数字运营弹性法案 (DORA)

DORA对企业提出了哪些要求？

• 事件报告 实施健全的机制以预防、检测和处理数字事件，包括建立有效的响应程序。重大ICT事件必须报告给监管机构，企业需提交初步预警报告和最终报告。
• ICT风险管理 DORA要求公司管理层对ICT风险管理承担"完全和最终责任"。这包括批准数字运营弹性策略，以及审查和批准公司关于使用ICT第三方供应商的政策。
• 第三方供应商风险 企业必须对涉及关键服务的第三方供应商实施风险管理，以确保整个供应链的安全。此外，企业必须在DORA实施截止日期前，在与关键供应商的合同中包含一系列条款。
• 弹性测试 所有企业必须每年对其关键ICT系统和应用程序进行适当的安全和弹性测试。对于被认定为足够重要的企业，还需每三年进行一次高级渗透测试。测试必须由认证专家执行以确保足够的能力，测试中发现的任何弱点必须根据法规"完全解决"。
• 合作与信息共享 应在行业内建立合作机制，确保数字威胁和事件信息得以共享，从而加强行业的整体抵御能力。