Αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ

Το πλαίσιο: άρθρα 17 έως 23

Το κεφάλαιο III του DORA συγκροτεί ενιαίο πλαίσιο για τη διαχείριση, την ταξινόμηση και την αναφορά των συμβάντων που σχετίζονται με τις ΤΠΕ (ICT). Κάθε χρηματοοικονομική οντότητα ορίζει, θεσπίζει και εφαρμόζει διαδικασία που εντοπίζει, καταγράφει και ταξινομεί τα συμβάντα, όπως απαιτεί το άρθρο 17.

• άρθρο 17: διαδικασία διαχείρισης συμβάντων, με δείκτες έγκαιρης προειδοποίησης, κατανομή ρόλων και ενημέρωση του διοικητικού οργάνου τουλάχιστον για τα μείζονα συμβάντα
• άρθρο 18: ταξινόμηση των συμβάντων και των κυβερνοαπειλών με κοινά κριτήρια
• άρθρο 19: αναφορά των μειζόνων συμβάντων στην αρμόδια αρχή και προαιρετική κοινοποίηση σημαντικών κυβερνοαπειλών
• άρθρο 20: εναρμόνιση του περιεχομένου, των προθεσμιών και των υποδειγμάτων
• άρθρα 21 και 22: κεντρικοποίηση των αναφορών και επιστροφή πληροφόρησης από τις αρχές
• άρθρο 23: εφαρμογή των ίδιων κανόνων στα μείζονα λειτουργικά συμβάντα ή συμβάντα ασφάλειας που σχετίζονται με πληρωμές

Το πεδίο καλύπτει σχεδόν όλες τις οντότητες του άρθρου 2, από τα πιστωτικά ιδρύματα και τις ασφαλιστικές επιχειρήσεις έως τα ιδρύματα πληρωμών και τους παρόχους υπηρεσιών κρυπτοστοιχείων. Για το γενικό πλαίσιο, δείτε τι είναι ο DORA.

Πότε ένα συμβάν είναι μείζον: τα επτά κριτήρια

Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1772, το ρυθμιστικό τεχνικό πρότυπο (RTS) για την ταξινόμηση, ορίζει επτά κριτήρια και τα κατώφλια τους:

1. Θιγόμενοι πελάτες, χρηματοοικονομικοί αντισυμβαλλόμενοι και συναλλαγές: απόλυτος αριθμός και μερίδιο επί του συνόλου.
2. Αντίκτυπος στη φήμη: δημοσιότητα, επαναλαμβανόμενες καταγγελίες, απώλεια πελατών.
3. Διάρκεια και διακοπή της υπηρεσίας: χρόνος από την εκδήλωση έως την αποκατάσταση, σε σχέση με τον στόχο χρόνου ανάκαμψης.
4. Γεωγραφική εξάπλωση: κράτη μέλη στα οποία εκδηλώνονται επιπτώσεις.
5. Απώλειες δεδομένων: επίπτωση στη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα.
6. Κρισιμότητα των θιγόμενων υπηρεσιών: επίπτωση σε κρίσιμη ή σημαντική λειτουργία ή σε υπηρεσίες ΤΠΕ που έχουν ανατεθεί σε τρίτο πάροχο υπηρεσιών ΤΠΕ.
7. Οικονομικός αντίκτυπος: άμεσο και έμμεσο κόστος και ζημίες, με απόλυτο κατώφλι τις εκατό χιλιάδες ευρώ.

Ο κανόνας του άρθρου 8 του 2024/1772: το συμβάν είναι μείζον όταν πληρούται το κριτήριο της κρισιμότητας των υπηρεσιών και, επιπλέον, τουλάχιστον δύο από τα υπόλοιπα κριτήρια. Τεκμηριώστε την απόφαση και τα δεδομένα στα οποία στηρίχθηκε ακόμη και όταν το αποτέλεσμα είναι αρνητικό: χωρίς αυτό το ίχνος, η ταξινόμηση δεν είναι αναπαραγώγιμη.

Οι προθεσμίες: 4 ώρες, 72 ώρες, ένας μήνας

Μόλις το συμβάν ταξινομηθεί ως μείζον, ξεκινά αλυσίδα τριών αναφορών προς την αρμόδια αρχή. Το περιεχόμενο και οι προθεσμίες ορίζονται από τον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) 2025/301.

Το τετράωρο μετρά από την ταξινόμηση, όχι από τον εντοπισμό. Η ταξινόμηση όμως δεν αναβάλλεται: το εξωτερικό όριο των 24 ωρών από τη γνώση του συμβάντος ισχύει ούτως ή άλλως. Ορίστε εσωτερικό όριο ταξινόμησης αρκετά μικρότερο, ώστε οι δύο προθεσμίες να μη συμπίπτουν.

Υποδείγματα και οι τρεις ροές αναφοράς

Το περιεχόμενο κάθε αναφοράς είναι εναρμονισμένο σε επίπεδο Ένωσης: ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/301 ορίζει τα πεδία και ο εκτελεστικός κανονισμός (ΕΕ) 2025/302, το εκτελεστικό τεχνικό πρότυπο (ITS), τα έντυπα και τον μορφότυπο. Το ίδιο υπόδειγμα συμπληρώνεται σταδιακά και στα τρία στάδια, οπότε τα πεδία του αξίζει να υπάρχουν ήδη στη δική σας τεκμηρίωση συμβάντος.

Οι τρεις ροές έχουν χωριστές διαδρομές και χωριστά υποδείγματα. Ο πλήρης κατάλογος των προτύπων βρίσκεται στη σελίδα RTS και ITS του DORA.

Σε ποια αρμόδια αρχή υποβάλλετε

Η αναφορά δεν υποβάλλεται στις Ευρωπαϊκές Εποπτικές Αρχές (ΕΕΑ) αλλά στην εθνική αρμόδια αρχή του άρθρου 46, την οποία κάθε κράτος μέλος ορίζει ως ενιαίο σημείο εισόδου. Στην Ελλάδα πρόκειται, κατά περίπτωση, για την Τράπεζα της Ελλάδος, για τα πιστωτικά ιδρύματα και τις ασφαλιστικές επιχειρήσεις, και για την Επιτροπή Κεφαλαιαγοράς, για τις επιχειρήσεις επενδύσεων και τις αγορές.

Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά αναφέρουν στην εθνική αρμόδια αρχή, η οποία διαβιβάζει αμέσως την αναφορά στην ΕΚΤ. Η αρχή προωθεί στη συνέχεια τις πληροφορίες, κατά περίπτωση, στην αρμόδια ΕΕΑ και στην ENISA, σύμφωνα με το άρθρο 19 παράγραφος 6. Τα κράτη μέλη μπορούν επιπλέον να προβλέπουν παράλληλη υποβολή στις ομάδες CSIRT της οδηγίας (ΕΕ) 2022/2555.

Πρακτικά: επιβεβαιώστε τον δίαυλο υποβολής και τα διαπιστευτήρια πρόσβασης εκτός κρίσης, κάντε μία δοκιμαστική υποβολή και καταγράψτε τα βήματα στο εγχειρίδιο αντιμετώπισης συμβάντων. Το τετράωρο δεν αντέχει αναζήτηση κωδικών.

Προαιρετική κοινοποίηση σημαντικών κυβερνοαπειλών

Το άρθρο 19 παράγραφος 2 επιτρέπει στη χρηματοοικονομική οντότητα να κοινοποιεί, σε προαιρετική βάση, σημαντικές κυβερνοαπειλές: απειλές των οποίων τα τεχνικά χαρακτηριστικά δείχνουν ότι θα μπορούσαν να οδηγήσουν σε μείζον συμβάν. Πρόκειται για κάτι που δεν έχει ακόμη εκδηλωθεί.

Στοιχεία που αξίζει να σταθμιστούν πριν από την κοινοποίηση: ικανότητα και πρόθεση του παράγοντα απειλής, τακτικές και τεχνικές που στοχεύουν κρίσιμες ή σημαντικές λειτουργίες, ενδείξεις επικείμενης ενέργειας όπως ενεργή αναγνώριση ή έκθεση διαπιστευτηρίων, και πιθανή διασυνοριακή ή κλαδική διάχυση.

Η κοινοποίηση απειλής δεν υποκαθιστά την υποχρεωτική αναφορά: αν η απειλή εκδηλωθεί ως συμβάν και ταξινομηθεί ως μείζον, ισχύουν κανονικά οι προθεσμίες του άρθρου 19.

Πέντε λάθη που κοστίζουν προθεσμίες

• Σύγχυση εντοπισμού και ταξινόμησης. Το τετράωρο ξεκινά από την ταξινόμηση, αλλά η ταξινόμηση οφείλει να γίνει χωρίς αδικαιολόγητη καθυστέρηση και μέσα στο εικοσιτετράωρο από τη γνώση του συμβάντος.
• Συμβάν στον τρίτο πάροχο που θεωρείται ξένο. Ένα συμβάν στον πάροχο, το οποίο πλήττει δική σας κρίσιμη ή σημαντική λειτουργία, παραμένει δικό σας συμβάν: το άρθρο 28 παράγραφος 1 αφήνει την ευθύνη στην οντότητα.
• Μεμονωμένη εξέταση επαναλαμβανόμενων συμβάντων. Συνδεδεμένα γεγονότα εξετάζονται αθροιστικά όταν εκτιμάται ο αντίκτυπος, όχι το καθένα χωριστά.
• Παράλειψη ενημέρωσης των πελατών. Το άρθρο 19 παράγραφος 3 απαιτεί ενημέρωση χωρίς αδικαιολόγητη καθυστέρηση όταν το μείζον συμβάν θίγει τα χρηματοοικονομικά συμφέροντα των πελατών.
• Καμία πρόβλεψη για τη γλώσσα. Η υποβολή γίνεται στην επίσημη γλώσσα του κράτους μέλους, ενώ ορισμένες αρχές δέχονται και αγγλικά. Ετοιμάστε τα κείμενα και στις δύο γλώσσες πριν τα χρειαστείτε.

Συντάξτε την αναφορά συμβάντος →

Συχνές ερωτήσεις

Η σελίδα αυτή αποτελεί επαγγελματική υποστήριξη, όχι νομική συμβουλή. · Αγγλική έκδοση