνο τρίτων παρόχων ΤΠΕ, με πολιτική για τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, την οποία επανεξετάζει τακτικά το διοικητικό όργανο.
• Μητρώο πληροφοριών για όλες τις συμβατικές ρυθμίσεις υπηρεσιών ΤΠΕ, σε επίπεδο οντότητας και ομίλου, που ξεχωρίζει όσες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Τα υποδείγματα ορίζει ο εκτελεστικός Κανονισμός (ΕΕ) 2024/2956 (ανοίγει εξωτερικό ιστότοπο). Οι οντότητες υποβάλλουν στοιχεία από αυτό στην αρμόδια αρχή τους τουλάχιστον μία φορά τον χρόνο και διαθέτουν ολόκληρο το μητρώο όταν τους ζητηθεί.
• Δέουσα επιμέλεια πριν από την υπογραφή: αν η υπηρεσία υποστηρίζει κρίσιμη ή σημαντική λειτουργία, οι κίνδυνοι μαζί με τον κίνδυνο συγκέντρωσης, η καταλληλότητα του προμηθευτή και τυχόν συγκρούσεις συμφερόντων. Οι προμηθευτές πρέπει να εφαρμόζουν κατάλληλα πρότυπα ασφάλειας πληροφοριών, και για τις κρίσιμες ή σημαντικές λειτουργίες τα πιο σύγχρονα και υψηλότερης ποιότητας.
• Δικαιώματα καταγγελίας της σύμβασης, μεταξύ άλλων για σοβαρή παράβαση από τον προμηθευτή, αποδεδειγμένες αδυναμίες στη διαχείριση κινδύνων ΤΠΕ του ή συνθήκες που εμποδίζουν την αποτελεσματική εποπτεία.
• Στρατηγικές εξόδου για τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, τεκμηριωμένες και δοκιμασμένες, ώστε η οντότητα να μπορεί να αποχωρήσει χωρίς να διαταράξει τη δραστηριότητά της, να περιορίσει τη συμμόρφωσή της ή να βλάψει τις υπηρεσίες προς τους πελάτες της.

Τι πρέπει να λέει η σύμβαση

Το άρθρο 30 ορίζει τους ελάχιστους συμβατικούς όρους. Κάθε σύμβαση ΤΠΕ πρέπει να είναι γραπτή, σε ένα έγγραφο που περιλαμβάνει και τα επίπεδα υπηρεσιών, και να καλύπτει τουλάχιστον:

• πλήρη περιγραφή των λειτουργιών και των υπηρεσιών, και αν, και με ποιους όρους, επιτρέπεται η υπεργολαβία·
• τους τόπους όπου παρέχονται οι υπηρεσίες και όπου γίνεται η επεξεργασία και η αποθήκευση των δεδομένων, με εκ των προτέρων ειδοποίηση για κάθε αλλαγή·
• τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων, μαζί με τα δεδομένα προσωπικού χαρακτήρα·
• την πρόσβαση στα δεδομένα, την ανάκτηση και την επιστροφή τους σε εύκολα προσβάσιμη μορφή σε περίπτωση αφερεγγυότητας, παύσης δραστηριότητας ή λύσης της σύμβασης·
• περιγραφές των επιπέδων υπηρεσιών·
• συνδρομή σε συμβάντα ΤΠΕ που αφορούν την υπηρεσία, χωρίς επιπλέον κόστος ή με κόστος που έχει συμφωνηθεί εκ των προτέρων·
• πλήρη συνεργασία με τις αρμόδιες αρχές και τις αρχές εξυγίανσης·
• δικαιώματα καταγγελίας και ελάχιστες προθεσμίες προειδοποίησης·
• συμμετοχή στα προγράμματα ευαισθητοποίησης της οντότητας για την ασφάλεια ΤΠΕ και στην εκπαίδευσή της για την ψηφιακή επιχειρησιακή ανθεκτικότητα.

Για τις υπηρεσίες που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, το άρθρο 30 παράγραφος 3 προσθέτει ακριβείς ποσοτικούς και ποιοτικούς στόχους επιδόσεων, υποχρεώσεις ειδοποίησης και αναφοράς, σχέδια έκτακτης ανάγκης που ο προμηθευτής εφαρμόζει και δοκιμάζει, συμμετοχή σε TLPT, απεριόριστα δικαιώματα πρόσβασης, επιθεώρησης και ελέγχου για την οντότητα και τον επόπτη της, και στρατηγική εξόδου με υποχρεωτική μεταβατική περίοδο. Ο κατ’ εξουσιοδότηση Κανονισμός (ΕΕ) 2025/532 (ανοίγει εξωτερικό ιστότοπο) προσθέτει τι πρέπει να αξιολογεί η οντότητα όταν οι υπηρεσίες αυτές ανατίθενται σε υπεργολάβους.

07Κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ

Σύμφωνα με το άρθρο 31, οι Ευρωπαϊκές Εποπτικές Αρχές ορίζουν τους παρόχους ΤΠΕ που είναι κρίσιμοι για τον χρηματοοικονομικό τομέα, με βάση τον συστημικό τους αντίκτυπο, τη σημασία των χρηματοοικονομικών οντοτήτων που βασίζονται σε αυτούς, τον ρόλο τους σε κρίσιμες ή σημαντικές λειτουργίες και το πόσο εύκολα μπορούν να αντικατασταθούν. Κάθε κρίσιμος πάροχος αποκτά κύριο εποπτικό φορέα, μία από τις τρεις αρχές, που μπορεί να ζητά πληροφορίες, να διενεργεί έρευνες και επιθεωρήσεις και να διατυπώνει συστάσεις.

Ο πρώτος κατάλογος (ανοίγει εξωτερικό ιστότοπο), που δημοσιεύθηκε στις 18 Νοεμβρίου 2025, όρισε 19 παρόχους, από παρόχους cloud και κέντρων δεδομένων έως εταιρείες τηλεπικοινωνιών, υπηρεσιών πληροφορικής, δεδομένων αγοράς και επιχειρησιακού λογισμικού. Ο ορισμός δεν απαλλάσσει τη χρηματοοικονομική οντότητα από καμία υποχρέωση: εξακολουθεί να τηρεί το μητρώο, τους συμβατικούς όρους και στρατηγική εξόδου για καθέναν από αυτούς τους παρόχους.

08Τι πρέπει να έχει έτοιμο ένας πάροχος ΤΠΕ

Οι περισσότεροι προμηθευτές χρηματοοικονομικών οντοτήτων δεν θα οριστούν ποτέ κρίσιμοι, όμως όλοι συναντούν τον DORA μέσα από συμβάσεις, δέουσα επιμέλεια και ελέγχους. Ένας προμηθευτής που έχει έτοιμα τα παρακάτω συντομεύει την προμήθεια και διευκολύνει τον διάλογο του πελάτη του με την εποπτική αρχή:

• Στοιχεία για το μητρώο. Ό,τι χρειάζεται ο πελάτης για το μητρώο πληροφοριών: νομική οντότητα και αναγνωριστικά, τις υπηρεσίες και τις λειτουργίες που υποστηρίζουν, τοποθεσίες και τους υπεργολάβους της αλυσίδας.
• Συμβατικοί όροι σύμφωνοι με το άρθρο 30. Ιδανικά ένα τυποποιημένο παράρτημα DORA που καλύπτει και τις δύο λίστες, αντί για διαπραγμάτευση κάθε ρήτρας από την αρχή.
• Τεκμήρια για συμβάντα. Παρακολούθηση, αρχεία καταγραφής με αξιόπιστες χρονοσφραγίδες και διαδικασία ειδοποίησης που επιτρέπει στον πελάτη να ταξινομήσει και να αναφέρει μέσα σε λίγες ώρες.
• Δοκιμασμένη συνέχεια. Σχέδια επιχειρησιακής συνέχειας και δοκιμές επαναφοράς, με ημερομηνίες και αποτελέσματα.
• Ασφάλεια που αποδεικνύεται. Πρότυπα ασφάλειας πληροφοριών, έλεγχος πρόσβασης, ασφαλής κύκλος ανάπτυξης λογισμικού και διαχείριση ευπαθειών, με ανεξάρτητα τεκμήρια όπου είναι δυνατόν.
• Ετοιμότητα για ελέγχους και δοκιμές. Πρακτικός τρόπος να φιλοξενεί ελέγχους και επιθεωρήσεις και να συμμετέχει σε TLPT, και σε συγκεντρωτικές δοκιμές όπου ταιριάζουν.
• Σχέδιο εξόδου. Επιστροφή δεδομένων σε αξιοποιήσιμες μορφές, τεκμηρίωση και υποστήριξη μετάβασης για συμφωνημένο διάστημα.

Έτσι εργαζόμαστε ως προμηθευτής ΤΠΕ χρηματοοικονομικών οντοτήτων: συμφωνούμε τους συμβατικούς όρους που απαιτεί ο DORA, ειδοποιούμε για συμβάντα από το συμφωνημένο κανάλι, τεκμηριώνουμε σχέδια εξόδου, συμμετέχουμε σε δοκιμές ανθεκτικότητας και παρέχουμε τα στοιχεία που χρειάζεται το μητρώο σας. Η σελίδα Εμπιστοσύνη και συμμόρφωση περιγράφει πώς εργαζόμαστε, μαζί με το σύστημα διαχείρισης ασφάλειας πληροφοριών μας με πιστοποίηση ISO/IEC 27001.

09Πρακτικό σχέδιο και για τις δύο πλευρές

1. 01Ολοκληρώστε το μητρώο. Συνδέστε κάθε σύμβαση ΤΠΕ με τις λειτουργίες που υποστηρίζει και σημειώστε τις κρίσιμες ή σημαντικές.
2. 02Κλείστε τα κενά των συμβάσεων. Συγκρίνετε κάθε σύμβαση με το άρθρο 30 και συμφωνήστε πρόσθετη πράξη όπου λείπουν όροι.
3. 03Ευθυγραμμίστε τη διαχείριση συμβάντων. Συμφωνήστε με κάθε κρίσιμο προμηθευτή τα στοιχεία για την ταξινόμηση, τις επαφές και τους χρόνους ειδοποίησης, και δοκιμάστε τα.
4. 04Σχεδιάστε τις δοκιμές μαζί με τους προμηθευτές. Εντάξτε τους στο πρόγραμμα δοκιμών και, όπου χρειάζεται, στον καθορισμό του εύρους μιας TLPT.
5. 05Γράψτε και δοκιμάστε στρατηγικές εξόδου. Για κάθε κρίσιμη ή σημαντική λειτουργία: εναλλακτικές λύσεις, επιστροφή δεδομένων και μεταβατική περίοδος.
6. 06Παρακολουθήστε τη συγκέντρωση. Πολλές κρίσιμες λειτουργίες στον ίδιο πάροχο είναι κίνδυνος που πρέπει να τεκμηριώνεται και να τον διαχειρίζεστε (άρθρο 29).

10Η αρμόδια αρχή σας στην Ελλάδα

Ο DORA είναι το ίδιο κείμενο παντού, όμως η εποπτεία των περισσότερων χρηματοοικονομικών οντοτήτων είναι εθνική. Στην Ελλάδα, αρμόδιες αρχές για τον DORA είναι, ανάλογα με την κατηγορία της οντότητας, η Τράπεζα της Ελλάδος και η Επιτροπή Κεφαλαιαγοράς (άρθρο 148 του ν. 5193/2025, ΦΕΚ Α΄ 56/11.04.2025).

Στην Τράπεζα της Ελλάδος υπάγονται, μεταξύ άλλων, τα λιγότερο σημαντικά πιστωτικά ιδρύματα, τα ιδρύματα πληρωμών και ηλεκτρονικού χρήματος, καθώς και οι ασφαλιστικές και αντασφαλιστικές επιχειρήσεις. Στην Επιτροπή Κεφαλαιαγοράς υπάγονται, μεταξύ άλλων, οι ΑΕΠΕΥ, τα κεντρικά αποθετήρια τίτλων, οι κεντρικοί αντισυμβαλλόμενοι και οι τόποι διαπραγμάτευσης. Η μορφή και το κανάλι για το μητρώο πληροφοριών και για τις αναφορές συμβάντων, καθώς και η αρχή που είναι αρμόδια για τις TLPT, ορίζονται σε εθνικό επίπεδο. Ελέγξτε τις οδηγίες της δικής σας αρχής.

11Τι να παρακολουθείτε τους επόμενους μήνες

• Τις εποπτικές προτεραιότητες και τα ευρήματα της Τράπεζας της Ελλάδος ή της Επιτροπής Κεφαλαιαγοράς για το μητρώο πληροφοριών και την αναφορά συμβάντων.
• Την εποπτεία των κρίσιμων τρίτων παρόχων ΤΠΕ από τους κύριους εποπτικούς φορείς, και τυχόν συστάσεις που αφορούν υπηρεσίες που χρησιμοποιείτε.
• Την πρόταση Digital Omnibus (ανοίγει εξωτερικό ιστότοπο) της Επιτροπής, COM(2025) 837, με την οποία οι αναφορές μειζόνων συμβάντων του DORA θα περνούν από ενιαίο σημείο εισόδου που θα διαχειρίζεται ο ENISA. Τον Οκτώβριο του 2026 βρισκόταν ακόμη ενώπιον του Ευρωπαϊκού Κοινοβουλίου. Μέχρι να εκδοθεί και να εφαρμοστεί, ισχύουν τα σημερινά κανάλια και οι σημερινές προθεσμίες.

Οι οργανισμοί εκτός χρηματοοικονομικού τομέα έχουν παρόμοιες υποχρεώσεις για την αλυσίδα εφοδιασμού βάσει της NIS2, που στην Ελλάδα ενσωματώθηκε με τον ν. 5160/2024. Δείτε το άρθρο μας για τη NIS2 και τους προμηθευτές λογισμικού. Οι Ευρωπαϊκές Εποπτικές Αρχές συγκεντρώνουν τα τεχνικά πρότυπα και το πλαίσιο εποπτείας στις σελίδες τους για τον DORA (ανοίγει εξωτερικό ιστότοπο).