DORA és a harmadik fél IKT-szolgáltatók: mit várnak el a pénzügyi szervezetek a szállítóiktól

01Hol tart a DORA 2026 őszén

A digitális működési rezilienciáról szóló rendelet (külső webhelyet nyit meg), az (EU) 2022/2554 rendelet (DORA) 2025. január 17. óta alkalmazandó. Rendeletként minden tagállamban közvetlenül hatályos; a nemzeti jog főként az illetékes hatóságokat jelöli ki, és a szankciókat állapítja meg. A részleteket a Bizottság által elfogadott technikai standardok tartalmazzák az IKT-kockázatkezelési keretrendszerről, az IKT-vonatkozású események besorolásáról és bejelentéséről, az információ-nyilvántartásról, a szerződéses szabályzatokról, az alvállalkozásba adásról és a fenyegetésalapú behatolási tesztelésről.

Magyarországon a pénzügyi közvetítőrendszert a Magyar Nemzeti Bank felügyeli, és a DORA végrehajtását is az MNB látja el, a Magyar Nemzeti Bankról szóló 2013. évi CXXXIX. törvény (külső webhelyet nyit meg) 40. § (43) bekezdése alapján.

A pénzügyi szervezetek számára a DORA az az ágazatspecifikus jogszabály, amely a NIS2 IKT-kockázatkezelési, incidensbejelentési és felügyeleti szabályainak helyébe lép. 2025. november 18-án a három európai felügyeleti hatóság (EBA, EIOPA és ESMA) közzétette (külső webhelyet nyit meg) az általuk közvetlenül felvigyázott kritikus harmadik fél IKT-szolgáltatók első listáját.

02Pénzügyi szervezetek és IKT-szolgáltatóik

A DORA húszféle pénzügyi szervezetre terjed ki, a hitelintézetektől, a pénzforgalmi és elektronikuspénz-kibocsátó intézményektől és a befektetési vállalkozásoktól a kriptoeszköz-szolgáltatókig, a kereskedési helyszínekig, az alapkezelőkig, a biztosítókig, a biztosításközvetítőkig, a foglalkoztatói nyugdíjintézményekig, a hitelminősítő intézetekig és a közösségi finanszírozási platformokig. Az arányosság beépített elv: a 4. cikk a követelményeket a mérethez, a kockázati profilhoz és az összetettséghez igazítja, a 16. cikk pedig egyszerűsített keretrendszert ír elő egyes kisebb szervezetekre.

Harmadik fél IKT-szolgáltató minden olyan vállalkozás, amely IKT-szolgáltatást nyújt, és a DORA ezt tágan határozza meg: IKT-rendszereken keresztül, folyamatosan, belső vagy külső felhasználóknak nyújtott digitális és adatszolgáltatások. A tárhelyszolgáltatás, a menedzselt szolgáltatások, a szoftver mint szolgáltatás, az alkalmazások karbantartása és támogatása, valamint az adatszolgáltatások jellemzően ide tartoznak. A szállítók a DORA alapján csak akkor állnak felügyelet alatt, ha kritikusnak minősítik őket, de ügyfeleik minden szerződésbe beviszik a kötelezettségeket.

03Az IKT-kockázatért a vezető testület felel

Az 5. cikk a vezető testületre bízza az IKT-kockázatért való végső felelősséget. A testület meghatározza, jóváhagyja és felügyeli az IKT-kockázatkezelési keretrendszert, kijelöli a digitális működési rezilienciára vonatkozó stratégiát és a kockázattűrést, jóváhagyja az üzletmenet-folytonossági szabályzatot és a reagálási és helyreállítási terveket, valamint jóváhagyja és felülvizsgálja a harmadik fél IKT-szolgáltatók igénybevételére vonatkozó szabályzatot. Tagjainak naprakészen kell tartaniuk tudásukat, többek között rendszeres képzéssel.

04Jelentős IKT-vonatkozású események: 4 óra, 72 óra, egy hónap

A pénzügyi szervezetek az IKT-vonatkozású eseményeket a 18. cikkben meghatározott és az (EU) 2024/1772 felhatalmazáson alapuló rendeletben (külső webhelyet nyit meg) részletezett kritériumok szerint sorolják be: az érintett ügyfelek és ügyletek, az időtartam és a kiesés, a földrajzi kiterjedés, az adatvesztés, az érintett szolgáltatások kritikussága és a gazdasági hatás. A jelentős IKT-vonatkozású eseményt három lépésben kell bejelenteni az illetékes hatóságnak, az (EU) 2025/301 felhatalmazáson alapuló rendeletben (külső webhelyet nyit meg) meghatározott határidőkkel:

Azokat az ügyfeleket, akiknek pénzügyi érdekei érintettek, indokolatlan késedelem nélkül tájékoztatni kell. A pénzügyi szervezet magát a bejelentést kiszervezheti egy harmadik félnek, de teljes mértékben felelős marad érte (19. cikk (5) bekezdés).

A szállítók számára ez nagyon konkrét. Minden IKT-szerződésnek tartalmaznia kell a szolgáltató kötelezettségét, hogy a szolgáltatásával összefüggő incidens esetén segítséget nyújt, további költség nélkül vagy előre egyeztetett áron (30. cikk (2) bekezdés f) pont). Az ügyfél négyórás ablaka csak akkor működik, ha a szállító monitorozása, naplói és kapcsolattartói már az incidens előtt a helyükön vannak.

05Tesztelés, egészen a fenyegetés­alapú behatolási tesztekig

A 24. cikk kockázatalapú tesztelési programot ír elő, független belső vagy külső tesztelőkkel, és legalább évente megfelelő teszteket minden olyan IKT-rendszeren és alkalmazáson, amely kritikus vagy fontos funkciót támogat. Az illetékes hatóság által kijelölt szervezeteknek legalább háromévente fenyegetésalapú behatolási tesztelést is végezniük kell élő, éles üzemi rendszereken, az (EU) 2025/1190 felhatalmazáson alapuló rendelet (külső webhelyet nyit meg) szerint, amely a TIBER-EU keretrendszert követi.

Ha egy szállító szolgáltatásai egy TLPT hatókörébe esnek, a pénzügyi szervezetnek gondoskodnia kell a szállító részvételéről (26. cikk (3) bekezdés), és a kritikus vagy fontos funkciókra vonatkozó szerződéseknek tartalmazniuk kell ezt a kötelezettséget (30. cikk (3) bekezdés d) pont). Ha a szállító részvétele más ügyfeleit hátrányosan érintené, a DORA lehetővé teszi az összevont tesztelést, amelyben a szállító több pénzügyi szervezet nevében közvetlenül szerződik egy külső tesztelővel (26. cikk (4) bekezdés).

06Harmadik fél IKT-kockázat: stratégia, nyilvántartás és kilépés

A 28. cikk a harmadik fél IKT-kockázatot az IKT-kockázatkezelési keretrendszer részévé teszi, és a pénzügyi szervezet teljes mértékben felelős marad a megfelelésért, bármit szervez is ki. A fő kötelezettségek:

• Stratégia a harmadik fél IKT-kockázatra, benne a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokra vonatkozó szabályzattal, amelyet a vezető testület rendszeresen felülvizsgál.
• Információ-nyilvántartás az IKT-szolgáltatásokra vonatkozó összes szerződéses megállapodásról, szervezeti és csoportszinten, amely elkülöníti a kritikus vagy fontos funkciókat támogató megállapodásokat. A sablonokat az (EU) 2024/2956 végrehajtási rendelet (külső webhelyet nyit meg) határozza meg. A szervezetek legalább évente jelentést tesznek róla az illetékes hatóságnak, és kérésre a teljes nyilvántartást átadják. Egy banknál ez a gyakorlatban az összes IKT-szolgáltató, alvállalkozó és támogatott funkció naprakész, egymáshoz kapcsolt listáját jelenti.
• Átvilágítás aláírás előtt: támogat-e a szolgáltatás kritikus vagy fontos funkciót, milyen kockázatokkal jár, köztük a koncentrációs kockázattal, alkalmas-e a szállító, és fennáll-e összeférhetetlenség. A szállítóknak megfelelő információbiztonsági szabványokat kell alkalmazniuk, kritikus vagy fontos funkcióknál a legkorszerűbbeket és a legmagasabb színvonalúakat.
• Felmondási jogok, többek között a szállító súlyos szerződésszegése, IKT-kockázatkezelésének igazolt gyengeségei vagy a hatékony felügyeletet akadályozó körülmények esetén.
• Kilépési stratégiák a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokra, dokumentálva és tesztelve, hogy a szervezet az üzletmenet megzavarása, a megfelelés korlátozása és az ügyfeleinek nyújtott szolgáltatások sérelme nélkül léphessen ki.

Mit kell tartalmaznia a szerződésnek

A 30. cikk határozza meg a szerződés minimális tartalmát. Minden IKT-szerződést írásba kell foglalni, egyetlen dokumentumban, amely a szolgáltatási szinteket is tartalmazza, és legalább a következőkre kell kiterjednie:

• a funkciók és szolgáltatások teljes leírása, valamint az, hogy megengedett-e az alvállalkozásba adás, és ha igen, milyen feltételekkel;
• a szolgáltatásnyújtás, valamint az adatkezelés és -tárolás helyszínei, és minden változás előzetes bejelentése;
• az adatok, köztük a személyes adatok rendelkezésre állása, hitelessége, sértetlensége és bizalmas jellege;
• az adatokhoz való hozzáférés, azok helyreállítása és visszaadása könnyen hozzáférhető formátumban fizetésképtelenség, a tevékenység megszűnése vagy a szerződés megszűnése esetén;
• a szolgáltatási szintek leírása;
• segítségnyújtás a szolgáltatással összefüggő IKT-biztonsági események esetén, további költség nélkül vagy előre egyeztetett áron;
• teljes körű együttműködés az illetékes és a szanálási hatóságokkal;
• felmondási jogok és minimális felmondási idők;
• részvétel a szervezet IKT-biztonsági tudatossági programjaiban és rezilienciaképzésein.

A kritikus vagy fontos funkciókat támogató szolgáltatásoknál a 30. cikk (3) bekezdése ehhez pontos mennyiségi és minőségi teljesítménycélokat, értesítési és jelentéstételi kötelezettségeket, a szállító által végrehajtott és tesztelt üzletmenet-folytonossági terveket, a TLPT-ben való részvételt, a szervezet és felügyeleti hatósága számára korlátlan hozzáférési, vizsgálati és auditjogot, valamint kötelező átmeneti időszakkal járó kilépési stratégiát tesz hozzá. Az (EU) 2025/532 felhatalmazáson alapuló rendelet (külső webhelyet nyit meg) azt részletezi, mit kell a szervezetnek értékelnie, ha az ilyen szolgáltatásokat alvállalkozásba adják.

07Kritikus harmadik fél IKT-szolgáltatók

A 31. cikk alapján az európai felügyeleti hatóságok kijelölik a pénzügyi ágazat szempontjából kritikus IKT-szolgáltatókat, a rendszerszintű hatásuk, a rájuk támaszkodó pénzügyi szervezetek jelentősége, a kritikus vagy fontos funkciókban betöltött szerepük és helyettesíthetőségük alapján. Minden kritikus szolgáltató mellé a három hatóság egyike vezető felvigyázóként kerül, amely információt kérhet, vizsgálatokat és helyszíni ellenőrzéseket végezhet, és ajánlásokat adhat ki.

A 2025. november 18-án közzétett első lista (külső webhelyet nyit meg) 19 szolgáltatót jelölt ki, a felhő- és adatközpont-üzemeltetőktől a távközlési, informatikai szolgáltató, piaci adatszolgáltató és vállalati szoftvereket fejlesztő cégekig. A kijelölés egyetlen kötelezettséget sem vesz le a pénzügyi szervezetről: minden ilyen szolgáltatónál továbbra is vezetnie kell a nyilvántartást, alkalmaznia kell a szerződési feltételeket, és kilépési stratégiával kell rendelkeznie.

08Mit kell előkészítenie egy IKT-szolgáltatónak

A pénzügyi szervezetek legtöbb szállítóját soha nem minősítik kritikusnak, de mindegyikük találkozik a DORA-val a szerződéseken, az átvilágításokon és az auditokon keresztül. Az a szállító, amely az alábbiakat előkészítette, lerövidíti a beszerzést, és megkönnyíti ügyfele párbeszédét a felügyeleti hatósággal:

• Nyilvántartási adatok. Amit az ügyfélnek az információ-nyilvántartásához meg kell adnia: jogi személy és azonosítók, a nyújtott szolgáltatások és az általuk támogatott funkciók, helyszínek és a láncban szereplő alvállalkozók.
• A 30. cikknek megfelelő szerződési feltételek. Ideális esetben egy szabványos DORA-kiegészítés, amely mindkét listát lefedi, ahelyett, hogy minden kikötést elölről kellene tárgyalni.
• Incidensbizonyíték. Monitorozás, megbízható időbélyeggel ellátott naplók és olyan értesítési eljárás, amely lehetővé teszi, hogy az ügyfél órákon belül besorolja és bejelentse az incidenst.
• Tesztelt folytonosság. Üzletmenet-folytonossági tervek és visszaállítási tesztek, dátumokkal és eredményekkel.
• Felmutatható biztonság. Információbiztonsági szabványok, hozzáférés-szabályozás, biztonságos fejlesztési életciklus és sérülékenységkezelés, lehetőség szerint független bizonyítékkal.
• Felkészültség auditra és tesztelésre. Működő mód az auditok és helyszíni ellenőrzések fogadására, valamint a TLPT-ben való részvételre, ahol indokolt, összevont teszteléssel is.
• Kilépési terv. Adatvisszaadás használható formátumokban, dokumentáció és átállási támogatás egy egyeztetett időszakra.

Így dolgozunk pénzügyi szervezetek IKT-szállítójaként: megállapodunk a DORA által előírt szerződési rendelkezésekben, az egyeztetett csatornán jelentjük az incidenseket, dokumentáljuk a kilépési terveket, részt veszünk a rezilienciatesztelésben, és átadjuk a nyilvántartásához szükséges információkat. A Bizalom és megfelelés oldalunk bemutatja, hogyan dolgozunk, beleértve ISO/IEC 27001 szerint tanúsított információbiztonsági irányítási rendszerünket.

09Gyakorlati terv mindkét félnek

1. 01Töltse fel a nyilvántartást. Kapcsoljon minden IKT-szerződést az általa támogatott funkciókhoz, és jelölje meg a kritikus vagy fontos funkciókat.
2. 02Zárja be a szerződéses hiányokat. Vesse össze minden szerződést a 30. cikkel, és ahol feltétel hiányzik, egyezzenek meg kiegészítésben.
3. 03Hangolja össze az incidenskezelést. Minden kritikus szállítóval egyeztesse a besoroláshoz szükséges adatokat, a kapcsolattartókat és az értesítési időket, és tesztelje is őket.
4. 04Tervezze meg a tesztelést a szállítókkal. Vonja be őket a tesztelési programba, és ahol releváns, egy TLPT hatókörének meghatározásába.
5. 05Írja meg és tesztelje a kilépési stratégiákat. Minden kritikus vagy fontos funkcióra: alternatívák, adatvisszaadás és átmeneti időszak. Egy banknál ez például azt jelenti, hogy a felhőben futó alapszolgáltatásokra is van kipróbált átállási út.
6. 06Figyelje a koncentrációt. Ha több kritikus funkció ugyanattól a szolgáltatótól függ, azt kockázatként dokumentálni és kezelni kell (29. cikk).

10Az illetékes hatóság Magyarországon

A DORA szövege mindenhol ugyanaz, de a legtöbb pénzügyi szervezet felügyelete nemzeti. Magyarországon a Magyar Nemzeti Bank felügyeli a pénzügyi közvetítőrendszert (MNB tv. 4. § (9) bekezdés), és ő látja el a DORA végrehajtását (MNB tv. 40. § (43) bekezdés). Az információ-nyilvántartás és az eseménybejelentések formátumát és csatornáját, valamint a TLPT-ért felelős hatóságot nemzeti szinten határozzák meg. Ellenőrizze az MNB útmutatóit.

11Mire érdemes figyelni a következő hónapokban

• Az MNB felügyeleti prioritásai és megállapításai az információ-nyilvántartásról és az eseménybejelentésről.
• A kritikus harmadik fél IKT-szolgáltatók vezető felvigyázók általi felvigyázása, és minden olyan ajánlás, amely az Ön által használt szolgáltatásokat érinti.
• A Bizottság digitális omnibusz javaslata (külső webhelyet nyit meg), a COM(2025) 837, amely a DORA szerinti jelentős IKT-vonatkozású események bejelentését egyetlen, az ENISA által működtetett belépési ponton keresztül vezetné. 2026 októberében még az Európai Parlament előtt volt; amíg el nem fogadják és nem alkalmazandó, a jelenlegi csatornák és határidők érvényesek.

A pénzügyi ágazaton kívüli szervezetekre a NIS2 hasonló ellátásilánc-kötelezettségeket ró, Magyarországon a kiberbiztonsági törvényen keresztül; lásd a NIS2-ről és a szoftverszállítókról szóló cikkünket. Az európai felügyeleti hatóságok a technikai standardokról és a felvigyázási keretrendszerről a DORA-oldalaikon (külső webhelyet nyit meg) adnak áttekintést.