DORA กับผู้ให้บริการ ICT บุคคลที่สาม: สิ่งที่สถาบันการเงินต้องการจากผู้ให้บริการ

01สถานะของ DORA ณ ปลายปี 2569

Digital Operational Resilience Act (เปิดเว็บไซต์ภายนอก) หรือระเบียบ (EU) 2022/2554 ใช้บังคับตั้งแต่ 17 มกราคม 2568 ในฐานะระเบียบ (regulation) กฎหมายนี้ใช้บังคับโดยตรงในทุกประเทศสมาชิก กฎหมายภายในมีหน้าที่หลักในการกำหนดหน่วยงานที่มีอำนาจและบทลงโทษ รายละเอียดอยู่ในมาตรฐานทางเทคนิคที่คณะกรรมาธิการยุโรปรับรอง ว่าด้วยกรอบการบริหารความเสี่ยงด้าน ICT การจัดประเภทและการรายงานเหตุการณ์ ทะเบียนข้อมูล นโยบายด้านสัญญา การจ้างช่วง และการทดสอบเจาะระบบตามภัยคุกคาม

สำหรับสถาบันการเงิน DORA เป็นกฎหมายเฉพาะภาคส่วนที่ใช้แทนกฎของ NIS2 ในเรื่องการบริหารความเสี่ยงด้าน ICT การรายงานเหตุการณ์ และการกำกับ เมื่อ 18 พฤศจิกายน 2568 หน่วยงานกำกับดูแลยุโรปทั้งสามแห่ง (EBA, EIOPA และ ESMA) ประกาศ (เปิดเว็บไซต์ภายนอก)รายชื่อชุดแรกของผู้ให้บริการ ICT บุคคลที่สามที่สำคัญยิ่ง ซึ่งหน่วยงานเหล่านี้กำกับโดยตรง

02สถาบันการเงินและผู้ให้บริการ ICT

DORA ครอบคลุมสถาบันการเงิน 20 ประเภท ตั้งแต่สถาบันสินเชื่อ สถาบันการชำระเงินและผู้ให้บริการเงินอิเล็กทรอนิกส์ บริษัทหลักทรัพย์ ไปจนถึงผู้ให้บริการสินทรัพย์ดิจิทัล ศูนย์ซื้อขาย ผู้จัดการกองทุน บริษัทประกันภัย ตัวกลางประกันภัย สถาบันบำนาญอาชีพ บริษัทจัดอันดับเครดิต และแพลตฟอร์มระดมทุน หลักความได้สัดส่วนอยู่ในตัวกฎหมาย มาตรา 4 ปรับข้อกำหนดตามขนาด ลักษณะความเสี่ยง และความซับซ้อน และมาตรา 16 กำหนดกรอบแบบง่ายสำหรับหน่วยงานขนาดเล็กบางประเภท

ผู้ให้บริการ ICT บุคคลที่สามคือกิจการใดก็ตามที่ให้บริการ ICT และ DORA นิยามบริการ ICT ไว้กว้าง คือบริการดิจิทัลและบริการข้อมูลที่ให้ผ่านระบบ ICT แก่ผู้ใช้งานภายในหรือภายนอกอย่างต่อเนื่อง การโฮสต์ บริการจัดการ ซอฟต์แวร์แบบบริการ (SaaS) การบำรุงรักษาและสนับสนุนแอปพลิเคชัน และบริการข้อมูล มักเข้าข่ายทั้งหมด ผู้ให้บริการไม่อยู่ภายใต้การกำกับตาม DORA เว้นแต่ได้รับการกำหนดให้เป็นผู้ให้บริการสำคัญยิ่ง แต่ลูกค้าจะนำหน้าที่ของตนเข้าไปในสัญญาทุกฉบับ

ผู้ให้บริการ ICT ในประเทศไทย

DORA ใช้กับสถาบันการเงินในสหภาพยุโรป ไม่ได้ใช้กับสถาบันการเงินในประเทศไทย ซึ่งอยู่ภายใต้การกำกับของธนาคารแห่งประเทศไทยในฐานะธนาคารกลาง แต่บริษัทซอฟต์แวร์ ผู้ให้บริการคลาวด์ และทีมพัฒนาในประเทศไทยที่ให้บริการแก่ธนาคาร บริษัทประกันภัย หรือบริษัทชำระเงินในยุโรป จะพบ DORA ผ่านสัญญา การตรวจสอบสถานะก่อนทำสัญญา และการตรวจสอบของลูกค้า เช่นเดียวกับผู้ให้บริการในยุโรป

ในทางปฏิบัติ ผู้ให้บริการไทยควรเตรียมระบุสถานที่ที่ให้บริการและสถานที่ที่ประมวลผลและจัดเก็บข้อมูลในสัญญา และแจ้งล่วงหน้าเมื่อมีการเปลี่ยนแปลง (มาตรา 30(2)) จัดเตรียมผู้ติดต่อและช่องทางแจ้งเหตุที่ใช้ได้ทันกรอบเวลารายงานของลูกค้า และรองรับการตรวจสอบจากลูกค้าและหน่วยงานกำกับของลูกค้า หากข้อมูลที่ประมวลผลรวมข้อมูลส่วนบุคคลของคนในประเทศไทย พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ก็ใช้บังคับควบคู่กันด้วย

ตัวอย่างประกอบ: บริษัทซอฟต์แวร์ไทยขนาดกลางที่ดูแลระบบบริหารกรมธรรม์ให้บริษัทประกันภัยในยุโรปอาจได้รับภาคผนวกสัญญาตาม DORA แบบสอบถามสำหรับทะเบียนข้อมูล และคำขอให้เข้าร่วมการซ้อมรับมือเหตุการณ์ การมีแผนการออกจากบริการที่จัดทำเป็นเอกสารและผลการทดสอบกู้คืนที่ลงวันที่ไว้แล้ว ช่วยให้การจัดซื้อจัดจ้างสั้นลง

03องค์กรบริหารรับผิดชอบความเสี่ยงด้าน ICT

มาตรา 5 ให้องค์กรบริหารรับผิดชอบสูงสุดต่อความเสี่ยงด้าน ICT องค์กรบริหารกำหนด อนุมัติ และกำกับกรอบการบริหารความเสี่ยงด้าน ICT กำหนดกลยุทธ์ความยืดหยุ่นในการดำเนินงานดิจิทัลและระดับความเสี่ยงที่ยอมรับได้ อนุมัตินโยบายความต่อเนื่องทางธุรกิจและแผนตอบสนองและกู้คืน และอนุมัติกับทบทวนนโยบายการใช้บริการ ICT จากผู้ให้บริการบุคคลที่สาม กรรมการต้องรักษาความรู้ให้ทันสมัย รวมถึงผ่านการฝึกอบรมอย่างสม่ำเสมอ

04เหตุการณ์ร้ายแรง: 4 ชั่วโมง 72 ชั่วโมง และ 1 เดือน

สถาบันการเงินจัดประเภทเหตุการณ์ที่เกี่ยวกับ ICT ตามเกณฑ์ในมาตรา 18 ซึ่งกำหนดรายละเอียดไว้ในระเบียบที่ได้รับมอบอำนาจ (EU) 2024/1772 (เปิดเว็บไซต์ภายนอก) ได้แก่ ลูกค้าและธุรกรรมที่ได้รับผลกระทบ ระยะเวลาและเวลาที่ระบบหยุดทำงาน การกระจายทางภูมิศาสตร์ ข้อมูลที่สูญหาย ความสำคัญของบริการที่ได้รับผลกระทบ และผลกระทบทางเศรษฐกิจ เหตุการณ์ร้ายแรงต้องรายงานต่อหน่วยงานที่มีอำนาจใน 3 ขั้น โดยมีกำหนดเวลาตามระเบียบที่ได้รับมอบอำนาจ (EU) 2025/301 (เปิดเว็บไซต์ภายนอก)

ลูกค้าที่ได้รับผลกระทบทางการเงินต้องได้รับแจ้งโดยไม่ชักช้า สถาบันการเงินอาจจ้างบุคคลที่สามรายงานแทนได้ แต่ยังคงรับผิดชอบเต็มที่ (มาตรา 19(5))

สำหรับผู้ให้บริการ เรื่องนี้เป็นรูปธรรม สัญญา ICT ทุกฉบับต้องมีหน้าที่ของผู้ให้บริการในการช่วยเหลือเมื่อเกิดเหตุการณ์ที่เกี่ยวกับบริการของตน โดยไม่มีค่าใช้จ่ายเพิ่มเติมหรือในราคาที่ตกลงไว้ล่วงหน้า (มาตรา 30(2)(f)) กรอบเวลา 4 ชั่วโมงของลูกค้าจะใช้ได้จริงก็ต่อเมื่อการเฝ้าระวัง บันทึก และผู้ติดต่อของผู้ให้บริการพร้อมก่อนเกิดเหตุ

05การทดสอบ จนถึงการทดสอบเจาะระบบตามภัยคุกคาม

มาตรา 24 กำหนดให้มีแผนการทดสอบตามความเสี่ยง ดำเนินการโดยผู้ทดสอบภายในหรือภายนอกที่เป็นอิสระ และทดสอบระบบและแอปพลิเคชัน ICT ทุกระบบที่รองรับงานสำคัญยิ่งหรือสำคัญอย่างเหมาะสมอย่างน้อยปีละครั้ง หน่วยงานที่หน่วยงานที่มีอำนาจระบุต้องทดสอบเจาะระบบตามภัยคุกคามอย่างน้อยทุก 3 ปีบนระบบที่ใช้งานจริงด้วย ตามระเบียบที่ได้รับมอบอำนาจ (EU) 2025/1190 (เปิดเว็บไซต์ภายนอก) ซึ่งเป็นไปตามกรอบ TIBER-EU

เมื่อบริการของผู้ให้บริการอยู่ในขอบเขตของ TLPT สถาบันการเงินต้องดูแลให้ผู้ให้บริการเข้าร่วม (มาตรา 26(3)) และสัญญาสำหรับงานที่สำคัญยิ่งหรือสำคัญต้องมีหน้าที่นี้ (มาตรา 30(3)(d)) หากการเข้าร่วมของผู้ให้บริการอาจกระทบลูกค้ารายอื่น DORA อนุญาตให้ทดสอบร่วม โดยผู้ให้บริการจ้างผู้ทดสอบภายนอกโดยตรงในนามสถาบันการเงินหลายแห่ง (มาตรา 26(4))

06ความเสี่ยงจากบุคคลที่สามด้าน ICT: กลยุทธ์ ทะเบียน และการออกจากบริการ

มาตรา 28 ทำให้ความเสี่ยงจากบุคคลที่สามด้าน ICT เป็นส่วนหนึ่งของกรอบการบริหารความเสี่ยงด้าน ICT และสถาบันการเงินยังรับผิดชอบการปฏิบัติตามกฎหมายเต็มที่ ไม่ว่าจะจ้างภายนอกในส่วนใด หน้าที่หลัก ได้แก่

• กลยุทธ์ด้านความเสี่ยงจากบุคคลที่สามด้าน ICT รวมถึงนโยบายสำหรับบริการ ICT ที่รองรับงานสำคัญยิ่งหรือสำคัญ ซึ่งองค์กรบริหารทบทวนอย่างสม่ำเสมอ
• ทะเบียนข้อมูลของข้อตกลงตามสัญญาทั้งหมดสำหรับบริการ ICT ทั้งในระดับหน่วยงานและระดับกลุ่ม โดยแยกข้อตกลงที่รองรับงานสำคัญยิ่งหรือสำคัญ แบบฟอร์มกำหนดโดยระเบียบการบังคับใช้ (EU) 2024/2956 (เปิดเว็บไซต์ภายนอก) หน่วยงานรายงานต่อหน่วยงานที่มีอำนาจอย่างน้อยปีละครั้ง และส่งทะเบียนฉบับเต็มเมื่อได้รับการร้องขอ
• การตรวจสอบสถานะก่อนลงนาม ได้แก่ บริการนั้นรองรับงานสำคัญยิ่งหรือสำคัญหรือไม่ ความเสี่ยงรวมถึงความเสี่ยงจากการกระจุกตัว ความเหมาะสมของผู้ให้บริการ และผลประโยชน์ขัดกัน ผู้ให้บริการต้องใช้มาตรฐานความมั่นคงปลอดภัยสารสนเทศที่เหมาะสม และสำหรับงานสำคัญยิ่งหรือสำคัญต้องใช้มาตรฐานที่ทันสมัยและมีคุณภาพสูงที่สุด
• สิทธิบอกเลิกสัญญา ในกรณีต่าง ๆ เช่น ผู้ให้บริการฝ่าฝืนอย่างมีนัยสำคัญ มีหลักฐานจุดอ่อนในการบริหารความเสี่ยงด้าน ICT ของผู้ให้บริการ หรือมีสถานการณ์ที่ทำให้กำกับดูแลอย่างมีประสิทธิผลไม่ได้
• กลยุทธ์การออกจากบริการ สำหรับบริการ ICT ที่รองรับงานสำคัญยิ่งหรือสำคัญ จัดทำเป็นเอกสารและทดสอบแล้ว เพื่อให้ออกได้โดยไม่ทำให้ธุรกิจหยุดชะงัก ไม่จำกัดการปฏิบัติตามกฎหมาย และไม่กระทบบริการที่ให้แก่ลูกค้า

สิ่งที่สัญญาต้องระบุ

มาตรา 30 กำหนดข้อสัญญาขั้นต่ำ สัญญา ICT ทุกฉบับต้องทำเป็นลายลักษณ์อักษรในเอกสารฉบับเดียวที่รวมระดับการให้บริการ และอย่างน้อยต้องครอบคลุม

• คำอธิบายงานและบริการที่ครบถ้วน และอนุญาตให้จ้างช่วงหรือไม่ ภายใต้เงื่อนไขใด
• สถานที่ที่ให้บริการและที่ประมวลผลและจัดเก็บข้อมูล พร้อมการแจ้งล่วงหน้าเมื่อมีการเปลี่ยนแปลง
• ความพร้อมใช้งาน ความแท้จริง ความถูกต้องครบถ้วน และการรักษาความลับของข้อมูล รวมถึงข้อมูลส่วนบุคคล
• การเข้าถึง การกู้คืน และการส่งคืนข้อมูลในรูปแบบที่เข้าถึงได้ง่าย เมื่อล้มละลาย เลิกกิจการ หรือสิ้นสุดสัญญา
• คำอธิบายระดับการให้บริการ
• การช่วยเหลือเมื่อเกิดเหตุการณ์ด้าน ICT ที่เกี่ยวกับบริการ โดยไม่มีค่าใช้จ่ายเพิ่มเติมหรือในราคาที่ตกลงไว้ล่วงหน้า
• ความร่วมมืออย่างเต็มที่กับหน่วยงานที่มีอำนาจและหน่วยงานด้านการแก้ไขปัญหาสถาบันการเงิน
• สิทธิบอกเลิกสัญญาและระยะเวลาบอกกล่าวขั้นต่ำ
• การเข้าร่วมโครงการสร้างความตระหนักด้านความมั่นคงปลอดภัย ICT และการฝึกอบรมด้านความยืดหยุ่นของหน่วยงาน

สำหรับบริการที่รองรับงานสำคัญยิ่งหรือสำคัญ มาตรา 30(3) เพิ่มเป้าหมายผลการให้บริการเชิงปริมาณและเชิงคุณภาพที่แม่นยำ หน้าที่แจ้งและรายงาน แผนรองรับเหตุฉุกเฉินทางธุรกิจที่ผู้ให้บริการนำไปใช้และทดสอบ การเข้าร่วม TLPT สิทธิ์เข้าถึง ตรวจ และตรวจสอบอย่างไม่จำกัดสำหรับหน่วยงานและหน่วยงานกำกับ และกลยุทธ์การออกจากบริการพร้อมช่วงเปลี่ยนผ่านที่บังคับ ระเบียบที่ได้รับมอบอำนาจ (EU) 2025/532 (เปิดเว็บไซต์ภายนอก)เพิ่มสิ่งที่หน่วยงานต้องประเมินเมื่อมีการจ้างช่วงบริการดังกล่าว

07ผู้ให้บริการ ICT บุคคลที่สามที่สำคัญยิ่ง

ตามมาตรา 31 หน่วยงานกำกับดูแลยุโรปกำหนดผู้ให้บริการ ICT ที่สำคัญยิ่งต่อภาคการเงิน โดยพิจารณาจากผลกระทบเชิงระบบ ความสำคัญของสถาบันการเงินที่พึ่งพาผู้ให้บริการนั้น บทบาทในงานสำคัญยิ่งหรือสำคัญ และความยากง่ายในการหาผู้ให้บริการทดแทน ผู้ให้บริการสำคัญยิ่งแต่ละรายมีผู้กำกับหลัก (Lead Overseer) ซึ่งเป็นหนึ่งในหน่วยงานทั้งสามแห่ง และสามารถขอข้อมูล สอบสวน ตรวจ และออกข้อแนะนำได้

รายชื่อชุดแรก (เปิดเว็บไซต์ภายนอก)ที่ประกาศเมื่อ 18 พฤศจิกายน 2568 กำหนดผู้ให้บริการ 19 ราย ตั้งแต่ผู้ให้บริการคลาวด์และศูนย์ข้อมูล ไปจนถึงบริษัทโทรคมนาคม บริการไอที ข้อมูลตลาด และซอฟต์แวร์องค์กร การกำหนดนี้ไม่ได้ยกหน้าที่ใดออกจากสถาบันการเงิน สถาบันการเงินยังต้องมีทะเบียน ข้อสัญญา และกลยุทธ์การออกจากบริการสำหรับผู้ให้บริการแต่ละรายเหล่านี้

08สิ่งที่ผู้ให้บริการ ICT ควรเตรียมไว้

ผู้ให้บริการของสถาบันการเงินส่วนใหญ่จะไม่ถูกกำหนดเป็นผู้ให้บริการสำคัญยิ่ง แต่ทุกรายพบ DORA ผ่านสัญญา การตรวจสอบสถานะ และการตรวจสอบ ผู้ให้บริการที่เตรียมสิ่งต่อไปนี้ไว้จะช่วยให้การจัดซื้อสั้นลง และทำให้ลูกค้าคุยกับหน่วยงานกำกับได้ง่ายขึ้น

• ข้อมูลสำหรับทะเบียน สิ่งที่ลูกค้าต้องใช้ในทะเบียนข้อมูล ได้แก่ นิติบุคคลและรหัสระบุตัวตน บริการที่ให้และงานที่บริการนั้นรองรับ สถานที่ และผู้รับจ้างช่วงในห่วงโซ่
• ข้อสัญญาที่ตรงกับมาตรา 30 ควรมีภาคผนวกสัญญามาตรฐานตาม DORA ที่ครอบคลุมข้อสัญญาทั้งสองชุด (มาตรา 30(2) และ 30(3)) แทนการเจรจาทีละข้อตั้งแต่ต้น
• หลักฐานเหตุการณ์ การเฝ้าระวัง บันทึกที่มีเวลาเชื่อถือได้ และขั้นตอนแจ้งเหตุที่ทำให้ลูกค้าจัดประเภทและรายงานได้ภายในไม่กี่ชั่วโมง
• ความต่อเนื่องที่ทดสอบแล้ว แผนรองรับเหตุฉุกเฉินทางธุรกิจและการทดสอบกู้คืน พร้อมวันที่และผล
• ความปลอดภัยที่แสดงให้เห็นได้ มาตรฐานความมั่นคงปลอดภัยสารสนเทศ การควบคุมการเข้าถึง วงจรการพัฒนาที่ปลอดภัย และการจัดการช่องโหว่ พร้อมหลักฐานจากผู้ประเมินอิสระเมื่อทำได้
• ความพร้อมรับการตรวจสอบและการทดสอบ วิธีรองรับการตรวจสอบและการตรวจที่ทำได้จริง และการเข้าร่วม TLPT รวมถึงการทดสอบร่วมเมื่อเหมาะสม
• แผนการออกจากบริการ การส่งคืนข้อมูลในรูปแบบที่ใช้งานได้ เอกสาร และการช่วยเปลี่ยนผ่านในช่วงเวลาที่ตกลงกัน

นี่คือวิธีที่เราทำงานในฐานะผู้ให้บริการ ICT ของสถาบันการเงิน เราตกลงข้อสัญญาที่ DORA กำหนด แจ้งเหตุการณ์ผ่านช่องทางที่ตกลงกัน จัดทำแผนการออกจากบริการเป็นเอกสาร เข้าร่วมการทดสอบความยืดหยุ่น และให้ข้อมูลที่ทะเบียนของคุณต้องใช้ หน้าความเชื่อมั่นและการปฏิบัติตามกฎหมายอธิบายวิธีการทำงานของเรา รวมถึงระบบบริหารความมั่นคงปลอดภัยสารสนเทศที่ได้รับการรับรอง ISO/IEC 27001

09แผนที่ทำได้จริงสำหรับทั้งสองฝ่าย

1. 01ทำทะเบียนให้ครบ เชื่อมสัญญา ICT ทุกฉบับกับงานที่สัญญานั้นรองรับ และระบุงานที่สำคัญยิ่งหรือสำคัญ
2. 02ปิดช่องว่างในสัญญา เทียบสัญญาแต่ละฉบับกับมาตรา 30 และตกลงภาคผนวกเมื่อข้อสัญญาขาดหาย
3. 03ประสานการจัดการเหตุการณ์ ตกลงข้อมูลสำหรับการจัดประเภท ผู้ติดต่อ และเวลาแจ้งเหตุกับผู้ให้บริการสำคัญแต่ละราย และทดสอบร่วมกัน
4. 04วางแผนการทดสอบร่วมกับผู้ให้บริการ รวมผู้ให้บริการไว้ในแผนการทดสอบ และในการกำหนดขอบเขต TLPT เมื่อเกี่ยวข้อง
5. 05เขียนและทดสอบกลยุทธ์การออกจากบริการ สำหรับงานสำคัญยิ่งหรือสำคัญแต่ละงาน ได้แก่ ทางเลือก การส่งคืนข้อมูล และช่วงเปลี่ยนผ่าน
6. 06ติดตามการกระจุกตัว งานสำคัญยิ่งหลายงานที่พึ่งพาผู้ให้บริการรายเดียวเป็นความเสี่ยงที่ต้องบันทึกและบริหาร (มาตรา 29)

10หน่วยงานที่มีอำนาจของลูกค้า

DORA เป็นตัวบทเดียวกันทุกประเทศสมาชิก แต่การกำกับสถาบันการเงินส่วนใหญ่อยู่ในระดับประเทศ ได้แก่ ธนาคารกลาง หน่วยงานกำกับด้านความมั่นคงทางการเงิน หรือหน่วยงานกำกับตลาดทุน แล้วแต่ประเภทของหน่วยงาน และธนาคารกลางยุโรป (ECB) สำหรับธนาคารขนาดใหญ่ที่มีนัยสำคัญ รูปแบบและช่องทางสำหรับทะเบียนข้อมูลและรายงานเหตุการณ์ รวมถึงหน่วยงานที่รับผิดชอบ TLPT กำหนดในระดับประเทศ ผู้ให้บริการในประเทศไทยจึงควรถามลูกค้าว่าอยู่ภายใต้หน่วยงานใดของประเทศสมาชิกใด

11สิ่งที่ควรติดตามในช่วงหลายเดือนข้างหน้า

• ลำดับความสำคัญและข้อค้นพบด้านการกำกับของหน่วยงานที่มีอำนาจเกี่ยวกับทะเบียนข้อมูลและการรายงานเหตุการณ์
• การกำกับผู้ให้บริการ ICT บุคคลที่สามที่สำคัญยิ่งโดยผู้กำกับหลัก และข้อแนะนำที่เกี่ยวกับบริการที่ใช้อยู่
• ข้อเสนอ Digital Omnibus (เปิดเว็บไซต์ภายนอก) ของคณะกรรมาธิการยุโรป เลขที่ COM(2025) 837 ซึ่งจะให้รายงานเหตุการณ์ร้ายแรงตาม DORA ผ่านช่องทางเดียวที่ ENISA ดูแล ณ เดือนตุลาคม 2569 ข้อเสนอนี้ยังอยู่ระหว่างการพิจารณาของรัฐสภายุโรป จนกว่าจะได้รับการรับรองและใช้บังคับ ช่องทางและกำหนดเวลาปัจจุบันยังคงเดิม

องค์กรนอกภาคการเงินมีหน้าที่ด้านห่วงโซ่อุปทานคล้ายกันตาม NIS2 อ่านเพิ่มเติมในบทความNIS2 กับองค์กรและผู้ให้บริการซอฟต์แวร์ หน่วยงานกำกับดูแลยุโรปสรุปภาพรวมของมาตรฐานทางเทคนิคและกรอบการกำกับไว้ในหน้า DORA (เปิดเว็บไซต์ภายนอก)