DORA ir IRT paslaugas teikiančios trečiosios šalys: ko finansų sektoriaus subjektams reikia iš tiekėjų

01DORA padėtis 2026 m. rudenį

Reglamentas dėl skaitmeninės veiklos atsparumo finansų sektoriuje (atidaroma išorinė svetainė) (DORA), Reglamentas (ES) 2022/2554, taikomas nuo 2025 m. sausio 17 d. Kaip reglamentas, jis tiesiogiai taikomas kiekvienoje valstybėje narėje; nacionalinė teisė daugiausia paskiria kompetentingas institucijas ir nustato sankcijas. Detalės pateiktos Komisijos priimtuose techniniuose standartuose dėl IRT rizikos valdymo sistemos, incidentų klasifikavimo ir pranešimo, informacijos registro, sutarčių politikos, subrangos ir grėsmėmis grindžiamo skverbimosi testavimo.

Finansų sektoriaus subjektams DORA yra konkrečiam sektoriui skirtas teisės aktas, kuris pakeičia NIS2 taisykles dėl IRT rizikos valdymo, pranešimo apie incidentus ir priežiūros. 2025 m. lapkričio 18 d. trys Europos priežiūros institucijos (EBA, EIOPA ir ESMA) paskelbė (atidaroma išorinė svetainė) pirmąjį ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių, kurias jos prižiūri tiesiogiai, sąrašą.

02Finansų sektoriaus subjektai ir jų IRT paslaugų teikėjai

DORA apima dvidešimt finansų sektoriaus subjektų rūšių: nuo kredito įstaigų, mokėjimo ir elektroninių pinigų įstaigų bei investicinių įmonių iki kriptoturto paslaugų teikėjų, prekybos vietų, fondų valdytojų, draudimo įmonių, draudimo tarpininkų, profesinių pensijų įstaigų, kredito reitingų agentūrų ir sutelktinio finansavimo platformų. Proporcingumas įtvirtintas pačiame reglamente: 4 straipsnis reikalavimus pritaiko pagal dydį, rizikos profilį ir sudėtingumą, o 16 straipsnis kai kuriems mažesniems subjektams nustato supaprastintą sistemą.

IRT paslaugas teikianti trečioji šalis yra bet kuri įmonė, teikianti IRT paslaugas, o DORA jas apibrėžia plačiai: tai skaitmeninės ir duomenų paslaugos, nuolat teikiamos per IRT sistemas vidaus ar išorės naudotojams. Paprastai tai apima prieglobą, valdomas paslaugas, programinę įrangą kaip paslaugą, taikomųjų programų priežiūrą ir palaikymą bei duomenų paslaugas. Tiekėjai pagal DORA neprižiūrimi, nebent paskiriami ypatingos svarbos teikėjais, tačiau jų klientai pareigas perkelia į kiekvieną sutartį.

03IRT riziką prisiima valdymo organas

5 straipsnis galutinę atsakomybę už IRT riziką priskiria valdymo organui. Jis apibrėžia, tvirtina ir prižiūri IRT rizikos valdymo sistemą, nustato skaitmeninės veiklos atsparumo strategiją ir rizikos toleranciją, tvirtina veiklos tęstinumo politiką bei reagavimo ir atkūrimo planus, taip pat tvirtina ir peržiūri trečiųjų šalių teikiamų IRT paslaugų naudojimo politiką. Jo nariai turi nuolat atnaujinti žinias, be kita ko, reguliariai dalyvaudami mokymuose.

04Dideli incidentai: 4 valandos, 72 valandos, vienas mėnuo

Finansų sektoriaus subjektai su IRT susijusius incidentus klasifikuoja pagal 18 straipsnyje nustatytus ir Deleguotajame reglamente (ES) 2024/1772 (atidaroma išorinė svetainė) detalizuotus kriterijus: paveikti klientai ir sandoriai, trukmė ir prastovos laikas, geografinis paplitimas, duomenų praradimas, paveiktų paslaugų svarba ir ekonominis poveikis. Apie didelį incidentą kompetentingai institucijai pranešama trimis žingsniais, kurių terminus nustato Deleguotasis reglamentas (ES) 2025/301 (atidaroma išorinė svetainė):

Klientus, kurių finansiniams interesams incidentas turi poveikio, reikia informuoti nedelsiant. Finansų sektoriaus subjektas pranešimų teikimą gali patikėti trečiajai šaliai, bet už jį lieka visiškai atsakingas (19 straipsnio 5 dalis).

Tiekėjams tai labai konkretu. Kiekvienoje IRT sutartyje turi būti numatyta teikėjo pareiga padėti, kai įvyksta su jo paslauga susijęs incidentas, be papildomo mokesčio arba už iš anksto sutartą kainą (30 straipsnio 2 dalies f punktas). Kliento keturių valandų langas veikia tik tada, kai tiekėjo stebėsena, žurnalai ir kontaktai parengti dar prieš incidentą.

05Testavimas iki grėsmėmis grindžiamo skverbimosi testavimo

24 straipsnis reikalauja rizika grindžiamos testavimo programos, kurią vykdo nepriklausomi vidaus ar išorės testuotojai, su tinkamais testais bent kartą per metus visoms IRT sistemoms ir taikomosioms programoms, palaikančioms ypatingos svarbos arba svarbias funkcijas. Kompetentingos institucijos nustatyti subjektai taip pat turi bent kas trejus metus atlikti grėsmėmis grindžiamą skverbimosi testavimą realiose gamybinėse sistemose pagal Deleguotąjį reglamentą (ES) 2025/1190 (atidaroma išorinė svetainė), kuris remiasi TIBER-EU sistema.

Kai tiekėjo paslaugos patenka į TLPT apimtį, finansų sektoriaus subjektas turi užtikrinti, kad tiekėjas dalyvautų (26 straipsnio 3 dalis), o sutartyse dėl ypatingos svarbos arba svarbių funkcijų ši pareiga turi būti įrašyta (30 straipsnio 3 dalies d punktas). Jei tiekėjo dalyvavimas galėtų pakenkti kitiems jo klientams, DORA leidžia bendrą testavimą: tiekėjas tiesiogiai pasamdo išorės testuotoją kelių finansų sektoriaus subjektų vardu (26 straipsnio 4 dalis).

06Trečiosios šalies keliama IRT rizika: strategija, registras ir pasitraukimas

28 straipsnis trečiosios šalies keliamą IRT riziką padaro IRT rizikos valdymo sistemos dalimi, o finansų sektoriaus subjektas lieka visiškai atsakingas už atitiktį, kad ir ką perduotų išorės teikėjams. Pagrindinės pareigos:

• Trečiosios šalies keliamos IRT rizikos strategija, įskaitant politiką dėl IRT paslaugų, palaikančių ypatingos svarbos arba svarbias funkcijas, kurią valdymo organas reguliariai peržiūri.
• Informacijos registras apie visus IRT paslaugų sutartinius susitarimus subjekto ir grupės lygmeniu, atskiriant susitarimus, palaikančius ypatingos svarbos arba svarbias funkcijas. Šablonus nustato Įgyvendinimo reglamentas (ES) 2024/2956 (atidaroma išorinė svetainė). Subjektai apie registrą kompetentingai institucijai praneša bent kartą per metus, o visą registrą pateikia jos prašymu.
• Išsamus patikrinimas prieš pasirašant: ar paslauga palaiko ypatingos svarbos arba svarbią funkciją, kokia rizika, įskaitant koncentracijos riziką, ar tiekėjas tinkamas ir ar nėra interesų konfliktų. Tiekėjai turi taikyti tinkamus informacijos saugumo standartus, o ypatingos svarbos arba svarbioms funkcijoms naujausius ir aukščiausios kokybės standartus.
• Teisė nutraukti sutartį, be kita ko, dėl esminio tiekėjo pažeidimo, įrodytų jo IRT rizikos valdymo trūkumų ar aplinkybių, trukdančių veiksmingai priežiūrai.
• Pasitraukimo strategijos IRT paslaugoms, palaikančioms ypatingos svarbos arba svarbias funkcijas, dokumentuotos ir išbandytos, kad subjektas galėtų pasitraukti nesutrikdydamas veiklos, neapribodamas atitikties ir nepakenkdamas paslaugoms klientams.

Kas turi būti sutartyje

30 straipsnis nustato pagrindines sutartines nuostatas. Kiekviena IRT sutartis turi būti rašytinė, sudaryta kaip vienas dokumentas, apimantis paslaugų lygius, ir apimti bent:

• išsamų funkcijų ir paslaugų aprašymą ir tai, ar ir kokiomis sąlygomis leidžiama subranga;
• vietas, kuriose teikiamos paslaugos ir tvarkomi bei saugomi duomenys, su išankstiniu pranešimu apie bet kokį pakeitimą;
• duomenų, įskaitant asmens duomenis, prieinamumą, autentiškumą, vientisumą ir konfidencialumą;
• prieigą prie duomenų, jų atkūrimą ir grąžinimą lengvai prieinamu formatu nemokumo, veiklos nutraukimo ar sutarties nutraukimo atveju;
• paslaugų lygių aprašymus;
• pagalbą per su paslauga susijusius IRT incidentus be papildomo mokesčio arba už iš anksto sutartą kainą;
• visapusišką bendradarbiavimą su kompetentingomis ir pertvarkymo institucijomis;
• teises nutraukti sutartį ir minimalius įspėjimo terminus;
• dalyvavimą subjekto IRT saugumo sąmoningumo programose ir skaitmeninės veiklos atsparumo mokymuose.

Paslaugoms, palaikančioms ypatingos svarbos arba svarbias funkcijas, 30 straipsnio 3 dalis prideda tikslius kiekybinius ir kokybinius veiklos rodiklius, pranešimo ir ataskaitų teikimo pareigas, tiekėjo įgyvendinamus ir testuojamus veiklos tęstinumo planus, dalyvavimą TLPT, neribotas prieigos, patikrinimo ir audito teises subjektui ir jo priežiūros institucijai bei pasitraukimo strategiją su privalomu pereinamuoju laikotarpiu. Deleguotasis reglamentas (ES) 2025/532 (atidaroma išorinė svetainė) nustato, ką subjektas turi įvertinti, kai tokioms paslaugoms naudojama subranga.

07Ypatingos svarbos IRT paslaugas teikiančios trečiosios šalys

Pagal 31 straipsnį Europos priežiūros institucijos ypatingos svarbos finansų sektoriui teikėjais paskiria IRT teikėjus, atsižvelgdamos į jų sisteminį poveikį, nuo jų priklausančių finansų sektoriaus subjektų svarbą, jų vaidmenį ypatingos svarbos arba svarbiose funkcijose ir tai, kaip lengvai juos galima pakeisti. Kiekvienam ypatingos svarbos teikėjui paskiriama Atsakingoji priežiūros institucija (Lead Overseer), viena iš trijų institucijų, kuri gali prašyti informacijos, atlikti tyrimus ir patikrinimus bei teikti rekomendacijas.

Pirmajame sąraše (atidaroma išorinė svetainė), paskelbtame 2025 m. lapkričio 18 d., paskirta 19 teikėjų: nuo debesijos ir duomenų centrų operatorių iki telekomunikacijų, IT paslaugų, rinkos duomenų ir įmonių programinės įrangos bendrovių. Paskyrimas nepanaikina jokios finansų sektoriaus subjekto pareigos: jis vis tiek tvarko registrą, laikosi sutarčių sąlygų reikalavimų ir kiekvienam iš šių teikėjų turi pasitraukimo strategiją.

08Ką IRT paslaugų teikėjas turėtų turėti parengęs

Dauguma finansų sektoriaus subjektų tiekėjų niekada nebus paskirti ypatingos svarbos teikėjais, tačiau visi jie su DORA susiduria per sutartis, išsamius patikrinimus ir auditus. Tiekėjas, turintis toliau išvardytus dalykus, sutrumpina pirkimą ir palengvina kliento dialogą su priežiūros institucija:

• Registro duomenys. Ko klientui reikia jo informacijos registrui: juridinis asmuo ir identifikatoriai, teikiamos paslaugos ir jų palaikomos funkcijos, vietos ir grandinėje dalyvaujantys subrangovai.
• 30 straipsnį atitinkančios sutarties sąlygos. Geriausia standartinis DORA priedas, apimantis abu sąrašus, užuot kiekvieną sąlygą derinus iš naujo.
• Incidentų įrodymai. Stebėsena, žurnalai su patikimomis laiko žymomis ir pranešimo procedūra, leidžianti klientui klasifikuoti incidentą ir pranešti apie jį per kelias valandas.
• Išbandytas tęstinumas. Veiklos tęstinumo planai ir atkūrimo testai su datomis ir rezultatais.
• Saugumas, kurį galima parodyti. Informacijos saugumo standartai, prieigos kontrolė, saugaus kūrimo ciklas ir pažeidžiamumų valdymas, kai įmanoma, su nepriklausomais įrodymais.
• Pasirengimas auditams ir testams. Veikiantis būdas priimti auditus ir patikrinimus bei dalyvauti TLPT, įskaitant bendrą testavimą, kai jis tinka.
• Pasitraukimo planas. Duomenų grąžinimas tinkamais formatais, dokumentacija ir pagalba pereinant suderintą laikotarpį.

Taip dirbame kaip IRT paslaugų tiekėjas finansų sektoriaus subjektams: suderiname DORA reikalaujamas sutarties nuostatas, apie incidentus pranešame suderintu kanalu, dokumentuojame pasitraukimo planus, dalyvaujame atsparumo testavime ir teikiame informaciją, kurios reikia Jūsų registrui. Puslapyje Patikimumas ir atitiktis aprašome, kaip dirbame, įskaitant mūsų informacijos saugumo valdymo sistemą, sertifikuotą pagal ISO/IEC 27001.

09Praktinis planas abiem pusėms

1. 01Užbaikite registrą. Kiekvieną IRT sutartį susiekite su jos palaikomomis funkcijomis ir pažymėkite ypatingos svarbos arba svarbias.
2. 02Užpildykite sutarčių spragas. Kiekvieną sutartį palyginkite su 30 straipsniu ir, kur trūksta sąlygų, suderinkite priedą.
3. 03Suderinkite incidentų valdymą. Su kiekvienu ypatingos svarbos tiekėju suderinkite klasifikavimui reikalingą informaciją, kontaktus ir pranešimo terminus ir juos išbandykite.
4. 04Planuokite testavimą su tiekėjais. Įtraukite juos į testavimo programą ir, kur aktualu, į TLPT apimties nustatymą.
5. 05Parašykite ir išbandykite pasitraukimo strategijas. Kiekvienai ypatingos svarbos arba svarbiai funkcijai: alternatyvos, duomenų grąžinimas ir pereinamasis laikotarpis.
6. 06Stebėkite koncentraciją. Kelios ypatingos svarbos funkcijos pas tą patį teikėją yra rizika, kurią reikia dokumentuoti ir valdyti (29 straipsnis).

10Jūsų priežiūros institucija

DORA tekstas visur tas pats, tačiau daugumos finansų sektoriaus subjektų priežiūra yra nacionalinė: priklausomai nuo subjekto rūšies tai centrinis bankas, rizikos ribojimo priežiūros institucija ar rinkų institucija, o svarbius bankus prižiūri ECB. Informacijos registro ir pranešimų apie incidentus formatą bei kanalą ir už TLPT atsakingą instituciją nustato nacionalinis lygmuo.

Lietuvos bankas (atidaroma išorinė svetainė) prižiūri finansų rinkos dalyvius. Pagal DORA finansų sektoriaus subjektai jam teikia IRT registrą ir pranešimus apie didelius su IRT susijusius incidentus. Formatus ir kanalus tikrinkite Lietuvos banko skelbiamoje informacijoje.

11Ką stebėti artimiausiais mėnesiais

• Savo priežiūros institucijos prioritetus ir išvadas dėl informacijos registro ir pranešimų apie incidentus.
• Atsakingųjų priežiūros institucijų vykdomą ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių priežiūrą ir rekomendacijas, susijusias su Jūsų naudojamomis paslaugomis.
• Komisijos skaitmeninio omnibuso pasiūlymą (atidaroma išorinė svetainė) (oficialus pavadinimas „Skaitmeninio sektoriaus bendrasis rinkinys“, angl. Digital Omnibus), COM(2025) 837, pagal kurį pranešimai apie didelius DORA incidentus būtų teikiami per vieną ENISA valdomą prieigos tašką. 2026 m. spalį jis dar buvo svarstomas Europos Parlamente; kol jis nepriimtas ir netaikomas, galioja dabartiniai kanalai ir terminai.

Ne finansų sektoriaus organizacijoms panašios tiekimo grandinės pareigos kyla iš NIS2; žr. mūsų straipsnį NIS2, Kibernetinio saugumo įstatymas ir programinės įrangos tiekėjai. Europos priežiūros institucijos techninių standartų ir priežiūros sistemos apžvalgą skelbia savo DORA puslapiuose (atidaroma išorinė svetainė).