DORA pentru firmele financiare mici: IFN-uri, brokeri și fintech-uri, nu doar bănci

01Cine intră, de fapt

Regulamentul (UE) 2022/2554 (DORA) se aplică din 17 ianuarie 2025 unei liste largi de entități financiare — mult dincolo de bănci. Dacă activitatea ta e autorizată și supravegheată de BNR sau ASF, presupune că ești în scop până dovedești contrariul, nu invers.

• Instituții de credit; instituțiile de plată și cele emitente de monedă electronică. Atenție la IFN-uri: intră în scopul DORA doar dacă se încadrează într-una dintre categoriile enumerate la art. 2 — încadrarea lor nu e evidentă și practica din România nu s-a fixat încă. Verifică-ți autorizația.
• Firme de investiții și societăți de administrare a investițiilor
• Instituții de plată și instituții emitente de monedă electronică
• Societăți de asigurare și reasigurare, plus intermediarii în asigurări
• Furnizori de servicii de cripto-active, agenții de rating, furnizori de servicii de raportare a datelor
• Furnizorii terți critici de servicii TIC — supravegheați direct la nivel european

02Cei cinci piloni, traduși în ce ai de făcut

03Registrul furnizorilor TIC: obligația pe care o subestimează toți

Dacă ar fi să alegi un singur lucru de făcut primul, acesta e: registrul de informații privind acordurile contractuale cu furnizorii terți de servicii TIC. Motivul e practic — e singura obligație care se cere într-un format structurat, se raportează autorității, și nu se poate improviza în ultima săptămână. Are nevoie de date pe care nimeni nu le are strânse: ce furnizori ai, ce funcție susține fiecare, dacă funcția e critică sau importantă, unde sunt stocate datele, ce se întâmplă la ieșirea din contract.

04DORA sau NIS2? Aproape — dar nu chiar

Aceasta e confuzia cea mai frecventă la firmele financiare mici, iar răspunsul răspândit — „dacă ești sub DORA, uită de NIS2” — e greșit exact în partea care se sancționează. DORA e lex specialis pentru sectorul financiar, iar transpunerea românească recunoaște acest regim dedicat. Dar recunoașterea nu e o ieșire completă din cadrul național.

Pe scurt: DORA îți înlocuiește obligațiile de fond (managementul riscului TIC, raportarea incidentelor), nu și obligațiile administrative de identificare și înregistrare. Verifică-ți încadrarea o dată, corect — inclusiv dacă intri într-adevăr în lista închisă de la art. 2 din DORA, care nu e evidentă pentru toate tipurile de IFN.

05Raportarea incidentelor: partea în care greșesc cel mai des firmele mici

DORA nu îți cere să raportezi orice deranj. Îți cere să ai un mecanism prin care distingi, rapid și consecvent, incidentul major de cel banal — și apoi să raportezi în termenele regulamentului. Firmele mici pică aproape întotdeauna în același loc: nu la raportare, ci la clasificare. Când nimeni nu a decis dinainte ce înseamnă „major”, decizia se ia sub presiune, de persoana care se întâmplă să fie disponibilă, iar termenul curge între timp.

• Decide ÎNAINTE criteriile de clasificare: câți clienți sunt afectați, cât durează indisponibilitatea, ce date sunt implicate, ce impact economic are.
• Numește o singură persoană care clasifică, plus un înlocuitor. Un incident la ora 22:00 într-o vineri nu tolerează un comitet.
• Ține un jurnal cu ora fiecărui pas — detectare, clasificare, raportare. Fără cronologie, nu poți demonstra că ai respectat termenul.
• Repetă o dată pe an un scenariu, măcar pe hârtie. Prima oară când folosești procedura nu trebuie să fie la incidentul real.

06Primii cinci pași, în ordine

• Confirmă încadrarea: ești entitate financiară în lista de la art. 2 din DORA? Dacă da, obligațiile de fond le acoperi prin DORA — dar înregistrarea la DNSC (art. 18 din OUG nr. 155/2024) rămâne a ta.
• Inventariază furnizorii TIC și marchează care susțin funcții critice sau importante.
• Construiește registrul de informații — e obligația cu cel mai lung timp de execuție.
• Scrie procedura de incident: cine clasifică, cine raportează, în ce termen, către cine.
• Adu conducerea în ecuație formal: aprobarea cadrului de risc TIC e a organului de conducere, iar asta se dovedește cu o decizie datată, nu cu o discuție.