DORA și furnizorii terți de servicii TIC: ce le cer entitățile financiare

01Unde se află DORA în toamna anului 2026

Regulamentul privind reziliența operațională digitală (se deschide un site extern), Regulamentul (UE) 2022/2554, se aplică din 17 ianuarie 2025. Fiind un regulament, se aplică direct în fiecare stat membru; legislația națională desemnează în principal autoritățile competente și stabilește sancțiunile. Detaliile se află în standardele tehnice adoptate de Comisie privind cadrul de gestionare a riscurilor TIC, clasificarea și raportarea incidentelor, registrul de informații, politicile contractuale, subcontractarea și testarea de penetrare bazată pe amenințări.

În România, regulamentul este pus în aplicare prin Ordonanța de urgență nr. 14/2026 (se deschide un site extern). Banca Națională a României (BNR) este autoritate competentă pentru instituțiile de credit, instituțiile de plată și instituțiile emitente de monedă electronică, iar Autoritatea de Supraveghere Financiară (ASF) pentru societățile de servicii de investiții financiare, societățile de asigurare și reasigurare, intermediarii de asigurări și administratorii de fonduri de pensii ocupaționale. BNR coordonează testele de penetrare bazate pe amenințări (TLPT) pentru sectorul financiar.

Pentru entitățile financiare, DORA este actul sectorial care înlocuiește regulile NIS2 privind gestionarea riscurilor TIC, raportarea incidentelor și supravegherea. La 18 noiembrie 2025, cele trei autorități europene de supraveghere (EBA, EIOPA și ESMA) au publicat (se deschide un site extern) prima listă a furnizorilor terți esențiali de servicii TIC pe care îi supraveghează direct.

02Entitățile financiare și furnizorii lor TIC

DORA acoperă douăzeci de tipuri de entități financiare, de la instituții de credit, instituții de plată și instituții emitente de monedă electronică și societăți de investiții până la furnizori de servicii de criptoactive, locuri de tranzacționare, administratori de fonduri, societăți de asigurare, intermediari de asigurări, instituții pentru furnizarea de pensii ocupaționale, agenții de rating de credit și platforme de finanțare participativă. Proporționalitatea este integrată: articolul 4 adaptează cerințele la dimensiune, profil de risc și complexitate, iar articolul 16 stabilește un cadru simplificat pentru anumite entități mai mici.

Un furnizor terț de servicii TIC este orice întreprindere care furnizează servicii TIC, iar DORA le definește larg: servicii digitale și de date furnizate prin sisteme TIC, în mod continuu, unor utilizatori interni sau externi. Găzduirea, serviciile gestionate, software-ul ca serviciu, întreținerea și suportul aplicațiilor și serviciile de date se încadrează de regulă aici. Furnizorii nu sunt supravegheați în temeiul DORA decât dacă sunt desemnați drept esențiali, dar clienții lor transpun obligațiile în fiecare contract.

03Organul de conducere poartă riscul TIC

Articolul 5 îi atribuie organului de conducere responsabilitatea finală pentru riscul TIC. Acesta definește, aprobă și supraveghează cadrul de gestionare a riscurilor TIC, stabilește strategia de reziliență operațională digitală și toleranța la risc, aprobă politica de continuitate a activității și planurile de răspuns și recuperare și aprobă și revizuiește politica privind utilizarea serviciilor TIC furnizate de terți. Membrii săi trebuie să își țină cunoștințele la zi, inclusiv prin formare regulată.

04Incidente majore: 4 ore, 72 de ore, o lună

Entitățile financiare clasifică incidentele legate de TIC după criteriile de la articolul 18, detaliate în Regulamentul delegat (UE) 2024/1772 (se deschide un site extern): clienții și tranzacțiile afectate, durata și perioada de indisponibilitate, răspândirea geografică, pierderile de date, criticitatea serviciilor afectate și impactul economic. Un incident major se raportează autorității competente, în România BNR sau ASF în funcție de tipul entității, în trei etape, cu termenele stabilite prin Regulamentul delegat (UE) 2025/301 (se deschide un site extern):

Clienții ale căror interese financiare sunt afectate trebuie informați fără întârzieri nejustificate. O entitate financiară poate externaliza raportarea către un terț, dar rămâne pe deplin responsabilă pentru ea (articolul 19 alineatul (5)).

Pentru furnizori, asta este foarte concret. Fiecare contract TIC trebuie să includă obligația furnizorului de a oferi asistență când apare un incident legat de serviciul său, fără costuri suplimentare sau la un cost stabilit dinainte (articolul 30 alineatul (2) litera (f)). Fereastra de patru ore a clientului funcționează doar dacă monitorizarea, jurnalele și persoanele de contact ale furnizorului sunt pregătite înainte de incident.

05Testare, până la teste de penetrare bazate pe amenințări

Articolul 24 cere un program de testare bazat pe riscuri, realizat de testeri independenți, interni sau externi, cu teste adecvate cel puțin o dată pe an pentru toate sistemele și aplicațiile TIC care susțin funcții critice sau importante. Entitățile identificate de autoritatea competentă trebuie să efectueze și teste de penetrare bazate pe amenințări cel puțin o dată la trei ani, pe sisteme de producție active, potrivit Regulamentului delegat (UE) 2025/1190 (se deschide un site extern), care urmează cadrul TIBER-EU. În România, BNR coordonează aceste teste pentru sectorul financiar.

Când serviciile unui furnizor intră în perimetrul unui TLPT, entitatea financiară trebuie să se asigure că furnizorul participă (articolul 26 alineatul (3)), iar contractele pentru funcții critice sau importante trebuie să includă această obligație (articolul 30 alineatul (3) litera (d)). Dacă participarea unui furnizor ar putea afecta ceilalți clienți ai săi, DORA permite testarea comună, în care furnizorul contractează direct un tester extern în numele mai multor entități financiare (articolul 26 alineatul (4)).

06Riscurile TIC generate de părți terțe: strategie, registru și ieșire

Articolul 28 face din riscurile TIC generate de părți terțe o parte integrantă a cadrului de gestionare a riscurilor TIC, iar entitatea financiară rămâne pe deplin responsabilă pentru conformitate, indiferent ce externalizează. Obligațiile principale:

• O strategie privind riscurile TIC generate de părți terțe, inclusiv o politică pentru serviciile TIC care susțin funcții critice sau importante, revizuită periodic de organul de conducere.
• Un registru de informații privind toate acordurile contractuale pentru servicii TIC, la nivel de entitate și de grup, care distinge acordurile ce susțin funcții critice sau importante. Formularele sunt stabilite prin Regulamentul de punere în aplicare (UE) 2024/2956 (se deschide un site extern). Entitățile raportează pe baza lui autorității competente cel puțin anual și pun la dispoziție registrul complet la cerere.
• Verificarea prealabilă înainte de semnare: dacă serviciul susține o funcție critică sau importantă, riscurile, inclusiv riscul de concentrare, adecvarea furnizorului și eventualele conflicte de interese. Furnizorii trebuie să aplice standarde adecvate de securitate a informațiilor, iar pentru funcțiile critice sau importante pe cele mai actuale și de cea mai înaltă calitate.
• Drepturi de reziliere, printre altele pentru o încălcare semnificativă din partea furnizorului, deficiențe dovedite în gestionarea riscurilor TIC ale acestuia sau împrejurări care împiedică supravegherea efectivă.
• Strategii de ieșire pentru serviciile TIC care susțin funcții critice sau importante, documentate și testate, astfel încât entitatea să poată renunța la furnizor fără să-și perturbe activitatea, fără să-și limiteze conformitatea și fără să afecteze serviciile oferite clienților.

Ce trebuie să prevadă contractul

Articolul 30 stabilește clauzele contractuale minime. Fiecare contract TIC trebuie încheiat în scris, într-un singur document care include nivelurile de servicii, și trebuie să acopere cel puțin:

• o descriere completă a funcțiilor și serviciilor și dacă, și în ce condiții, este permisă subcontractarea;
• locațiile în care sunt furnizate serviciile și în care sunt prelucrate și stocate datele, cu notificare prealabilă a oricărei schimbări;
• disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor, inclusiv a datelor cu caracter personal;
• accesul la date, recuperarea și returnarea lor într-un format ușor accesibil în caz de insolvență, încetare a activității sau reziliere;
• descrierea nivelurilor de servicii;
• asistență în cazul incidentelor TIC legate de serviciu, fără costuri suplimentare sau la un cost stabilit dinainte;
• cooperare deplină cu autoritățile competente și cu autoritățile de rezoluție;
• drepturi de reziliere și termene minime de preaviz;
• participarea la programele entității de conștientizare în materie de securitate TIC și la formarea privind reziliența.

Pentru serviciile care susțin funcții critice sau importante, articolul 30 alineatul (3) adaugă obiective de performanță cantitative și calitative precise, obligații de notificare și raportare, planuri de urgență pe care furnizorul le implementează și le testează, participarea la TLPT, drepturi nerestricționate de acces, inspecție și audit pentru entitate și autoritatea de supraveghere și o strategie de ieșire cu o perioadă de tranziție obligatorie. Regulamentul delegat (UE) 2025/532 (se deschide un site extern) precizează ce trebuie să evalueze entitatea atunci când astfel de servicii sunt subcontractate.

07Furnizorii terți esențiali de servicii TIC

Potrivit articolului 31, autoritățile europene de supraveghere desemnează furnizorii terți de servicii TIC esențiali pentru sectorul financiar, în funcție de impactul lor sistemic, de importanța entităților financiare care se bazează pe ei, de rolul lor în funcțiile critice sau importante și de cât de ușor pot fi înlocuiți. Fiecare furnizor esențial are un supraveghetor principal, una dintre cele trei autorități, care poate solicita informații, poate efectua investigații și inspecții și poate emite recomandări.

Prima listă (se deschide un site extern), publicată la 18 noiembrie 2025, a desemnat 19 furnizori, de la operatori de cloud și de centre de date la companii de telecomunicații, servicii IT, date de piață și software enterprise. Desemnarea nu scutește entitatea financiară de nicio obligație: aceasta păstrează în continuare registrul, clauzele contractuale și o strategie de ieșire pentru fiecare dintre acești furnizori.

08Ce ar trebui să aibă pregătit un furnizor TIC

Cei mai mulți furnizori ai entităților financiare nu vor fi desemnați niciodată drept esențiali, dar toți întâlnesc DORA prin contracte, verificări prealabile și audituri. Un furnizor care are pregătite elementele de mai jos scurtează achiziția și ușurează dialogul clientului cu BNR sau ASF:

• Date pentru registru. Ce îi trebuie clientului pentru registrul de informații: entitatea juridică și identificatorii, serviciile furnizate și funcțiile pe care le susțin, locațiile și subcontractanții din lanț.
• Clauze contractuale conforme cu articolul 30. Ideal, un act adițional DORA standard care acoperă ambele liste, în loc să negociați fiecare clauză de la zero.
• Dovezi pentru incidente. Monitorizare, jurnale cu marcaje de timp fiabile și o procedură de notificare care îi permite clientului să clasifice și să raporteze în câteva ore.
• Continuitate testată. Planuri de continuitate a activității și teste de restaurare, cu date și rezultate.
• Securitate demonstrabilă. Standarde de securitate a informațiilor, controlul accesului, un ciclu de dezvoltare securizată și gestionarea vulnerabilităților, cu dovezi independente acolo unde este posibil.
• Pregătire pentru audit și testare. O modalitate practică de a găzdui audituri și inspecții și de a participa la TLPT, inclusiv la testarea comună acolo unde se potrivește.
• Un plan de ieșire. Returnarea datelor în formate utilizabile, documentație și sprijin la tranziție pe o perioadă convenită.

Așa lucrăm ca furnizor TIC pentru entități financiare: convenim clauzele contractuale cerute de DORA, notificăm incidentele prin canalul stabilit, documentăm planurile de ieșire, participăm la testarea rezilienței și furnizăm informațiile de care are nevoie registrul dumneavoastră. Pagina noastră despre încredere și conformitate descrie cum lucrăm, inclusiv sistemul nostru de management al securității informației, cu certificare ISO/IEC 27001.

09Un plan practic pentru ambele părți

1. 01Completați registrul. Legați fiecare contract TIC de funcțiile pe care le susține și marcați-le pe cele critice sau importante.
2. 02Acoperiți lipsurile din contracte. Comparați fiecare contract cu articolul 30 și conveniți un act adițional acolo unde lipsesc clauze.
3. 03Aliniați gestionarea incidentelor. Stabiliți cu fiecare furnizor critic datele necesare clasificării, persoanele de contact și timpii de notificare și testați-le.
4. 04Planificați testarea împreună cu furnizorii. Includeți-i în programul de testare și, acolo unde este relevant, în stabilirea perimetrului unui TLPT.
5. 05Scrieți și testați strategiile de ieșire. Pentru fiecare funcție critică sau importantă: alternative, returnarea datelor și perioada de tranziție.
6. 06Urmăriți concentrarea. Mai multe funcții critice la același furnizor reprezintă un risc de documentat și de gestionat (articolul 29).

10Autoritatea dumneavoastră competentă

DORA este același text peste tot, dar supravegherea este națională pentru majoritatea entităților financiare: banca centrală, autoritatea de supraveghere prudențială sau autoritatea pieței, în funcție de tipul entității, iar în zona euro Banca Centrală Europeană pentru băncile semnificative. Formatul și canalul pentru registrul de informații și pentru rapoartele de incident, precum și autoritatea responsabilă pentru TLPT, se stabilesc la nivel național. În România, autoritatea competentă este BNR sau ASF, în funcție de tipul entității, conform OUG nr. 14/2026. Verificați ghidurile propriei autorități.

11Ce merită urmărit în lunile următoare

• Prioritățile de supraveghere și constatările BNR și ASF privind registrul de informații și raportarea incidentelor.
• Supravegherea furnizorilor terți esențiali de servicii TIC de către supraveghetorii principali și eventualele recomandări care privesc serviciile pe care le folosiți.
• Propunerea Comisiei privind Digital Omnibus (se deschide un site extern), COM(2025) 837, care ar face ca rapoartele DORA privind incidentele majore să treacă printr-un punct unic de intrare administrat de ENISA. În octombrie 2026 propunerea se afla încă în fața Parlamentului European; până când este adoptată și se aplică, rămân valabile canalele și termenele actuale.

Organizațiile din afara sectorului financiar au obligații similare privind lanțul de aprovizionare în temeiul NIS2; consultați articolul nostru despre NIS2 și furnizorii de software. Autoritățile europene de supraveghere țin o prezentare a standardelor tehnice și a cadrului de supraveghere pe paginile lor dedicate DORA (se deschide un site extern).