Që nga 17 janari 2025, Rregullorja (BE) 2022/2554 për rezistencën operacionale digjitale (DORA) zbatohet për bankat, siguruesit, firmat e investimeve dhe subjektet e tjera financiare në BE. Shqipëria nuk është në BE, por shumë kompani shqiptare software-i, qendra të dhënash dhe qendra BPO u shërbejnë pikërisht këtyre klientëve. DORA i arrin përmes kontratës.
Çfarë ndryshon për furnitorin. DORA i detyron subjektet financiare të kontrollojnë rreziqet që vijnë nga furnitorët e teknologjisë. Çdo kontratë me një furnitor ICT duhet të përmbajë, ndër të tjera:
përshkrimin e shërbimit dhe rregullat për nënkontraktimin;
vendndodhjen e të dhënave dhe të përpunimit;
masat për sigurinë e të dhënave dhe ndihmën e furnitorit në rast incidenti;
detyrimin për të bashkëpunuar me autoritetet mbikëqyrëse;
të drejtat për zgjidhjen e kontratës.
Kur shërbimi mbështet një funksion kritik ose të rëndësishëm të klientit, kërkesat janë më të rrepta: nivele shërbimi të matshme, plane të vazhdimit të veprimtarisë, pjesëmarrje në testimet e klientit, të drejta të plota akses, inspektimi dhe auditimi, dhe një strategji daljeje. Klienti duhet gjithashtu të mbajë një regjistër të të gjitha marrëveshjeve me furnitorët ICT, ndaj do t'ju kërkojë të dhëna për shërbimin dhe për nënkontraktorët tuaj.
Çfarë duhet të keni gati:
një politikë për sigurinë e informacionit dhe një procedurë për incidentet;
një plan për vazhdimin e shërbimit dhe për rikthimin pas ndërprerjes;
listën e nënkontraktorëve dhe vendndodhjen e të dhënave;
gatishmëri për auditime nga klienti;
një plan dalje që e lejon klientin të kalojë te një furnitor tjetër.
Certifikimet si ISO 27001 ndihmojnë, por nuk i mbulojnë vetë të gjitha kërkesat e DORA-s.
Edhe ligji shqiptar. Ligji nr. 25/2024 "Për sigurinë kibernetike" vendos detyrime të veta për operatorët e infrastrukturave kritike dhe të rëndësishme. Një kompani që u shërben bankave në BE mund të ketë detyrime nga të dyja anët. Furnitorët që përgatiten që tani i kalojnë më lehtë negociatat dhe auditimet, dhe kanë një avantazh ndaj konkurrentëve që nuk e kanë bërë këtë punë.