Kas ir DORA un uz ko tā attiecas?

DORA ir Regula (ES) 2022/2554 par finanšu sektora digitālās darbības noturību, un tā tiek piemērota kopš 2025. gada 17. janvāra. Tā rakstīta bankām, apdrošinātājiem un maksājumu iestādēm, bet skar arī katru IT piegādātāju, no kura tie ir atkarīgi, jo nosaka, kam obligāti jābūt savstarpējā līgumā.

Regula, nevis direktīva

Atšķirība ir praktiska. Direktīva, piemēram, NIS2, uzdod dalībvalstīm uzrakstīt savu nacionālo likumu, un Latvija to izdarīja ar Nacionālās kiberdrošības likumu, tāpēc detaļas katrā valstī atšķiras. DORA ir regula: viens un tas pats teksts kļuva saistošs Rīgā, Berlīnē un Dublinā vienā un tajā pašā rītā, bez nacionāla starpposma. Nacionālā līmenī paliek divas lietas. Katra valsts nosaka kompetento iestādi, Latvijā tā ir Latvijas Banka, un katra valsts nosaka administratīvos sodus. Pavaddirektīva (ES) 2022/2556 bija vajadzīga tikai tāpēc, lai vecākās nozaru direktīvas saskaņotu ar jaunajām prasībām. Ja piegādātājs apgalvo, ka Latvija DORA vēl neesot ieviesusi, viņš to ir sajaucis ar NIS2.

Uz kuriem uzņēmumiem tā patiešām attiecas

Regulas 2. pants uzskaita apmēram divdesmit finanšu vienību kategorijas, un saraksts ir daudz plašāks par bankām:

• kredītiestādes, maksājumu iestādes, elektroniskās naudas iestādes un konta informācijas pakalpojumu sniedzēji
• ieguldījumu brokeru sabiedrības, fondu pārvaldnieki (UCITS un AIFP) un kriptoaktīvu pakalpojumu sniedzēji ar MiCA licenci
• apdrošināšanas un pārapdrošināšanas sabiedrības, kā arī apdrošināšanas starpnieki, kas pārsniedz mikrouzņēmuma un MVU slieksni
• tirdzniecības vietas, centrālie vērtspapīru depozitāriji, centrālie darījumu partneri, darījumu reģistri un datu ziņošanas pakalpojumu sniedzēji
• kredītreitingu aģentūras, kritiski svarīgu etalonu administratori, kolektīvās finansēšanas platformas un papildpensijas kapitāla sabiedrības

2. pantā ir minēti arī IKT trešās puses pakalpojumu sniedzēji, taču tieši uzrauga tikai tos, kas atzīti par kritiski svarīgiem. Visi pārējie piegādātāji tiek ievilkti caur klienta līgumu.

Uzņēmuma izmērs tiek risināts ar proporcionalitāti, nevis ar atbrīvojumu. Mazas un savstarpēji nesaistītas ieguldījumu brokeru sabiedrības, mazas pensiju iestādes un atbrīvotās maksājumu vai elektroniskās naudas iestādes drīkst izmantot vienkāršoto ietvaru pēc 16. panta, un mikrouzņēmumiem vairākās vietās ir atviegloti pienākumi. Patiesi ārpus regulas paliek nedaudzi: pensiju shēmas ar mazāk nekā 15 dalībniekiem, sliekšņa nesasniedzoši alternatīvo fondu pārvaldnieki, mikro un MVU apdrošināšanas starpnieki. Robežgadījumi ir sarežģīti, saistošs ir tikai pašas regulas teksts, un šāda lapa neaizstāj juristu, kas izlasa jūsu licenci.

Pieci pīlāri

Informācijas reģistrs

Regulas 28. panta 3. punkts liek katrai vienībai uzturēt reģistru par visiem līgumiem par IKT pakalpojumiem, gan vienības, gan grupas līmenī, un vismaz reizi gadā to iesniegt uzraugam. Tas nav piegādātāju saraksts. Tā ir strukturēta datu kopa: pakalpojumu sniedzēja juridiskais identifikators, parasti LEI, sniedzēja valsts, valstis, kurās pakalpojums tiek sniegts un kurās dati tiek glabāti un apstrādāti, atbalstītā funkcija, tās kritiskums un apakšuzņēmēju ķēde. Tieši tāpēc 2025. gadā mitināšanas uzņēmumi un SaaS pakalpojumu sniedzēji sāka saņemt garas anketas no klientiem, kurus nekad nebija uzskatījuši par regulētiem. Ja piegādātājs nespēj pateikt, kurā datu centrā un valstī slodze atrodas, klients vienkārši nevar aizpildīt reģistru.

Klauzulas, ko DORA ieraksta jūsu līgumos

Regulas 30. pants nosaka minimumu katram IKT līgumam un daudz smagāku sarakstu tur, kur pakalpojums atbalsta kritisku vai svarīgu funkciju. Praksē vajag:

• pilnu pakalpojuma aprakstu, vietas, kur tas tiek sniegts un kur dati tiek apstrādāti un glabāti, un brīdinājumu pirms izmaiņām
• pakalpojuma līmeņus ar precīziem skaitliskiem mērķiem kritiskām vai svarīgām funkcijām
• paziņošanu par incidentiem un palīdzību incidenta laikā bez papildu maksas vai par iepriekš saskaņotu cenu
• piekļuves, pārbaudes un audita tiesības klientam, tā revidentiem un kompetentajai iestādei, neierobežotas kritiskām vai svarīgām funkcijām
• sadarbību ar uzraudzības iestādēm, kā arī datu pieejamību, integritāti un konfidencialitāti
• datu atgriešanu vai atgūšanu līguma izbeigšanas, maksātnespējas vai pakalpojuma pārtraukšanas gadījumā
• izbeigšanas tiesības ar noteiktu minimālo brīdinājuma termiņu
• izejas stratēģiju ar pārejas periodu, kas ir pietiekami garš, lai pārceltos, un kura laikā pakalpojums turpina darboties

Izejas stratēģija ir klauzula, ko visi paraksta un neviens nepārbauda. 28. panta 8. punkts to prasa katram IKT pakalpojumam, kas atbalsta kritisku vai svarīgu funkciju, un jēga ir tāda, ka aiziet var bez darbības pārtraukuma. Formulējums vien to nenodrošina. Reālie jautājumi ir, kur dati fiziski atrodas, kādā formātā tos var saņemt atpakaļ un cik ilgi piegādātājs turpinās apkalpot migrācijas laikā.

Kritiski svarīgie IKT pakalpojumu sniedzēji

DORA izveido otru režīmu nedaudziem pakalpojumu sniedzējiem, kuru atteice ietekmētu visu ES finanšu sistēmu. Eiropas uzraudzības iestādes tos nosaka pēc 31. panta, vērtējot sistēmisko ietekmi, cik daudz finanšu vienību uz tiem paļaujas un cik grūti tos aizstāt, un vadošais uzraugs tos pārrauga tieši, ar pārbaužu tiesībām un ieteikumiem. Pirmās atzīšanas notika 2025. gadā. Saraksts ir īss un tajā dominē lielākie pasaules mākoņa un programmatūras uzņēmumi, tāpēc gandrīz neviens mitināšanas uzņēmums tajā nav, un neviens nedrīkst tirgoties tā, it kā būtu. Tas nenozīmē, ka parasts piegādātājs ir ārpus regulas: viņš ir pilnībā tās iekšienē caur klienta līgumu, reģistra ierakstu un auditiem. Tur arī notiek galvenais darbs.

Kāds patiesībā ir sodu risks

DORA neatkārto VDAR pieeju ar skaļu apgrozījuma procentu finanšu vienībām. 50. pants liek dalībvalstīm noteikt iedarbīgus, samērīgus un atturošus administratīvos sodus, tātad summa nāk no nacionālajiem likumiem, un Latvijā tā atrodas nozaru likumos, kurus piemēro Latvijas Banka, līdzās parastajiem uzraudzības pasākumiem: rīkojumiem novērst trūkumus, publiskiem paziņojumiem, prasībām konkrētām amatpersonām. Divi riski ir asāki par naudas sodu. Atzītam kritiski svarīgam pakalpojumu sniedzējam, kas ignorē vadošo uzraugu, var piemērot periodisku soda maksājumu 1% apmērā no vidējā dienas apgrozījuma pasaulē, katru dienu līdz sešiem mēnešiem. Un uzraugs var pieprasīt finanšu vienībai apturēt vai izbeigt kritiska pakalpojumu sniedzēja izmantošanu. Regulētam uzņēmumam īstais risks reti ir sods, biežāk tā ir saruna par licenci un piespiedu migrācija uzrauga noteiktā termiņā.

Ar ko sākt Latvijas fintech vai grāmatvedības SaaS uzņēmumam

1. Noskaidrojiet, kurā pusē esat. Licencēta maksājumu iestāde, elektroniskās naudas iestāde vai ieguldījumu brokeru sabiedrība Rīgā ir finanšu vienība un nes visu ietvaru. Grāmatvedības SaaS parasti nav: tas ir IKT trešās puses pakalpojumu sniedzējs, un DORA pie tā atnāk kā klientu līguma prasības. Daļa grupu ir abi vienlaikus.
2. Kartējiet kritiskās un svarīgās funkcijas. No šīs klasifikācijas izriet visas stingrākās prasības, tāpēc esiet godīgi. Ja par kritisku pasludina katru sistēmu, projekts apstājas.
3. Uzbūvējiet reģistru, pirms tas ir vajadzīgs. Līgumi, piegādātāji, identifikatori, valstis, apakšuzņēmēji. Vairums uzņēmumu atklāj līgumus, par kuriem neviens neatbild.
4. Salīdziniet līgumus ar 30. pantu un sāciet pārrunas laikus. Daļa piegādātāju atteiksies no audita vai izejas noteikumiem, un to labāk uzzināt tagad.
5. Pierakstiet, kurš naktī var atzīt incidentu par nozīmīgu, pēc kādiem kritērijiem un kas notiek nākamajās 24 stundās. Tad to izmēģiniet, jo termiņi mērāmi stundās, nevis nedēļās.
6. Ielieciet testēšanu kalendārā ar atbildīgajiem. Reizi gadā visam, kas atbalsta kritiskās funkcijas. TLPT tikai tad, ja iestāde jūs izraugās.
7. Apmāciet valdi un saglabājiet pierādījumus. 5. pants padara vadības struktūru atbildīgu un sagaida, ka tā zināšanas uztur aktuālas.

Kur šeit godīgi iederas mitināšanas pakalpojumu sniedzējs

Mitināšanas uzņēmums ir viena rindiņa jūsu reģistrā un viens līgums jūsu mapē. Tas nevar būt atbilstošs DORA jūsu vietā, un piegādātājiem nav nekāda DORA sertifikāta, lai ko solītu pārdošanas prezentācija. Labs piegādātājs padara savu reģistra rindiņu viegli aizpildāmu: nosauc juridisko personu un valsti, pasaka, kur dati tiek apstrādāti un glabāti, un brīdina pirms izmaiņām, pieņem audita un pārbaudes tiesības, arī uzrauga, ziņo par incidentiem pietiekami ātri, lai jūs paspētu savus termiņus, paraksta datu apstrādes līgumu un palīdz aiziet, nevis traucē. Mums ir savs datu centrs un savs tīkls Rīgā, tāpēc dati paliek ES un ES tiesību aktu ietvarā, inženieri ir pieejami visu diennakti, un mēs parakstīsim datu apstrādes līgumu un tos noteikumus, kas vajadzīgi jūsu atbilstības komandai, ar ko parasti arī sākas infrastruktūras darbs ar regulētu klientu. Ietvars, klasifikācija, testēšana un atbildes uzraugam paliek jūsu.