DORA và nhà cung cấp dịch vụ ICT bên thứ ba: tổ chức tài chính cần gì từ nhà cung cấp

01Tình hình DORA vào mùa thu năm 2026

Đạo luật về khả năng chống chịu hoạt động số (mở trang web bên ngoài) (Digital Operational Resilience Act, DORA), tức Quy định (EU) 2022/2554, áp dụng từ ngày 17/1/2025. Là một quy định, văn bản này áp dụng trực tiếp tại mọi quốc gia thành viên; luật quốc gia chủ yếu chỉ định cơ quan có thẩm quyền và đặt ra chế tài. Phần chi tiết nằm trong các tiêu chuẩn kỹ thuật do Ủy ban châu Âu thông qua về khung quản lý rủi ro ICT, phân loại và báo cáo sự cố, sổ đăng ký thông tin, chính sách hợp đồng, thuê nhà thầu phụ và kiểm thử xâm nhập dựa trên mối đe dọa.

Với tổ chức tài chính, DORA là văn bản chuyên ngành thay thế các quy định của NIS2 về quản lý rủi ro ICT, báo cáo sự cố và giám sát. Ngày 18/11/2025, ba Cơ quan giám sát châu Âu (EBA, EIOPA và ESMA) công bố (mở trang web bên ngoài) danh sách đầu tiên các nhà cung cấp ICT bên thứ ba trọng yếu do họ trực tiếp giám sát.

02Tổ chức tài chính và nhà cung cấp ICT của họ

DORA áp dụng cho hai mươi loại tổ chức tài chính, từ tổ chức tín dụng, tổ chức thanh toán và tổ chức tiền điện tử, công ty đầu tư đến nhà cung cấp dịch vụ tài sản mã hóa, sàn giao dịch, công ty quản lý quỹ, công ty bảo hiểm, trung gian bảo hiểm, quỹ hưu trí nghề nghiệp, tổ chức xếp hạng tín nhiệm và nền tảng gọi vốn cộng đồng. Nguyên tắc tương xứng được tích hợp sẵn: Điều 4 điều chỉnh yêu cầu theo quy mô, hồ sơ rủi ro và mức độ phức tạp, và Điều 16 quy định một khung đơn giản hóa cho một số tổ chức nhỏ hơn.

Nhà cung cấp dịch vụ ICT bên thứ ba là mọi doanh nghiệp cung cấp dịch vụ ICT, và DORA định nghĩa dịch vụ ICT rất rộng: dịch vụ số và dịch vụ dữ liệu cung cấp qua hệ thống ICT cho người dùng nội bộ hoặc bên ngoài trên cơ sở liên tục. Lưu trữ hạ tầng, dịch vụ được quản lý, phần mềm dạng dịch vụ (SaaS), bảo trì và hỗ trợ ứng dụng, và dịch vụ dữ liệu thường thuộc định nghĩa này. Nhà cung cấp không chịu giám sát theo DORA trừ khi được chỉ định là trọng yếu, nhưng khách hàng của họ đưa các nghĩa vụ vào từng hợp đồng.

03Ban lãnh đạo chịu trách nhiệm về rủi ro ICT

Điều 5 giao cho ban lãnh đạo (management body) của tổ chức tài chính trách nhiệm cuối cùng về rủi ro ICT. Ban lãnh đạo xác định, phê duyệt và giám sát khung quản lý rủi ro ICT, đặt ra chiến lược chống chịu hoạt động số và mức chấp nhận rủi ro, phê duyệt chính sách duy trì hoạt động liên tục và các kế hoạch ứng phó, khôi phục, và phê duyệt, rà soát chính sách sử dụng dịch vụ ICT của nhà cung cấp bên thứ ba. Thành viên ban lãnh đạo phải cập nhật kiến thức, kể cả qua đào tạo định kỳ.

04Sự cố lớn: 4 giờ, 72 giờ, một tháng

Tổ chức tài chính phân loại sự cố liên quan đến ICT theo các tiêu chí tại Điều 18, được chi tiết hóa trong Quy định ủy quyền (EU) 2024/1772 (mở trang web bên ngoài): số khách hàng và giao dịch bị ảnh hưởng, thời gian kéo dài và thời gian ngừng hoạt động, phạm vi địa lý, mất mát dữ liệu, mức độ trọng yếu của dịch vụ bị ảnh hưởng và tác động kinh tế. Một sự cố lớn được báo cáo cho cơ quan có thẩm quyền theo ba bước, với thời hạn do Quy định ủy quyền (EU) 2025/301 (mở trang web bên ngoài) quy định:

Khách hàng có lợi ích tài chính bị ảnh hưởng phải được thông báo không chậm trễ. Tổ chức tài chính có thể thuê bên thứ ba thực hiện việc báo cáo, nhưng vẫn chịu toàn bộ trách nhiệm về việc đó (khoản 5 Điều 19).

Với nhà cung cấp, điều này rất cụ thể. Mọi hợp đồng ICT phải có nghĩa vụ của nhà cung cấp hỗ trợ khi xảy ra sự cố liên quan đến dịch vụ của mình, không tính thêm phí hoặc với chi phí đã thỏa thuận trước (điểm f khoản 2 Điều 30). Khoảng thời gian bốn giờ của khách hàng chỉ khả thi nếu việc giám sát, nhật ký và đầu mối liên hệ của nhà cung cấp đã sẵn sàng trước khi sự cố xảy ra.

05Kiểm thử, đến mức kiểm thử xâm nhập dựa trên mối đe dọa

Điều 24 yêu cầu một chương trình kiểm thử dựa trên rủi ro, do người kiểm thử độc lập nội bộ hoặc bên ngoài thực hiện, với các bài kiểm thử phù hợp ít nhất mỗi năm một lần trên mọi hệ thống và ứng dụng ICT hỗ trợ chức năng trọng yếu hoặc quan trọng. Tổ chức được cơ quan có thẩm quyền xác định còn phải thực hiện kiểm thử xâm nhập dựa trên mối đe dọa ít nhất ba năm một lần, trên hệ thống đang vận hành thực tế, theo Quy định ủy quyền (EU) 2025/1190 (mở trang web bên ngoài), vốn đi theo khung TIBER-EU.

Khi dịch vụ của một nhà cung cấp nằm trong phạm vi TLPT, tổ chức tài chính phải bảo đảm nhà cung cấp tham gia (khoản 3 Điều 26), và hợp đồng cho chức năng trọng yếu hoặc quan trọng phải có nghĩa vụ đó (điểm d khoản 3 Điều 30). Nếu việc tham gia của nhà cung cấp có thể gây hại cho các khách hàng khác của họ, DORA cho phép kiểm thử gộp, trong đó nhà cung cấp trực tiếp thuê một đơn vị kiểm thử bên ngoài thay mặt cho nhiều tổ chức tài chính (khoản 4 Điều 26).

06Rủi ro từ bên thứ ba về ICT: chiến lược, sổ đăng ký và rút lui

Điều 28 đưa rủi ro từ bên thứ ba về ICT vào khung quản lý rủi ro ICT, và tổ chức tài chính vẫn chịu toàn bộ trách nhiệm tuân thủ dù thuê ngoài phần nào. Các nghĩa vụ chính:

• Chiến lược về rủi ro từ bên thứ ba về ICT, gồm chính sách về dịch vụ ICT hỗ trợ chức năng trọng yếu hoặc quan trọng, được ban lãnh đạo rà soát định kỳ.
• Sổ đăng ký thông tin về mọi thỏa thuận hợp đồng dịch vụ ICT, ở cấp tổ chức và cấp tập đoàn, phân biệt các thỏa thuận hỗ trợ chức năng trọng yếu hoặc quan trọng. Biểu mẫu được quy định tại Quy định thực thi (EU) 2024/2956 (mở trang web bên ngoài). Tổ chức báo cáo cho cơ quan có thẩm quyền ít nhất mỗi năm một lần và cung cấp toàn bộ sổ đăng ký khi được yêu cầu.
• Thẩm định trước khi ký kết: dịch vụ có hỗ trợ chức năng trọng yếu hoặc quan trọng hay không, các rủi ro kể cả rủi ro tập trung, mức độ phù hợp của nhà cung cấp và mọi xung đột lợi ích. Nhà cung cấp phải áp dụng tiêu chuẩn an toàn thông tin phù hợp, và với chức năng trọng yếu hoặc quan trọng, các tiêu chuẩn cập nhật nhất và có chất lượng cao nhất.
• Quyền chấm dứt hợp đồng, trong đó có trường hợp nhà cung cấp vi phạm nghiêm trọng, có bằng chứng về điểm yếu trong quản lý rủi ro ICT của nhà cung cấp, hoặc hoàn cảnh cản trở việc giám sát hiệu quả.
• Chiến lược rút lui cho dịch vụ ICT hỗ trợ chức năng trọng yếu hoặc quan trọng, được ghi chép và kiểm thử, để tổ chức có thể chấm dứt mà không làm gián đoạn hoạt động kinh doanh, hạn chế việc tuân thủ hay gây hại cho dịch vụ dành cho khách hàng.

Hợp đồng phải quy định những gì

Điều 30 quy định các điều khoản hợp đồng tối thiểu. Mọi hợp đồng ICT phải bằng văn bản, trong một tài liệu duy nhất có cả mức dịch vụ, và bao gồm ít nhất:

• mô tả đầy đủ các chức năng và dịch vụ, và việc thuê nhà thầu phụ có được phép hay không, với điều kiện nào;
• các địa điểm cung cấp dịch vụ, xử lý và lưu trữ dữ liệu, với thông báo trước về mọi thay đổi;
• tính sẵn sàng, xác thực, toàn vẹn và bảo mật của dữ liệu, kể cả dữ liệu cá nhân;
• truy cập, khôi phục và hoàn trả dữ liệu ở định dạng dễ truy cập khi mất khả năng thanh toán, ngừng hoạt động hoặc chấm dứt hợp đồng;
• mô tả mức dịch vụ;
• hỗ trợ khi có sự cố ICT liên quan đến dịch vụ, không tính thêm phí hoặc với chi phí đã thỏa thuận trước;
• hợp tác đầy đủ với cơ quan có thẩm quyền và cơ quan xử lý khủng hoảng;
• quyền chấm dứt và thời hạn báo trước tối thiểu;
• tham gia chương trình nâng cao nhận thức về an ninh ICT và đào tạo về khả năng chống chịu của tổ chức.

Với dịch vụ hỗ trợ chức năng trọng yếu hoặc quan trọng, khoản 3 Điều 30 bổ sung chỉ tiêu hiệu suất định lượng và định tính chính xác, nghĩa vụ thông báo và báo cáo, kế hoạch dự phòng kinh doanh do nhà cung cấp thực hiện và kiểm thử, tham gia TLPT, quyền truy cập, kiểm tra và kiểm toán không hạn chế cho tổ chức và cơ quan giám sát, và chiến lược rút lui với giai đoạn chuyển tiếp bắt buộc. Quy định ủy quyền (EU) 2025/532 (mở trang web bên ngoài) bổ sung những gì tổ chức phải đánh giá khi các dịch vụ đó được giao cho nhà thầu phụ.

07Nhà cung cấp ICT bên thứ ba trọng yếu

Theo Điều 31, các Cơ quan giám sát châu Âu chỉ định những nhà cung cấp ICT trọng yếu đối với ngành tài chính, dựa trên tác động hệ thống, tầm quan trọng của các tổ chức tài chính phụ thuộc vào họ, vai trò của họ trong chức năng trọng yếu hoặc quan trọng và mức độ dễ thay thế. Mỗi nhà cung cấp trọng yếu có một Cơ quan giám sát chính (Lead Overseer), là một trong ba cơ quan nói trên, có quyền yêu cầu thông tin, điều tra, kiểm tra và đưa ra khuyến nghị.

Danh sách đầu tiên (mở trang web bên ngoài), công bố ngày 18/11/2025, chỉ định 19 nhà cung cấp, từ đơn vị vận hành điện toán đám mây và trung tâm dữ liệu đến công ty viễn thông, dịch vụ công nghệ thông tin, dữ liệu thị trường và phần mềm doanh nghiệp. Việc chỉ định không miễn trừ nghĩa vụ nào của tổ chức tài chính: tổ chức vẫn duy trì sổ đăng ký, điều khoản hợp đồng và chiến lược rút lui cho từng nhà cung cấp này.

08Nhà cung cấp ICT nên chuẩn bị sẵn những gì

Phần lớn nhà cung cấp cho tổ chức tài chính sẽ không bao giờ được chỉ định là trọng yếu, nhưng tất cả đều gặp DORA qua hợp đồng, thẩm định và kiểm toán. Một nhà cung cấp có sẵn những điều sau sẽ rút ngắn quá trình mua sắm và giúp cuộc trao đổi giữa khách hàng và cơ quan giám sát dễ dàng hơn:

• Dữ liệu cho sổ đăng ký. Những gì khách hàng cần cho sổ đăng ký thông tin: pháp nhân và mã định danh, các dịch vụ cung cấp và chức năng mà chúng hỗ trợ, địa điểm, và các nhà thầu phụ trong chuỗi.
• Điều khoản hợp đồng khớp với Điều 30. Lý tưởng là một phụ lục DORA tiêu chuẩn bao quát cả hai danh sách, thay vì đàm phán lại từng điều khoản từ đầu.
• Bằng chứng sự cố. Giám sát, nhật ký với dấu thời gian tin cậy và quy trình thông báo giúp khách hàng phân loại và báo cáo trong vòng vài giờ.
• Duy trì hoạt động đã được kiểm thử. Kế hoạch dự phòng kinh doanh và các lần kiểm thử khôi phục, kèm ngày và kết quả.
• An ninh chứng minh được. Tiêu chuẩn an toàn thông tin, kiểm soát truy cập, vòng đời phát triển an toàn và xử lý lỗ hổng, kèm bằng chứng độc lập khi có thể.
• Sẵn sàng cho kiểm toán và kiểm thử. Một cách thức khả thi để tiếp đón kiểm toán và kiểm tra, và để tham gia TLPT, kể cả kiểm thử gộp khi phù hợp.
• Kế hoạch rút lui. Hoàn trả dữ liệu ở định dạng dùng được, tài liệu và hỗ trợ chuyển đổi trong một khoảng thời gian đã thỏa thuận.

Đây là cách chúng tôi làm việc với tư cách nhà cung cấp ICT cho tổ chức tài chính tại EU: thống nhất các điều khoản hợp đồng mà DORA yêu cầu, thông báo sự cố qua kênh đã thỏa thuận, ghi chép kế hoạch rút lui, tham gia kiểm thử khả năng chống chịu và cung cấp thông tin mà sổ đăng ký của khách hàng cần. Trang Tin cậy và tuân thủ mô tả cách chúng tôi làm việc, kể cả hệ thống quản lý an toàn thông tin đạt chứng nhận ISO/IEC 27001.

09Kế hoạch thực tế cho cả hai bên

1. 01Hoàn thiện sổ đăng ký. Gắn mọi hợp đồng ICT với các chức năng mà nó hỗ trợ và đánh dấu những chức năng trọng yếu hoặc quan trọng.
2. 02Lấp khoảng trống hợp đồng. So sánh từng hợp đồng với Điều 30 và thống nhất một phụ lục khi thiếu điều khoản.
3. 03Đồng bộ việc xử lý sự cố. Thống nhất dữ liệu đầu vào cho việc phân loại, đầu mối liên hệ và thời gian thông báo với từng nhà cung cấp trọng yếu, và kiểm thử chúng.
4. 04Lên kế hoạch kiểm thử cùng nhà cung cấp. Đưa nhà cung cấp vào chương trình kiểm thử và, khi phù hợp, vào việc xác định phạm vi TLPT.
5. 05Viết và kiểm thử chiến lược rút lui. Với mỗi chức năng trọng yếu hoặc quan trọng: phương án thay thế, hoàn trả dữ liệu và giai đoạn chuyển tiếp.
6. 06Theo dõi mức độ tập trung. Nhiều chức năng trọng yếu cùng dựa vào một nhà cung cấp là rủi ro cần ghi nhận và quản lý (Điều 29).

10Cơ quan có thẩm quyền

DORA là cùng một văn bản ở mọi nơi trong EU, nhưng việc giám sát phần lớn tổ chức tài chính là ở cấp quốc gia: ngân hàng trung ương, cơ quan giám sát an toàn hoặc cơ quan quản lý thị trường, tùy loại tổ chức, và Ngân hàng Trung ương châu Âu (ECB) đối với các ngân hàng quan trọng. Định dạng và kênh nộp sổ đăng ký thông tin và báo cáo sự cố, cũng như cơ quan phụ trách TLPT, được quy định ở cấp quốc gia. Tổ chức tài chính cần kiểm tra hướng dẫn của cơ quan có thẩm quyền của mình.

11Nhà cung cấp ICT tại Việt Nam và ngân hàng trong nước

DORA áp dụng cho tổ chức tài chính tại EU. Một công ty phần mềm hoặc dịch vụ ICT tại Việt Nam phục vụ ngân hàng, công ty bảo hiểm hay công ty đầu tư tại EU không chịu giám sát theo DORA, nhưng gặp các yêu cầu của DORA qua hợp đồng, thẩm định và kiểm toán: điều khoản theo Điều 30, dữ liệu cho sổ đăng ký, hỗ trợ khi có sự cố, tham gia kiểm thử và kế hoạch rút lui. Danh sách chuẩn bị ở trên áp dụng trực tiếp, kể cả thông tin về địa điểm xử lý và lưu trữ dữ liệu và các nhà thầu phụ trong chuỗi.

Với ngân hàng tại Việt Nam, khung tương ứng là Thông tư số 09/2020/TT-NHNN của Ngân hàng Nhà nước Việt Nam quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng, có hiệu lực từ ngày 1/1/2021, gồm các yêu cầu khi sử dụng dịch vụ của bên thứ ba và dịch vụ điện toán đám mây. Yêu cầu cụ thể cần được đối chiếu với văn bản và hướng dẫn của Ngân hàng Nhà nước.

12Cần theo dõi gì trong những tháng tới

• Ưu tiên giám sát và các phát hiện của cơ quan có thẩm quyền về sổ đăng ký thông tin và báo cáo sự cố.
• Hoạt động giám sát của các Cơ quan giám sát chính đối với nhà cung cấp ICT bên thứ ba trọng yếu, và mọi khuyến nghị liên quan đến dịch vụ đang sử dụng.
• Đề xuất Digital Omnibus (mở trang web bên ngoài) của Ủy ban châu Âu, COM(2025) 837, theo đó báo cáo sự cố lớn theo DORA sẽ đi qua một đầu mối duy nhất do ENISA vận hành. Vào tháng 10/2026, đề xuất này vẫn đang được Nghị viện châu Âu xem xét; cho đến khi được thông qua và áp dụng, các kênh và thời hạn hiện hành vẫn giữ nguyên.

Tổ chức ngoài ngành tài chính chịu các nghĩa vụ tương tự về chuỗi cung ứng theo NIS2; xem bài viết NIS2, tổ chức và nhà cung cấp phần mềm. Các Cơ quan giám sát châu Âu duy trì trang tổng quan về các tiêu chuẩn kỹ thuật và khung giám sát trên các trang về DORA (mở trang web bên ngoài).