Trei situații care trebuie separate
| Situație | Punctul de analiză |
|---|---|
| Entitate financiară vizată de DORA | Verifică încadrarea și excluderile din art. 2. Responsabilitatea nu dispare prin externalizare. |
| Furnizor terț de servicii TIC | Identifică serviciile, cerințele contractuale și dovezile cerute de client, fără a prelua automat întregul regim al unei bănci. |
| Furnizor terț desemnat esențial | Desemnarea și supravegherea prevăzute de art. 31 și următoarele sunt un regim distinct. Nu rezultă doar din importanța unui singur contract. |
O funcție critică sau importantă a clientului și un furnizor desemnat esențial sunt noțiuni diferite. Un furnizor poate susține o funcție critică a unei bănci fără ca această situație să dovedească, singură, desemnarea sa în regimul european de supraveghere. Cere clientului clasificarea serviciului și persoana care o confirmă.
Ce trebuie clarificat în contract
Articolul 30 alin. (2) enumeră elementele minime ale acordurilor privind utilizarea serviciilor TIC. Tabelul de mai jos traduce câteva dintre ele în întrebări de pregătire; nu înlocuiește contractul și nici lectura cerințelor complete.
| Temă | Întrebare pentru echipa furnizorului |
|---|---|
| Serviciu și subcontractare | Ce livrăm exact? Ce părți sunt subcontractate și în ce condiții? |
| Locuri și date | Unde se prelucrează și stochează datele? Cum anunțăm schimbarea locațiilor? |
| Securitate | Ce măsuri susțin disponibilitatea, autenticitatea, integritatea și confidențialitatea? |
| Incidente | Ce asistență oferim, cine poate fi contactat și cum sunt stabilite costurile? |
| Acces și returnare | Cum poate clientul recupera datele într-un format accesibil la încetare ori în situațiile prevăzute de contract? |
| Cooperare și încetare | Cum cooperăm cu autoritățile relevante și ce preaviz sau condiții de încetare sunt stabilite? |
Sursă: DORA, art. 30 alin. (1)–(2), inclusiv lit. a)–i).
Când serviciul susține o funcție critică sau importantă
Articolul 30 alin. (3) adaugă cerințe, între care obiective precise de performanță, notificări, planuri pentru situații neprevăzute și testarea lor, participarea la testările relevante, drepturi de acces, inspecție și audit, precum și condiții de tranziție. Sunt necesare și regulile de aplicare relevante acordului concret; o listă generală nu le substituie.
Nu promite disponibilitate, timpi de recuperare sau acces de audit pe care echipa nu le poate asigura. Compară fiecare cerință cu serviciul efectiv, notează diferențele și stabilește împreună cu echipa cine le rezolvă. O certificare poate fi una dintre dovezi, dar nu răspunde singură tuturor întrebărilor despre contract și funcționare.
Sursă: DORA, art. 28 alin. (4)–(8), art. 29 și art. 30 alin. (3).
Un dosar de lucru pentru răspunsul către client
- Fișa serviciului: limite, sisteme, date, locații și subcontractanți.
- Matricea cerințelor: solicitarea clientului, sursa, răspunsul, dovada și responsabilul.
- Planurile relevante și rezultatele testelor efectuate, cu dată, scop și limitări.
- Contactele și procedura agreată pentru incidente și schimbări semnificative.
- Condițiile de returnare a datelor și pașii de tranziție testați sau încă de verificat.
Exemplu fictiv: un furnizor găzduiește o aplicație folosită de un client financiar. Existența unei copii de siguranță nu dovedește timpul de restaurare. Echipa pregătește rezultatul unui test, notează datele folosite și diferența față de nivelul convenit. Clientul poate evalua astfel dovada și problema rămasă.
Clientul păstrează responsabilitatea propriilor obligații
DORA păstrează la entitatea financiară responsabilitatea respectării obligațiilor sale, chiar dacă folosește servicii TIC externe. Pentru furnizor, pasul util este să poată arăta ce a convenit, ce a implementat și ce a verificat. Obligațiile care pot rezulta din alte cadre se analizează separat.
Sursă: DORA, art. 28 alin. (1) lit. a).
Surse și limite
Surse consultate pentru revizia din 14 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.