DORA regulativa Od 2025. Europska unija uvodi jednu od najvažnijih i najstrožih regulativa u financijskoj industriji – DORA (Digital Operational Resilience Act). Ako želiš najkraću verziju: DORA je digitalni “Europski TÜV” za financijske institucije. Tko posluje digitalno, mora dokazati da može preživjeti kibernetičke napade, prekide, curenja podataka i sve ostalo što razveseli hakere.
Što je DORA regulativa? (Jednostavno objašnjenje)
DORA je EU zakon koji od 17. siječnja 2025. postaje obavezan i definira jasna pravila kako financijske institucije moraju:
- štititi digitalne sustave,
- održavati kontinuitet poslovanja,
- spriječiti kibernetičke upade,
- upravljati incidentima,
- testirati otpornost IT sustava,
- kontrolirati svoje IT dobavljače.
Ako posluješ u financijskom sektoru i misliš “ma nas se to ne tiče” – varaš se. DORA zakonski obuhvaća preko 22 kategorije organizacija, uključujući:
- banke
- investicijska društva
- osiguravatelje
- kreditne institucije
- payment providere
- fintech kompanije
- leasing kuće
- brokeraje
- financijske posrednike
- kripto mjenjačnice i wallet providere
- pružatelje cloud i IT usluga financijskim institucijama
Drugim riječima: ako dotičeš novac → DORA te se tiče.
Ključni ciljevi DORA-e
EU je ovaj zakon donijela iz jednog razloga – financijski sektor je ogroman, digitalan i prečesto hakiran.
DORA zato ima 5 strateških ciljeva:
1. Standardizacija cyber sigurnosti u financijama
Sve institucije konačno moraju igrati po istim pravilima. Nema više “svatko radi kako hoće”.
2. Smanjenje digitalnih rizika i prekida rada
EU želi izbjeći scenarij u kojem jedna banka padne, a s njom i pola tržišta.
3. Strogi nadzor nad IT dobavljačima
Cloud i software provideri više ne mogu “oprati ruke”. Ako pružaju usluge banci, postaju dio DORA sustava.
4. Obavezno prijavljivanje incidenata
Svaki ozbiljniji sigurnosni incident mora biti prijavljen regulatoru. Sakrivanje problema više nije opcija.
5. Obavezno testiranje kibernetičke otpornosti
Od redovitih pen-testova do scenarija potpunog pada sustava – sve mora biti dokumentirano i testirano.
Kako DORA utječe na financijski sektor od 2025.?
1. Povećanje troškova, ali smanjenje rizika
Institucije moraju uložiti u sigurnost, dokumentaciju, IT infrastrukturu i procese. Ali zauzvrat – manje je rizika od kibernetičkih napada i regulatornih kazni.
2. Banke i fintechovi moraju redizajnirati IT procese
Kontrole pristupa, sigurnosni backupi, disaster recovery planovi, IT governance – sve mora biti usklađeno s DORA-om.
3. IT dobavljači dolaze pod regulatorno povećalo
Ako pružaš IT rješenje banci → i ti ulaziš u DORA režim.
To je posebno važno za:
- CRM sustave
- Cloud usluge
- Aplikacije za upravljanje financijskim podacima
- Software koji koriste upravitelji zgrada (ako obrađuju financijske transakcije ili uplate)
4. Incident reporting postaje zakonska obaveza
Institucije moraju imati standardizirane procedure i alate za:
- detekciju incidenata
- kategorizaciju
- eskalaciju
- prijavu regulatoru
Ne prijaviš? Kazne bole.
5. Obavezno kontinuirano testiranje
DORA uvodi TLPT – Threat Led Penetration Testing.
To je malo jača verzija klasičnog pen-testa: simulira se pravi napad, od strane certificiranih stručnjaka.
Što DORA znači za Hrvatske tvrtke?
Za Hrvatsku, DORA znači:
- strožu kontrolu banaka i osiguravatelja
- više sigurnosnih standarda
- veće povjerenje korisnika
- kraj improvizacije u IT-u
- obavezu dokumentiranja svega
U praksi – i male tvrtke u financijskom eko-sustavu moraju se prilagoditi, uključujući i sustave koji prikupljaju, obrađuju ili čuvaju financijske podatke.
Kako se pripremiti za DORA-u?
Sve kreće s auditom. Tvrtke moraju provjeriti:
- sigurnosne procedure
- kontinuitet poslovanja
- IT sustav
- ovisnost o dobavljačima
- risk management
- response planove
Tek nakon toga slijedi implementacija:
- jače sigurnosne politike
- bolje autentifikacije
- backup i recovery sustavi
- monitoring i logging
- ugovori s IT dobavljačima u skladu s DORA-om
Ako zvuči komplicirano — zato i jest.
Zaključak: DORA od 2025. potpuno mijenja financijski sektor
DORA nije samo još jedna “EU papirologija”.
To je zakon koji:
- uvodi red,
- smanjuje rizike,
- štiti institucije i korisnike,
- i postavlja visoke standarde digitalne sigurnosti.
Tko se pripremi — mirno spava.
Tko misli da će ignorirati — neće mu biti dosadno, ali u lošem smislu.