Cui i se aplică DORA
Articolul 2 enumeră entitățile financiare și furnizorii terți de servicii TIC și prevede excluderi. Denumirile comerciale „fintech”, „IFN” sau „broker” nu înlocuiesc încadrarea în categoria juridică. Verifică autorizația, activitatea și eventualele excepții înainte să stabilești obligațiile.
Sursă: DORA, art. 2 alin. (1)–(4).
Trei situații care trebuie separate
| Situație | Analiza necesară |
|---|---|
| Entitate financiară din art. 2 | Regimul propriu, excluderile și proporționalitatea |
| Furnizor TIC al unei entități financiare | Serviciile prestate, condițiile contractuale și obligațiile care îi sunt aplicabile |
| Furnizor terț esențial desemnat | Decizia de desemnare și cadrul specific de supraveghere |
Contractul cu o bancă nu transformă singur furnizorul în entitate financiară și nici în furnizor terț esențial desemnat. Entitatea financiară rămâne responsabilă pentru îndeplinirea obligațiilor sale, chiar când folosește servicii externe.
Sursă: DORA, art. 28–31.
Exemple: ce fapt schimbă analiza DORA
| Situație ipotetică | Concluzie de orientare | Ce trebuie verificat |
|---|---|---|
| O instituție de credit | Categoria este enumerată la art. 2 alin. (1) lit. a). | Statutul juridic și eventualele excluderi aplicabile. |
| Un intermediar de asigurări care îndeplinește criteriile DORA pentru o microîntreprindere, întreprindere mică sau mijlocie | Art. 2 alin. (3) lit. e) prevede o excludere pentru această categorie. | Categoria și definițiile din art. 3 pct. 60, 63 și 64, nu doar descrierea comercială. |
| O firmă de software care are o bancă drept client | Relația poate presupune cerințe contractuale DORA; nu o transformă singură în entitate financiară. | Serviciile TIC efective, funcțiile susținute, contractul și o eventuală desemnare oficială. |
| O companie prezentată doar drept „fintech” | Încadrarea nu poate fi determinată din această informație. | Autorizația, activitățile și categoria juridică. |
Sursă: DORA, art. 2, art. 3 pct. 60, 63 și 64, art. 28–31.
Ce organizează echipa
- Responsabilitățile conducerii și cadrul de gestionare a riscurilor TIC.
- Procesele pentru incidente, clasificare și raportare.
- Programul de testare adecvat entității și serviciilor sale.
- Relațiile cu furnizorii TIC, registrul informațiilor și condițiile contractuale.
Sursă: DORA, art. 5–16, art. 17–23, art. 24–27 și art. 28–30.
Ce informații pregătești pentru analiza DORA
Pentru o entitate financiară inclusă în domeniul DORA, următoarele materiale ajută la pregătirea analizei. Lista este orientativă și nu înlocuiește cerințele, excepțiile și standardele tehnice aplicabile fiecărei categorii.
| Tema | Materiale de pregătit | Întrebarea la care trebuie să răspundă |
|---|---|---|
| Riscuri TIC și responsabilități | Inventarul serviciilor și sistemelor, evaluările de risc și deciziile conducerii. | Cine decide și cine urmărește riscul pentru fiecare serviciu? |
| Incidente | Procedura, persoanele de contact, înregistrările și criteriile de clasificare. | Cum ajunge un incident identificat la persoana care îl evaluează și îl raportează, dacă este cazul? |
| Continuitate și testare | Scenarii, dependențe, rezultate, constatări și remedieri. | Ce s-a testat efectiv și ce a rămas de corectat? |
| Furnizori TIC | Contracte, servicii, funcții susținute, subcontractare și locații relevante. | Care sunt dependențele și cum sunt urmărite obligațiile contractuale? |
| Încetarea unei relații | Condițiile de încetare, recuperarea datelor și soluțiile alternative relevante. | Cum poate continua serviciul dacă relația cu furnizorul se încheie? |
Sursă: DORA, art. 5–6, 11, 16–19, 24 și 28–30; regimul concret se verifică pentru categoria entității.
Firmă mică nu înseamnă automat exceptată
Proporționalitatea din articolul 4 și cadrul simplificat din articolul 16 au funcții diferite. Cadrul simplificat privește categoriile enumerate în articolul 16; nu se acordă oricărei firme care se descrie drept mică. Excluderile din articolul 2 se verifică separat.
Sursă: DORA, art. 2, art. 4 și art. 16.
Ce rămâne din NIS2 în România
OUG nr. 155/2024 prevede, la articolul 2 alineatul (3), că entităților cărora li se aplică DORA le sunt aplicabile doar articolele 5–10 și 18 din ordonanță. De aceea, afirmația că NIS2 dispare complet pentru o entitate financiară este prea largă. Analiza înregistrării și a clasificării rămâne distinctă.
Sursă: OUG nr. 155/2024, art. 2 alin. (3); forma consolidată din 6 iulie 2026.
Registrul informațiilor nu este doar o listă de furnizori
Articolul 28 alin. (3) privește acordurile contractuale pentru utilizarea serviciilor TIC oferite de furnizori terți. Evidența trebuie să permită distincția între serviciile care sprijină funcții critice sau importante și celelalte. Numele furnizorului și valoarea facturii, singure, nu descriu această relație.
Un inventar intern poate ajuta la colectarea datelor, dar pentru registrul oficial verifici modelele, instrucțiunile și formatul aplicabile. Fișele de organizare Cremene nu sunt prezentate ca formulare oficiale de raportare.
Sursă: DORA, art. 28 alin. (3) și (9).
Primul exercițiu: o relație cu un furnizor
Alege un serviciu TIC și notează funcția susținută, entitățile beneficiare, locațiile, dependențele și condițiile de încetare. Confruntă informațiile cu contractul și cu modelul oficial aplicabil registrului. Un inventar intern ajută pregătirea; nu devine automat o raportare în formatul cerut de autoritate.
Surse și limite
Surse consultate pentru revizia din 15 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.