DORA ja kolmandast isikust IKT-teenuste osutajad: mida finantssektori ettevõtjad tarnijatelt vajavad

01Kus DORA 2026. aasta sügisel seisab

Finantssektori digitaalse tegevuskerksuse määrus (avab välise veebisaidi) (DORA), määrus (EL) 2022/2554, on kehtinud alates 17. jaanuarist 2025. Määrusena kohaldub see otse igas liikmesriigis; riigisisene õigus määrab peamiselt pädevad asutused ja karistused. Eestis täidab DORA-st tulenevaid ülesandeid Finantsinspektsiooni seaduse (avab välise veebisaidi) järgi Finantsinspektsioon, kes teeb koostööd ka küberturvalisuse asutustega. Üksikasjad on komisjoni vastu võetud tehnilistes standardites, mis käsitlevad IKT-riskide juhtimise raamistikku, intsidentide liigitamist ja neist teatamist, teaberegistrit, lepingupõhimõtteid, alltöövõttu ja ohupõhist läbistustestimist.

Finantssektori ettevõtjate jaoks on DORA valdkondlik õigusakt, mis asendab NIS2 reeglid IKT-riskide juhtimise, intsidentidest teatamise ja järelevalve kohta. 18. novembril 2025 avaldasid (avab välise veebisaidi) kolm Euroopa järelevalveasutust (EBA, EIOPA ja ESMA) esimese loetelu kriitilistest kolmandast isikust IKT-teenuste osutajatest, kelle üle nad teevad otsest järelevalvet.

02Finantssektori ettevõtjad ja nende IKT-teenuste osutajad

DORA hõlmab kahtekümmet liiki finantssektori ettevõtjaid: krediidiasutused, makse- ja e-raha asutused, investeerimisühingud, krüptovarateenuse osutajad, kauplemiskohad, fondivalitsejad, kindlustusandjad, kindlustusvahendajad, tööandjapensioni asutused, krediidireitinguagentuurid, ühisrahastusplatvormid ja teised. Proportsionaalsus on sisse ehitatud: artikkel 4 kohandab nõudeid suuruse, riskiprofiili ja keerukuse järgi ning artikkel 16 sätestab mõnele väiksemale üksusele lihtsustatud raamistiku.

Kolmandast isikust IKT-teenuste osutaja on iga ettevõtja, kes osutab IKT-teenuseid, ja DORA määratleb need laialt: digi- ja andmeteenused, mida osutatakse IKT-süsteemide kaudu sise- või väliskasutajatele jooksvalt. Tavaliselt kuuluvad siia majutus, hallatud teenused, tarkvara kui teenus (SaaS), rakenduste hooldus ja tugi ning andmeteenused. Tarnijate üle DORA alusel järelevalvet ei tehta, kui neid ei ole määratud kriitiliseks, kuid nende kliendid kannavad kohustused edasi igasse lepingusse.

03IKT-riski kannab juhtorgan

Artikkel 5 paneb lõpliku vastutuse IKT-riski eest juhtorganile. Juhtorgan määratleb IKT-riskide juhtimise raamistiku, kiidab selle heaks ja teeb selle üle järelevalvet, kehtestab digitaalse tegevuskerksuse strateegia ja riskitaluvuse, kiidab heaks talitluspidevuse põhimõtted ning reageerimis- ja taastamiskavad ning kiidab heaks ja vaatab üle kolmandate isikute IKT-teenuste kasutamise põhimõtted. Juhtorgani liikmed peavad oma teadmisi ajakohasena hoidma, muu hulgas korrapärase koolituse kaudu.

04Suured intsidendid: 4 tundi, 72 tundi, üks kuu

Finantssektori ettevõtjad liigitavad IKT-intsidente artiklis 18 sätestatud ja delegeeritud määruses (EL) 2024/1772 (avab välise veebisaidi) täpsustatud kriteeriumide järgi: mõjutatud kliendid ja tehingud, kestus ja teenuse katkestus, geograafiline ulatus, andmekaod, mõjutatud teenuste kriitilisus ja majanduslik mõju. Suurest intsidendist teatatakse pädevale asutusele, Eestis Finantsinspektsioonile, kolmes etapis ja delegeeritud määrusega (EL) 2025/301 (avab välise veebisaidi) kehtestatud tähtaegadel:

Kliente, kelle finantshuve intsident mõjutab, tuleb teavitada põhjendamatu viivituseta. Finantssektori ettevõtja võib teatamise enda tellida kolmandalt isikult, kuid vastutab selle eest täielikult ise (artikli 19 lõige 5).

Tarnijate jaoks on see väga konkreetne. Iga IKT-leping peab sisaldama teenuseosutaja kohustust aidata, kui tema teenusega seotud intsident juhtub, kas lisatasuta või eelnevalt kokkulepitud tasu eest (artikli 30 lõike 2 punkt f). Kliendi neljatunnine aken toimib ainult siis, kui tarnija seire, logid ja kontaktid on paigas enne intsidenti.

05Testimine kuni ohupõhise läbistustestimiseni

Artikkel 24 nõuab riskipõhist testimisprogrammi, mida viivad läbi sõltumatud sise- või välistestijad, ning asjakohaseid teste vähemalt kord aastas kõigil IKT-süsteemidel ja rakendustel, mis toetavad kriitilise tähtsusega või olulisi funktsioone. Pädeva asutuse määratud üksused peavad lisaks vähemalt iga kolme aasta järel tegema ohupõhise läbistustestimise töötavates tootmissüsteemides delegeeritud määruse (EL) 2025/1190 (avab välise veebisaidi) järgi, mis järgib TIBER-EU raamistikku.

Kui tarnija teenused kuuluvad TLPT ulatusse, peab finantssektori ettevõtja tagama tarnija osalemise (artikli 26 lõige 3) ning kriitilise tähtsusega või oluliste funktsioonide lepingud peavad selle kohustuse sisaldama (artikli 30 lõike 3 punkt d). Kui tarnija osalemine võiks kahjustada tema teisi kliente, lubab DORA ühistestimist, mille puhul tarnija sõlmib mitme finantssektori ettevõtja nimel otse lepingu välise testijaga (artikli 26 lõige 4).

06Kolmandast isikust tulenev IKT-risk: strateegia, register ja väljumine

Artikkel 28 muudab kolmandast isikust tuleneva IKT-riski IKT-riskide juhtimise raamistiku osaks ja finantssektori ettevõtja vastutab nõuete täitmise eest täielikult, olenemata sellest, mida ta sisse ostab. Peamised kohustused:

• Kolmandast isikust tuleneva IKT-riski strateegia, sealhulgas kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste põhimõtted, mille juhtorgan korrapäraselt üle vaatab.
• Teaberegister kõigi IKT-teenuste lepingute kohta üksuse ja grupi tasandil, kus on eristatud kriitilise tähtsusega või olulisi funktsioone toetavad lepingud. Vormid on kehtestatud rakendusmäärusega (EL) 2024/2956 (avab välise veebisaidi). Üksused annavad selle kohta pädevale asutusele aru vähemalt kord aastas ja esitavad taotluse korral kogu registri.
• Hoolsuskontroll enne allkirjastamist: kas teenus toetab kriitilise tähtsusega või olulist funktsiooni, riskid koos kontsentratsiooniriskiga, tarnija sobivus ja võimalikud huvide konfliktid. Tarnijad peavad rakendama asjakohaseid infoturbe standardeid ning kriitilise tähtsusega või oluliste funktsioonide puhul kõige ajakohasemaid ja kvaliteetsemaid standardeid.
• Lõpetamisõigus muu hulgas tarnija olulise rikkumise, tema IKT-riskide juhtimise tõendatud nõrkuste või tõhusat järelevalvet takistavate asjaolude korral.
• Väljumisstrateegiad kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste jaoks, dokumenteeritud ja testitud, et üksus saaks lahkuda ilma oma äritegevust häirimata, nõuete täitmist piiramata või klientidele osutatavaid teenuseid kahjustamata.

Mida leping peab sisaldama

Artikkel 30 sätestab peamised lepingusätted. Iga IKT-leping peab olema kirjalik, ühes dokumendis koos teenustasemetega, ja hõlmama vähemalt järgmist:

• funktsioonide ja teenuste täielik kirjeldus ning see, kas ja millistel tingimustel on alltöövõtt lubatud;
• asukohad, kus teenuseid osutatakse ning andmeid töödeldakse ja säilitatakse, koos eelneva teatega mis tahes muudatusest;
• andmete, sealhulgas isikuandmete, käideldavus, autentsus, terviklus ja konfidentsiaalsus;
• juurdepääs andmetele, nende taastamine ja tagastamine kergesti kasutatavas vormingus maksejõuetuse, tegevuse lõpetamise või lepingu lõppemise korral;
• teenustasemete kirjeldus;
• abi teenusega seotud IKT-intsidentide korral lisatasuta või eelnevalt kokkulepitud tasu eest;
• täielik koostöö pädevate asutuste ja kriisilahendusasutustega;
• lõpetamisõigused ja minimaalsed etteteatamistähtajad;
• osalemine üksuse IKT-turvateadlikkuse programmides ja tegevuskerksuse koolitustel.

Kriitilise tähtsusega või olulisi funktsioone toetavate teenuste puhul lisab artikli 30 lõige 3 täpsed kvantitatiivsed ja kvalitatiivsed tulemuseesmärgid, teatamis- ja aruandluskohustused, talitluspidevuse kavad, mida tarnija rakendab ja testib, osalemise TLPT-s, üksuse ja tema järelevalveasutuse piiramatu juurdepääsu-, kontrolli- ja auditeerimisõiguse ning väljumisstrateegia kohustusliku üleminekuperioodiga. Delegeeritud määrus (EL) 2025/532 (avab välise veebisaidi) täpsustab, mida üksus peab hindama, kui selliste teenuste osutamiseks kasutatakse alltöövõttu.

07Kriitilised kolmandast isikust IKT-teenuste osutajad

Artikli 31 järgi määravad Euroopa järelevalveasutused finantssektori jaoks kriitilised IKT-teenuste osutajad, lähtudes nende süsteemsest mõjust, neile tuginevate finantssektori ettevõtjate tähtsusest, rollist kriitilise tähtsusega või olulistes funktsioonides ja sellest, kui lihtsalt neid saab asendada. Igale kriitilisele teenuseosutajale määratakse juhtiv järelevalvaja, üks kolmest asutusest, kes võib nõuda teavet, teha uurimisi ja kontrolle ning anda soovitusi.

18. novembril 2025 avaldatud esimene loetelu (avab välise veebisaidi) määras kriitiliseks 19 teenuseosutajat, alates pilve- ja andmekeskuse operaatoritest kuni telekommunikatsiooni-, IT-teenuste, turuandmete ja äritarkvara ettevõteteni. Määramine ei vabasta finantssektori ettevõtjat ühestki kohustusest: ta peab ka nende teenuseosutajate kohta pidama registrit, järgima lepingutingimusi ja omama väljumisstrateegiat.

08Mis peaks IKT-teenuse osutajal valmis olema

Enamikku finantssektori ettevõtjate tarnijatest ei määrata kunagi kriitiliseks, kuid kõik puutuvad DORA-ga kokku lepingute, hoolsuskontrolli ja auditite kaudu. Tarnija, kellel on järgmine paigas, lühendab hanget ja lihtsustab kliendi suhtlust Finantsinspektsiooniga:

• Registri andmed. See, mida klient vajab oma teaberegistri jaoks: juriidiline isik ja tunnused, osutatavad teenused ja funktsioonid, mida need toetavad, asukohad ning ahelas olevad alltöövõtjad.
• Artiklile 30 vastavad lepingusätted. Ideaalis standardne DORA lisa, mis katab mõlemad loetelud, selle asemel et iga punkti nullist läbi rääkida.
• Intsidendi tõendid. Seire, usaldusväärsete ajatemplitega logid ja teavitusmenetlus, mis võimaldab kliendil tundide jooksul intsidenti liigitada ja sellest teatada.
• Testitud talitluspidevus. Talitluspidevuse kavad ja taastetestid koos kuupäevade ja tulemustega.
• Tõendatav turvalisus. Infoturbe standardid, juurdepääsukontroll, turvaline arenduse elutsükkel ja turvanõrkuste käsitlemine, võimaluse korral sõltumatute tõenditega.
• Valmisolek auditiks ja testimiseks. Toimiv viis auditite ja kontrollide vastuvõtmiseks ning TLPT-s osalemiseks, sealhulgas ühistestimises, kui see sobib.
• Väljumisplaan. Andmete tagastamine kasutatavates vormingutes, dokumentatsioon ja ülemineku tugi kokkulepitud perioodi jooksul.

Nii töötame IKT-tarnijana finantssektori ettevõtjatega: lepime kokku DORA nõutud lepingutingimused, teatame intsidentidest kokkulepitud kanali kaudu, dokumenteerime väljumisplaanid, osaleme tegevuskerksuse testimises ja anname teabe, mida teie register vajab. Lehel Usaldus ja vastavus kirjeldame, kuidas me töötame, sealhulgas meie ISO/IEC 27001 sertifikaadiga infoturbe juhtimissüsteemi.

09Praktiline plaan mõlemale poolele

1. 01Täitke register. Siduge iga IKT-leping funktsioonidega, mida see toetab, ja märkige kriitilise tähtsusega või olulised.
2. 02Sulgege lepingulüngad. Võrrelge iga lepingut artikliga 30 ja leppige kokku lisa, kus tingimused puuduvad.
3. 03Ühtlustage intsidentide käsitlemine. Leppige iga kriitilise tarnijaga kokku liigitamise sisendid, kontaktid ja teavitusajad ning testige neid.
4. 04Kavandage testimine koos tarnijatega. Kaasake nad testimisprogrammi ja vajaduse korral TLPT ulatuse määramisse.
5. 05Kirjutage ja testige väljumisstrateegiad. Iga kriitilise tähtsusega või olulise funktsiooni kohta: alternatiivid, andmete tagastamine ja üleminekuperiood.
6. 06Jälgige kontsentratsiooni. Mitu kriitilist funktsiooni sama teenuseosutaja juures on risk, mida tuleb dokumenteerida ja juhtida (artikkel 29).

10Teie pädev asutus

DORA tekst on kõikjal sama, kuid enamiku finantssektori ettevõtjate üle teeb järelevalvet riiklik asutus. Eestis täidab DORA-st tulenevaid ülesandeid Finantsinspektsioon (Finantsinspektsiooni seadus (avab välise veebisaidi)). Teaberegistri ja intsidenditeadete vorm ja kanal ning TLPT eest vastutav asutus määratakse riigi tasandil. Kontrollige Finantsinspektsiooni juhiseid; kui teie grupil on üksusi teistes liikmesriikides, kontrollige ka sealsete asutuste omi.

11Mida lähikuudel jälgida

• Finantsinspektsiooni järelevalveprioriteedid ja tähelepanekud teaberegistri ja intsidentidest teatamise kohta.
• Juhtivate järelevalvajate järelevalve kriitiliste kolmandast isikust IKT-teenuste osutajate üle ja soovitused, mis puudutavad teie kasutatavaid teenuseid.
• Komisjoni digitaalomnibussi ettepanek (avab välise veebisaidi), COM(2025) 837, mis suunaks DORA suurte intsidentide teated ENISA hallatava ühtse kontaktpunkti kaudu. Oktoobris 2026 oli see veel Euroopa Parlamendi menetluses; kuni seda pole vastu võetud ega kohaldata, kehtivad praegused kanalid ja tähtajad.

Finantssektorist väljaspool olevatele organisatsioonidele kehtivad sarnased tarneahela kohustused NIS2 ja Eestis küberturvalisuse seaduse alusel; vt meie artiklit NIS2 ja tarkvaratarnijad. Euroopa järelevalveasutused hoiavad tehniliste standardite ja järelevalveraamistiku ülevaadet oma DORA lehtedel (avab välise veebisaidi).