DORA RTS και ITS: τα ρυθμιστικά και εκτελεστικά τεχνικά πρότυπα

RTS και ITS: η διαφορά και ο τρόπος που δεσμεύουν

Ο DORA ορίζει τις υποχρεώσεις σε επίπεδο αρχών. Τα κείμενα επιπέδου 2 τις εξειδικεύουν και καταρτίζονται από τις τρεις Ευρωπαϊκές Εποπτικές Αρχές (ΕΕΑ: EBA, ESMA και EIOPA) μέσω της μεικτής επιτροπής, όπως προβλέπει το άρθρο 15.

• Ρυθμιστικά τεχνικά πρότυπα (RTS): ορίζουν το ουσιαστικό περιεχόμενο μιας υποχρέωσης, δηλαδή το τι. Εκδίδονται από την Ευρωπαϊκή Επιτροπή ως κατ’ εξουσιοδότηση κανονισμοί.
• Εκτελεστικά τεχνικά πρότυπα (ITS): ορίζουν ενιαία υποδείγματα, μορφότυπους και διαδικασίες, δηλαδή το πώς. Εκδίδονται ως εκτελεστικοί κανονισμοί.

Και τα δύο δημοσιεύονται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης και εφαρμόζονται άμεσα και στα 27 κράτη μέλη, χωρίς εθνική μεταφορά και χωρίς περίοδο χάριτος.

Στην τεκμηρίωσή σας παραπέμπετε στον αριθμό της πράξης, όχι στον περιγραφικό τίτλο: το «RTS για την υπεργολαβία» είναι διφορούμενο, το «κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/532, άρθρο 5» δεν είναι. Για το γενικό πλαίσιο, δείτε τι είναι ο DORA.

Ο κατάλογος: εντολή, νομική πράξη, ισχύς

Δεκατρία κείμενα επιπέδου 2 συμπληρώνουν τον DORA: δώδεκα κανονισμοί της Επιτροπής και ένα σύνολο κοινών κατευθυντήριων γραμμών. Η πρώτη δέσμη εφαρμόζεται μαζί με τον κανονισμό από τις 17 Ιανουαρίου 2025, η δεύτερη ολοκληρώθηκε μέσα στο 2025 με την υπεργολαβία και τα TLPT.

Οι κοινές κατευθυντήριες γραμμές δεν είναι RTS: λειτουργούν με τη λογική της συμμόρφωσης ή της αιτιολόγησης απέναντι στην αρμόδια αρχή.

Πλαίσιο διαχείρισης κινδύνου ΤΠΕ (2024/1774)

Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1774 είναι το πυκνότερο από τα πρότυπα. Εξειδικεύει το πλαίσιο διαχείρισης κινδύνου ΤΠΕ του άρθρου 15 και, σε χωριστό μέρος, το απλουστευμένο πλαίσιο του άρθρου 16 παράγραφος 3.

• πολιτικές και διαδικασίες ασφάλειας πληροφοριών, υπό την ευθύνη του διοικητικού οργάνου
• διαχείριση ταυτότητας και δικαιωμάτων πρόσβασης, με ενισχυμένη ταυτοποίηση για τους προνομιακούς λογαριασμούς
• κρυπτογράφηση και διαχείριση κλειδιών, κατάτμηση δικτύων, διαχείριση αλλαγών και ευπαθειών
• εντοπισμός ασυνήθιστων δραστηριοτήτων και αντιμετώπιση συμβάντων που σχετίζονται με τις ΤΠΕ
• πολιτική επιχειρησιακής συνέχειας ΤΠΕ, αντίγραφα ασφαλείας, τεκμηριωμένοι στόχοι RTO και RPO, επικοινωνία σε κατάσταση κρίσης

Το απλουστευμένο πλαίσιο ελαφρύνει την τεκμηρίωση για τις οντότητες του άρθρου 16, διατηρεί όμως τον πυρήνα: ευθύνη του διοικητικού οργάνου, διαχείριση συμβάντων, κανόνες για τους τρίτους παρόχους και μητρώο πληροφοριών.

Ταξινόμηση και αναφορά μειζόνων συμβάντων

Δύο πράξεις λειτουργούν σε σειρά. Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2024/1772 ορίζει πότε ένα συμβάν που σχετίζεται με τις ΤΠΕ είναι μείζον. Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/301 και ο εκτελεστικός κανονισμός (ΕΕ) 2025/302 ορίζουν τι αναφέρετε, μέσα σε ποια προθεσμία και σε ποιο υπόδειγμα.

Τα κριτήρια ταξινόμησης: θιγόμενοι πελάτες και χρηματοοικονομικοί αντισυμβαλλόμενοι, διάρκεια και διακοπή της υπηρεσίας, γεωγραφική εξάπλωση, απώλειες δεδομένων, κρισιμότητα των υπηρεσιών και οικονομικός αντίκτυπος. Μόλις περαστούν τα κατώφλια, ξεκινά η αλυσίδα αναφοράς προς την αρμόδια αρχή:

• αρχική κοινοποίηση: το αργότερο 4 ώρες από την ταξινόμηση του συμβάντος ως μείζονος και όχι αργότερα από 24 ώρες από τη γνώση του
• ενδιάμεση έκθεση: εντός 72 ωρών από την αρχική κοινοποίηση
• τελική έκθεση: εντός ενός μήνα, με την ανάλυση των γενεσιουργών αιτίων και τα διορθωτικά μέτρα

Η κοινοποίηση σημαντικής κυβερνοαπειλής παραμένει προαιρετική. Η εφαρμογή βήμα προς βήμα, στη σελίδα για την αναφορά συμβάντων.

Τρίτοι πάροχοι ΤΠΕ: πολιτική, μητρώο, υπεργολαβία

Τέσσερα πρότυπα καλύπτουν τον κίνδυνο τρίτων παρόχων ΤΠΕ, και ο διακόπτης που τα ενεργοποιεί σχεδόν όλα είναι η ιδιότητα της κρίσιμης ή σημαντικής λειτουργίας.

• 2024/1773: το περιεχόμενο της πολιτικής για τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, από τη δέουσα επιμέλεια έως τη στρατηγική εξόδου.
• 2024/2956: τα υποδείγματα του μητρώου πληροφοριών και η ταξινομία των υπηρεσιών ΤΠΕ, με μία εγγραφή ανά συμβατική ρύθμιση και σήμανση όσων στηρίζουν κρίσιμη ή σημαντική λειτουργία.
• 2025/532: τι αξιολογείτε πριν επιτραπεί υπεργολαβία, με ορατότητα στους ουσιώδεις υπεργολάβους, δικαίωμα αντίρρησης σε ουσιώδεις μεταβολές, τοποθεσία των δεδομένων και κίνδυνο συγκέντρωσης σε επίπεδο αλυσίδας.
• 2024/1502, 2025/295 και 2025/420: ο χαρακτηρισμός των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ (CTPP) και η εποπτεία τους από τον κύριο εποπτικό φορέα, με κοινές ομάδες εξέτασης.

Ο χαρακτηρισμός ενός παρόχου ως κρίσιμου δεν μεταθέτει την ευθύνη: η χρηματοοικονομική οντότητα παραμένει πλήρως υπεύθυνη για την εκπλήρωση των υποχρεώσεών της, όπως ορίζει το άρθρο 28 παράγραφος 1.

TLPT: δοκιμές παρείσδυσης βάσει απειλών (2025/1190)

Ο κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2025/1190 εξειδικεύει τις προηγμένες δοκιμές του άρθρου 26. Δεν αφορά όλες τις οντότητες: υπόχρεες είναι όσες προσδιορίζονται από την αρμόδια αρχή με βάση το προφίλ κινδύνου και τη σημασία τους, και η δοκιμή διενεργείται τουλάχιστον ανά τριετία.

• μεθοδολογία ευθυγραμμισμένη με το πλαίσιο TIBER-EU: πληροφορίες απειλών, δοκιμή κόκκινης ομάδας, φάση κλεισίματος
• πεδίο που καλύπτει κρίσιμες ή σημαντικές λειτουργίες σε συστήματα παραγωγής και επικυρώνεται από την αρμόδια αρχή
• απαιτήσεις για τους εσωτερικούς και εξωτερικούς δοκιμαστές, αναφορά και βεβαίωση ολοκλήρωσης
• όταν στο πεδίο περιλαμβάνονται τρίτοι πάροχοι υπηρεσιών ΤΠΕ, η οντότητα εξασφαλίζει τη συμμετοχή τους και διατηρεί την πλήρη ευθύνη

Αναλυτικά, στη σελίδα για τις δοκιμές TLPT.

Συγκροτήστε το μητρώο πληροφοριών →

Συχνές ερωτήσεις

Η σελίδα αυτή αποτελεί επαγγελματική υποστήριξη, όχι νομική συμβουλή. · Αγγλική έκδοση