DORA dan penyedia perkhidmatan ICT pihak ketiga: apa yang diperlukan oleh entiti kewangan EU daripada pembekal mereka

01Kedudukan DORA pada Oktober 2026

Akta Daya Tahan Operasi Digital (DORA) (membuka laman web luar), iaitu Peraturan (EU) 2022/2554, terpakai sejak 17 Januari 2025. Sebagai peraturan, ia terpakai secara langsung di setiap Negara Anggota; undang-undang negara terutamanya menetapkan pihak berkuasa kompeten dan penalti. Butirannya terdapat dalam piawaian teknikal yang diterima pakai oleh Suruhanjaya Eropah tentang rangka kerja pengurusan risiko ICT, klasifikasi dan pelaporan insiden, daftar maklumat, dasar kontrak, subkontrak dan ujian penembusan berasaskan ancaman.

Bagi entiti kewangan, DORA ialah akta khusus sektor yang menggantikan peraturan NIS2 tentang pengurusan risiko ICT, pelaporan insiden dan penyeliaan. Pada 18 November 2025, tiga Pihak Berkuasa Penyeliaan Eropah (EBA, EIOPA dan ESMA) menerbitkan (membuka laman web luar) senarai pertama penyedia ICT pihak ketiga kritikal yang diselia secara langsung oleh mereka.

02Entiti kewangan dan penyedia ICT mereka

DORA meliputi dua puluh jenis entiti kewangan, daripada institusi kredit, institusi pembayaran dan wang elektronik serta firma pelaburan hingga penyedia perkhidmatan aset kripto, tempat dagangan, pengurus dana, syarikat insurans, perantara insurans, institusi pencen pekerjaan, agensi penarafan kredit dan platform pembiayaan ramai. Prinsip kesepadanan telah dibina di dalamnya: Perkara 4 menyesuaikan keperluan dengan saiz, profil risiko dan kerumitan, dan Perkara 16 menetapkan rangka kerja yang dipermudah bagi sesetengah entiti yang lebih kecil.

Penyedia perkhidmatan ICT pihak ketiga ialah mana-mana syarikat yang menyediakan perkhidmatan ICT, dan DORA mentakrifkan perkhidmatan itu secara luas: perkhidmatan digital dan data yang disediakan melalui sistem ICT kepada pengguna dalaman atau luaran secara berterusan. Pengehosan, perkhidmatan terurus, perisian sebagai perkhidmatan, penyelenggaraan dan sokongan aplikasi, serta perkhidmatan data biasanya termasuk. Pembekal tidak diselia di bawah DORA melainkan ditetapkan sebagai kritikal, tetapi pelanggan mereka membawa kewajipan itu ke dalam setiap kontrak.

03Penyedia ICT di Malaysia

DORA bukan undang-undang Malaysia, tetapi ia sampai kepada penyedia ICT di Malaysia yang berkhidmat kepada entiti kewangan di EU. Entiti kewangan itu kekal bertanggungjawab atas risiko ICT pihak ketiganya dan memindahkan keperluan DORA kepada penyedia melalui kontrak (Perkara 28 dan 30), walau di mana pun penyedia itu ditubuhkan. Jika penyedia yang ditubuhkan di luar EU ditetapkan sebagai kritikal, ia mempunyai dua belas bulan selepas penetapan itu untuk menubuhkan anak syarikat di EU sebelum entiti kewangan EU boleh terus menggunakan perkhidmatannya (Perkara 31(12)).

Bagi institusi kewangan di Malaysia, rangka kerja tempatan ialah dokumen polisi Risk Management in Technology (RMiT) Bank Negara Malaysia, yang versi semakannya berkuat kuasa sejak 28 November 2025, dan bagi entiti pasaran modal, Garis Panduan Pengurusan Risiko Teknologi Suruhanjaya Sekuriti Malaysia, yang berkuat kuasa sejak 19 Ogos 2024. Penyedia yang berkhidmat kepada institusi kewangan di Malaysia dan di EU perlu memetakan keperluan setiap rangka kerja secara berasingan.

04Badan pengurusan memikul risiko ICT

Perkara 5 memberikan badan pengurusan tanggungjawab muktamad atas risiko ICT. Badan pengurusan mentakrifkan, meluluskan dan mengawasi rangka kerja pengurusan risiko ICT, menetapkan strategi daya tahan operasi digital dan toleransi risiko, meluluskan dasar kesinambungan perniagaan serta pelan tindak balas dan pemulihan, dan meluluskan serta menyemak dasar penggunaan perkhidmatan ICT daripada penyedia pihak ketiga. Ahlinya mesti sentiasa mengemas kini pengetahuan mereka, termasuk melalui latihan berkala.

05Insiden utama: 4 jam, 72 jam, satu bulan

Entiti kewangan mengklasifikasikan insiden berkaitan ICT berdasarkan kriteria dalam Perkara 18 yang diperincikan dalam Peraturan Diwakilkan (EU) 2024/1772 (membuka laman web luar): pelanggan dan transaksi yang terjejas, tempoh dan masa henti, sebaran geografi, kehilangan data, kepentingan perkhidmatan yang terjejas dan kesan ekonomi. Insiden utama dilaporkan kepada pihak berkuasa kompeten dalam tiga langkah, dengan had masa yang ditetapkan oleh Peraturan Diwakilkan (EU) 2025/301 (membuka laman web luar):

Pelanggan yang kepentingan kewangannya terjejas mesti dimaklumkan tanpa kelewatan yang tidak wajar. Entiti kewangan boleh menyumber luar pelaporan itu kepada pihak ketiga, tetapi ia kekal bertanggungjawab sepenuhnya (Perkara 19(5)).

Bagi pembekal, ini perkara konkrit. Setiap kontrak ICT mesti merangkumi kewajipan penyedia untuk membantu apabila berlaku insiden berkaitan perkhidmatannya, tanpa kos tambahan atau pada kos yang dipersetujui terlebih dahulu (Perkara 30(2)(f)). Tempoh empat jam pelanggan hanya boleh dipenuhi jika pemantauan, log dan kenalan pembekal sudah tersedia sebelum insiden berlaku.

06Ujian, hingga ujian penembusan berasaskan ancaman

Perkara 24 menghendaki program ujian berasaskan risiko yang dijalankan oleh penguji dalaman atau luaran yang bebas, dengan ujian yang sesuai sekurang-kurangnya setiap tahun ke atas semua sistem dan aplikasi ICT yang menyokong fungsi kritikal atau penting. Entiti yang dikenal pasti oleh pihak berkuasa kompetennya juga mesti menjalankan ujian penembusan berasaskan ancaman sekurang-kurangnya setiap tiga tahun, ke atas sistem pengeluaran yang sedang beroperasi, di bawah Peraturan Diwakilkan (EU) 2025/1190 (membuka laman web luar), yang mengikut rangka kerja TIBER-EU.

Apabila perkhidmatan pembekal berada dalam skop TLPT, entiti kewangan mesti memastikan pembekal itu mengambil bahagian (Perkara 26(3)), dan kontrak bagi fungsi kritikal atau penting mesti merangkumi kewajipan tersebut (Perkara 30(3)(d)). Jika penyertaan pembekal boleh menjejaskan pelanggannya yang lain, DORA membenarkan ujian terkumpul, iaitu pembekal melantik penguji luar secara langsung bagi pihak beberapa entiti kewangan (Perkara 26(4)).

07Risiko ICT pihak ketiga: strategi, daftar dan keluar

Perkara 28 menjadikan risiko ICT pihak ketiga sebahagian daripada rangka kerja pengurusan risiko ICT, dan entiti kewangan kekal bertanggungjawab sepenuhnya atas pematuhan walau apa pun yang disumber luarkan. Kewajipan utamanya:

• Strategi risiko ICT pihak ketiga, termasuk dasar tentang perkhidmatan ICT yang menyokong fungsi kritikal atau penting, yang disemak secara berkala oleh badan pengurusan.
• Daftar maklumat tentang semua perkiraan kontrak bagi perkhidmatan ICT, di peringkat entiti dan kumpulan, yang membezakan perkiraan yang menyokong fungsi kritikal atau penting. Templatnya ditetapkan oleh Peraturan Pelaksanaan (EU) 2024/2956 (membuka laman web luar). Entiti melaporkan daftar ini kepada pihak berkuasa kompetennya sekurang-kurangnya setiap tahun dan menyerahkan daftar penuh apabila diminta.
• Usaha wajar sebelum menandatangani kontrak: sama ada perkhidmatan itu menyokong fungsi kritikal atau penting, risikonya termasuk risiko penumpuan, kesesuaian pembekal dan sebarang konflik kepentingan. Pembekal mesti menggunakan piawaian keselamatan maklumat yang sesuai, dan bagi fungsi kritikal atau penting, piawaian yang terkini dan berkualiti tertinggi.
• Hak penamatan, antara lain bagi pelanggaran ketara oleh pembekal, kelemahan yang terbukti dalam pengurusan risiko ICT pembekal, atau keadaan yang menghalang penyeliaan yang berkesan.
• Strategi keluar bagi perkhidmatan ICT yang menyokong fungsi kritikal atau penting, didokumentasikan dan diuji, supaya entiti boleh keluar tanpa mengganggu perniagaannya, mengehadkan pematuhannya atau menjejaskan perkhidmatan kepada pelanggannya.

Apa yang mesti dinyatakan dalam kontrak

Perkara 30 menetapkan terma kontrak minimum. Setiap kontrak ICT mesti bertulis, dalam satu dokumen yang merangkumi tahap perkhidmatan, dan meliputi sekurang-kurangnya:

• huraian lengkap tentang fungsi dan perkhidmatan, serta sama ada, dan dengan syarat apa, subkontrak dibenarkan;
• lokasi perkhidmatan disediakan dan data diproses serta disimpan, dengan notis awal tentang sebarang perubahan;
• ketersediaan, ketulenan, integriti dan kerahsiaan data, termasuk data peribadi;
• akses kepada data, pemulihan dan pemulangannya dalam format yang mudah diakses sekiranya berlaku ketakmampuan bayar, pemberhentian atau penamatan;
• huraian tahap perkhidmatan;
• bantuan semasa insiden ICT yang berkaitan dengan perkhidmatan, tanpa kos tambahan atau pada kos yang dipersetujui terlebih dahulu;
• kerjasama penuh dengan pihak berkuasa kompeten dan pihak berkuasa peleraian;
• hak penamatan dan tempoh notis minimum;
• penyertaan dalam program kesedaran keselamatan ICT dan latihan daya tahan entiti.

Bagi perkhidmatan yang menyokong fungsi kritikal atau penting, Perkara 30(3) menambah sasaran prestasi kuantitatif dan kualitatif yang tepat, kewajipan notis dan pelaporan, pelan kontingensi perniagaan yang dilaksanakan dan diuji oleh pembekal, penyertaan dalam TLPT, hak akses, pemeriksaan dan audit tanpa sekatan bagi entiti dan penyelianya, dan strategi keluar dengan tempoh peralihan wajib. Peraturan Diwakilkan (EU) 2025/532 (membuka laman web luar) menambah perkara yang mesti dinilai oleh entiti apabila perkhidmatan sedemikian disubkontrakkan.

08Penyedia ICT pihak ketiga kritikal

Di bawah Perkara 31, Pihak Berkuasa Penyeliaan Eropah menetapkan penyedia ICT yang kritikal bagi sektor kewangan, berdasarkan kesan sistemiknya, kepentingan entiti kewangan yang bergantung padanya, peranannya dalam fungsi kritikal atau penting dan sejauh mana ia mudah digantikan. Setiap penyedia kritikal mempunyai Pengawas Utama (Lead Overseer), iaitu salah satu daripada tiga pihak berkuasa itu, yang boleh meminta maklumat, menjalankan siasatan dan pemeriksaan, dan mengeluarkan cadangan.

Senarai pertama (membuka laman web luar), yang diterbitkan pada 18 November 2025, menetapkan 19 penyedia, daripada pengendali awan dan pusat data hingga syarikat telekomunikasi, perkhidmatan IT, data pasaran dan perisian. Penetapan itu tidak menghapuskan sebarang kewajipan entiti kewangan: entiti itu tetap menyimpan daftar, terma kontrak dan strategi keluar bagi setiap penyedia ini.

09Apa yang perlu disediakan oleh penyedia ICT

Kebanyakan pembekal kepada entiti kewangan tidak akan ditetapkan sebagai kritikal, tetapi semuanya berdepan dengan DORA melalui kontrak, usaha wajar dan audit. Pembekal yang menyediakan perkara berikut memendekkan proses perolehan dan memudahkan dialog pelanggannya dengan penyelia:

• Data daftar. Apa yang diperlukan oleh pelanggan bagi daftar maklumatnya: entiti undang-undang dan pengecam, perkhidmatan yang disediakan dan fungsi yang disokongnya, lokasi, dan subkontraktor dalam rantaian.
• Terma kontrak yang sepadan dengan Perkara 30. Sebaik-baiknya adendum DORA standard yang meliputi kedua-dua senarai, dan bukan rundingan setiap klausa dari awal.
• Bukti insiden. Pemantauan, log dengan cap masa yang boleh dipercayai dan prosedur pemberitahuan yang membolehkan pelanggan mengklasifikasikan dan melaporkan insiden dalam beberapa jam.
• Kesinambungan yang telah diuji. Pelan kontingensi perniagaan dan ujian pemulihan, dengan tarikh dan keputusannya.
• Keselamatan yang boleh ditunjukkan. Piawaian keselamatan maklumat, kawalan akses, kitaran hayat pembangunan yang selamat dan pengendalian kerentanan, dengan bukti bebas jika boleh.
• Kesediaan untuk audit dan ujian. Cara yang praktikal untuk menerima audit dan pemeriksaan, dan untuk mengambil bahagian dalam TLPT, termasuk ujian terkumpul jika sesuai.
• Pelan keluar. Pemulangan data dalam format yang boleh digunakan, dokumentasi dan sokongan peralihan bagi tempoh yang dipersetujui.

Inilah cara kami bekerja apabila kami membekalkan perkhidmatan ICT kepada entiti kewangan: kami bersetuju dengan peruntukan kontrak yang dikehendaki oleh DORA, memaklumkan insiden melalui saluran yang dipersetujui, mendokumentasikan pelan keluar, mengambil bahagian dalam ujian daya tahan dan membekalkan maklumat yang diperlukan oleh daftar anda. Halaman kepercayaan dan pematuhan kami menghuraikan cara kami bekerja, termasuk sistem pengurusan keselamatan maklumat kami yang diperakui ISO/IEC 27001.

10Pelan praktikal bagi kedua-dua pihak

1. 01Lengkapkan daftar. Pautkan setiap kontrak ICT kepada fungsi yang disokongnya dan tandakan fungsi yang kritikal atau penting.
2. 02Tutup jurang kontrak. Bandingkan setiap kontrak dengan Perkara 30 dan persetujui adendum jika ada terma yang tiada.
3. 03Selaraskan pengendalian insiden. Persetujui input klasifikasi, kenalan dan masa pemberitahuan dengan setiap pembekal kritikal, dan uji semuanya.
4. 04Rancang ujian bersama pembekal. Masukkan mereka dalam program ujian dan, jika relevan, dalam penentuan skop TLPT.
5. 05Tulis dan uji strategi keluar. Bagi setiap fungsi kritikal atau penting: alternatif, pemulangan data dan tempoh peralihan.
6. 06Perhatikan penumpuan. Beberapa fungsi kritikal pada penyedia yang sama ialah risiko yang perlu didokumentasikan dan diuruskan (Perkara 29).

11Pihak berkuasa kompeten anda

DORA ialah teks yang sama di seluruh EU, tetapi penyeliaan bagi kebanyakan entiti kewangan dilakukan di peringkat negara: bank pusat, penyelia berhemat atau pihak berkuasa pasaran, bergantung pada jenis entiti, dan ECB bagi bank yang signifikan. Format dan saluran bagi daftar maklumat dan laporan insiden, serta pihak berkuasa yang bertanggungjawab bagi TLPT, ditetapkan di peringkat negara. Semak panduan pihak berkuasa anda sendiri. Bagi penyedia di Malaysia, pihak berkuasa ini ialah pihak berkuasa pelanggan EU anda; soalan mereka sampai kepada anda melalui pelanggan.

12Perkara yang perlu diperhatikan dalam beberapa bulan akan datang

• Keutamaan dan dapatan penyeliaan pihak berkuasa kompeten tentang daftar maklumat dan pelaporan insiden.
• Pengawasan penyedia ICT pihak ketiga kritikal oleh Pengawas Utama, dan sebarang cadangan yang menyentuh perkhidmatan yang anda gunakan atau sediakan.
• Cadangan Omnibus Digital (membuka laman web luar) Suruhanjaya Eropah, COM(2025) 837, yang akan menyalurkan laporan insiden utama DORA melalui satu titik masuk tunggal yang dikendalikan oleh ENISA. Pada Oktober 2026, cadangan itu masih di hadapan Parlimen Eropah; sehingga ia diterima pakai dan terpakai, saluran dan had masa semasa kekal.

Organisasi di luar sektor kewangan berdepan dengan kewajipan rantaian bekalan yang serupa di bawah NIS2; lihat artikel kami tentang NIS2, organisasi dan pembekal perisian. Pihak Berkuasa Penyeliaan Eropah menyediakan gambaran keseluruhan piawaian teknikal dan rangka kerja pengawasan di halaman DORA mereka (membuka laman web luar).