Jak rozpocząć wdrażanie DORA z wykorzystaniem AI

Przegląd

Dowiesz się, jak wykorzystać sztuczną inteligencję do przyspieszenia wdrażania Digital Operational Resilience Act (DORA), od określenia, czy DORA ma zastosowanie do Twojej organizacji, po uzyskanie zaangażowania na poziomie zarządu, przeprowadzenie kompleksowej analizy luk w odniesieniu do wszystkich pięciu filarów DORA oraz zbudowanie praktycznej mapy drogowej wdrożenia przy użyciu ISMS Copilot.

Dla kogo jest ten przewodnik

Ten przewodnik jest przeznaczony dla:

• Oficerów ds. zgodności i menedżerów ryzyka w podmiotach finansowych przygotowujących się do DORA
• Dyrektorów ds. bezpieczeństwa informacji (CISO) i dyrektorów IT odpowiedzialnych za zarządzanie ryzykiem ICT w regulowanych usługach finansowych
• Konsultantów doradzających bankom, ubezpieczycielom, firmom inwestycyjnym i instytucjom płatniczym w zakresie zgodności z DORA
• Dostawców usług ICT trzeciej strony uznanych za krytycznych w ramach ram nadzoru DORA
• Członków zarządu i wyższej kadry zarządzającej pragnących zrozumieć swoje obowiązki związane z nadzorem DORA

Zanim zaczniesz

Będziesz potrzebować:

• Konta w ISMS Copilot (dostępna darmowa wersja próbna)
• Kopii Rozporządzenia (UE) 2022/2554 (tekstu DORA) do wglądu
• Dostępu do aktualnej dokumentacji zarządzania ryzykiem ICT w Twojej organizacji
• Zrozumienia typu Twojego podmiotu i klasyfikacji regulacyjnej zgodnie z prawem UE dotyczącym usług finansowych
• Dostępu do interesariuszy na poziomie zarządu i wyższej kadry zarządzającej do dyskusji nad nadzorem
• Około 6-12 miesięcy na pełne wdrożenie (czas zależy od wielkości i złożoności podmiotu)

Zrozumienie DORA i dlaczego AI ma znaczenie

Czym jest DORA?

Digital Operational Resilience Act (Rozporządzenie (UE) 2022/2554) to unijne rozporządzenie, które tworzy jednolite ramy zarządzania ryzykiem ICT w sektorze finansowym. Opublikowane 27 grudnia 2022 r. i obowiązujące od 17 stycznia 2025 r., DORA zapewnia, że podmioty finansowe mogą wytrzymać, reagować i odzyskiwać sprawność po zakłóceniach związanych z ICT oraz zagrożeniach cybernetycznych.

W przeciwieństwie do wcześniejszych wytycznych i dyrektyw, DORA jest bezpośrednio stosowanym rozporządzeniem we wszystkich państwach członkowskich UE, co oznacza brak różnic w transpozycji krajowej. Rozporządzenie ustanawia obowiązkowe wymagania w pięciu filarach:

1. Zarządzanie ryzykiem ICT | Artykuły 6-16 | Ramy, nadzór, polityki | Kompleksowe ramy zarządzania ryzykiem ICT zatwierdzone przez organ zarządzający
2. Raportowanie incydentów | Artykuły 17-23 | Klasyfikacja, powiadamianie, analiza | Raportowanie poważnych incydentów ICT w ciągu 4 godzin (wstępne), 72 godzin (pośrednie), 1 miesiąca (ostateczne)
3. Testowanie odporności | Artykuły 24-27 | Program testowy, TLPT | Regularne testy, w tym TLPT co 3 lata dla wyznaczonych podmiotów
4. Ryzyko ICT stron trzecich | Artykuły 28-30 | Zarządzanie dostawcami, umowy, ryzyko koncentracji | Rejestr wszystkich dostawców usług ICT stron trzecich z obowiązkowymi klauzulami umownymi
5. Wymiana informacji | Artykuł 45 | Wywiad ds. zagrożeń cybernetycznych | Dobrowolny udział w układach wymiany informacji o zagrożeniach

Kto musi przestrzegać DORA?

DORA ma zastosowanie do szerokiego zakresu podmiotów finansowych określonych w Artykule 2, w tym:

• Instytucje kredytowe (banki)
• Instytucje płatnicze i instytucje pieniądza elektronicznego
• Firmy inwestycyjne i spółki zarządzające
• Dostawcy usług związanych z aktywami kryptograficznymi
• Zakłady ubezpieczeń i reasekuracji
• Pracownicze fundusze emerytalne
• Agencje ratingowe
• Platformy obrotu i centralne kontrahenci
• Krytyczni dostawcy usług ICT stron trzecich wyznaczeni przez Europejskie Organy Nadzoru

Tradycyjne wyzwania wdrażania DORA

Wdrażanie DORA jest wymagające ze względu na jego zakres i szczegółowość:

• Zakres wielofilarowy: Pięć wzajemnie powiązanych obszarów wymaga skoordynowanego wysiłku IT, ryzyka, zgodności, działów prawnych i operacyjnych
• Intensywność nadzoru: Organ zarządzający ponosi bezpośrednią odpowiedzialność za ryzyko ICT (Artykuł 5), co wymaga zaangażowania zarządu przez cały proces
• Objętość dokumentacji: Ramy zarządzania ryzykiem ICT, procedury reagowania na incydenty, programy testowe, rejestry stron trzecich i zmiany umów
• Krótkie terminy raportowania: 4-godzinne okno na wstępne powiadomienie o poważnych incydentach wymaga wstępnie przygotowanych procesów i szablonów
• Złożoność stron trzecich: Przegląd i renegocjacja każdej umowy z dostawcą ICT pod kątem klauzul wymaganych przez DORA
• Standardy techniczne regulacyjne: Ewoluujące RTS i ITS od EBA, ESMA i EIOPA dodają szczegółów i złożoności

Jak AI przyspiesza wdrażanie DORA

ISMS Copilot przekształca wdrażanie DORA, oferując:

• Ekspertyzę regulacyjną na żądanie: Dostęp do kompleksowej wiedzy na temat DORA, w tym wskazówek artykuł po artykule i interpretacji RTS
• Szybkie generowanie polityk: Tworzenie polityk zarządzania ryzykiem ICT, macierzy klasyfikacji incydentów i szablonów oceny stron trzecich w ciągu minut
• Przyspieszenie analizy luk: Przesyłanie istniejącej dokumentacji i otrzymywanie ukierunkowanych ocen luk w odniesieniu do konkretnych artykułów DORA
• Mapowanie między ramami: Zrozumienie, jak istniejące kontrolki ISO 27001, NIS2 lub NIST CSF już spełniają wymagania DORA
• Spójna jakość: Generowanie dokumentacji gotowej do audytu, która utrzymuje zgodność we wszystkich pięciu filarach
• Materiały gotowe dla zarządu: Tworzenie raportów nadzorczych, podsumowań ryzyka i briefingów dla organu zarządzającego dostosowanych do odbiorców na wysokim szczeblu

Krok 1: Określenie zakresu DORA

Potwierdzenie stosowalności

Przed zainwestowaniem w wdrożenie musisz potwierdzić, że DORA ma zastosowanie do Twojej organizacji i zrozumieć zakres Twoich obowiązków. Wymaga to przejrzenia Artykułu 2 (zakres) i Artykułu 4 (proporcjonalność).

1. Otwórz ISMS Copilot pod adresem chat.ismscopilot.com

2. Oceń typ swojego podmiotu:

   "Oceń stosowalność DORA dla naszej organizacji. Jesteśmy [typ podmiotu, np. instytucja płatnicza / zakład ubezpieczeń / firma inwestycyjna] z siedzibą w [kraj]. Świadczymy [opisz usługi] dla [typy klientów]. Mamy [liczba] pracowników i roczny obrót w wysokości [kwota]. Określ, które rozdziały DORA mają do nas zastosowanie, czy dostępne są przepisy dotyczące proporcjonalności zgodnie z Artykułem 16, oraz zidentyfikuj ewentualne zwolnienia, do których możemy kwalifikować się."

3. Mapuj relacje regulacyjne:

   "Zidentyfikuj nasz krajowy organ właściwy ds. zgodności z DORA na podstawie typu naszego podmiotu jako [typ podmiotu] działającego w [państwo członkowskie UE]. Wyjaśnij oczekiwania nadzorcze i obowiązki raportowania specyficzne dla naszego organu regulacyjnego."

4. Oceń status dostawcy usług ICT stron trzecich:

   "Świadczymy [usługi chmurowe / zarządzanie bezpieczeństwem / analizę danych] dla [liczba] podmiotów finansowych w UE. Oceń, czy możemy zostać wyznaczeni jako krytyczny dostawca usług ICT stron trzecich zgodnie z Artykułami 31-44 DORA. Jakie kryteria stosują Europejskie Organy Nadzoru przy wyznaczaniu i jakie dodatkowe obowiązki by nas obowiązywały?"

Zrozumienie zasady proporcjonalności

DORA stosuje się proporcjonalnie, co oznacza, że głębokość i złożoność Twojego wdrożenia powinny odpowiadać profilowi Twojej organizacji. Użyj ISMS Copilot, aby zrozumieć, gdzie dostępne są uproszczone podejścia:

"Wyjaśnij zasadę proporcjonalności DORA zgodnie z Artykułem 4 dla [typ podmiotu] o [charakterystyce wielkości]. Które wymagania DORA możemy wdrożyć w sposób uproszczony? Gdzie musimy spełnić pełne wymagania niezależnie od wielkości? Utwórz macierz oceny proporcjonalności."

Krok 2: Uzyskanie zaangażowania na poziomie zarządu

Dlaczego odpowiedzialność organu zarządzającego jest niepodważalna

Artykuł 5 DORA wyraźnie przypisuje odpowiedzialność za zarządzanie ryzykiem ICT organowi zarządzającemu (zarządowi lub równoważnemu). Nie jest to obowiązek, który można delegować. Organ zarządzający musi:

• Określić, zatwierdzić, nadzorować i ponosić odpowiedzialność za ramy zarządzania ryzykiem ICT
• Ustalić poziom tolerancji ryzyka ICT
• Zatwierdzać plany ciągłości działania ICT i plany odtwarzania po awarii
• Zatwierdzać i przeglądać plany audytu ICT oraz wyniki audytów wewnętrznych
• Przeznaczać odpowiedni budżet i zasoby na bezpieczeństwo ICT
• Być informowanym o incydentach ICT i reakcji na nie
• Przechodzić odpowiednie szkolenia w celu zrozumienia i oceny ryzyka ICT

Budowanie biznesowego uzasadnienia dla DORA z wykorzystaniem AI

Użyj ISMS Copilot do przygotowania materiałów na poziomie zarządu:

1. Wygeneruj briefing dla kadry zarządzającej:

   "Utwórz briefing dla kadry zarządzającej na poziomie zarządu dotyczący zgodności z DORA dla [typ podmiotu] o [wielkości]. Zawrzyj: przegląd regulacyjny, nasze konkretne obowiązki, kary za niezgodność (do 2% rocznego światowego obrotu), strategiczne korzyści płynące ze zgodności, szacowany harmonogram i budżet wdrożenia oraz kluczowe decyzje, które musi podjąć organ zarządzający. Sformatuj jako prezentację na 30-minutowe posiedzenie zarządu."

2. Przygotuj ocenę ryzyka dla zarządu:

   "Utwórz ocenę ryzyka niezgodności z DORA do przeglądu przez zarząd. Zawrzyj: ryzyko regulacyjne (kary, sankcje, zawieszenie licencji), ryzyko operacyjne (niezarządzane zagrożenia ICT), ryzyko reputacyjne (publiczne działania egzekucyjne) oraz ryzyko konkurencyjne (niemożność obsługi rynków finansowych UE). Kwantyfikuj tam, gdzie to możliwe, dla [typ podmiotu] o naszej wielkości."

3. Zdefiniuj strukturę nadzoru:

   "Zdefiniuj strukturę nadzoru DORA dla [typ podmiotu] zatrudniającego [liczba] pracowników. Zawrzyj: obowiązki organu zarządzającego zgodnie z Artykułem 5, role CISO/CRO, zakres działania komitetu ds. ryzyka ICT, linie raportowania do zarządu, wymagania szkoleniowe dla członków organu zarządzającego w zakresie ryzyka ICT oraz macierz RACI obejmującą wszystkie pięć filarów DORA."

Ustanowienie programu szkoleniowego dla organu zarządzającego

Artykuł 5(4) wymaga, aby członkowie organu zarządzającego przechodzili specjalistyczne szkolenia w celu nadążania za ryzykiem ICT. Użyj ISMS Copilot do zaprojektowania tego programu:

"Zaprojektuj program szkoleniowy z zakresu ryzyka ICT dla organu zarządzającego, który spełnia wymagania Artykułu 5(4) DORA. Zawrzyj: tematy szkoleniowe (krajobraz ryzyka ICT, obowiązki wynikające z DORA, scenariusze incydentów, ryzyko stron trzecich), format realizacji, częstotliwość, metody oceny oraz wymagania dotyczące prowadzenia dokumentacji. Dostosuj do członków zarządu z [branży], którzy mogą nie mieć technicznego przygotowania."

Krok 3: Przeprowadzenie analizy luk w DORA

Struktura analizy luk w pięciu filarach

Dokładna analiza luk porównuje Twoje obecne praktyki zarządzania ryzykiem ICT z każdym wymogiem DORA. To podstawa Twojej mapy drogowej wdrożenia. Ustrukturyzuj swoją analizę wokół pięciu filarów DORA i oceniaj każdy z nich systematycznie.

1. Przygotuj dokumentację stanu obecnego:

   Zbierz swoje istniejące polityki ICT, rejestry ryzyka, procedury reagowania na incydenty, raporty z testów i umowy z dostawcami stron trzecich. Prześlij je do ISMS Copilot w celu analizy z uwzględnieniem kontekstu.

2. Przeprowadź kompleksową analizę luk:

   "Przeprowadź kompleksową analizę luk w DORA dla naszego [typ podmiotu]. Oto nasz obecny stan w pięciu filarach: Zarządzanie ryzykiem ICT: [opisz obecne ramy, polityki, nadzór]. Raportowanie incydentów: [opisz obecne możliwości reagowania i raportowania incydentów]. Testowanie odporności: [opisz obecne działania testowe]. Ryzyko ICT stron trzecich: [opisz obecne praktyki zarządzania dostawcami]. Wymiana informacji: [opisz udział w wymianie informacji o zagrożeniach]. Dla każdego artykułu DORA w każdym filarze oceń: obecny poziom zgodności (Zgodny, Częściowo zgodny, Niezgodny), konkretne luki, ocena ryzyka (Krytyczne, Wysokie, Średnie, Niskie), wysiłek naprawczy i priorytet."

3. Pogłębiona analiza każdego filaru:

   "Dla Filaru 1 DORA (Zarządzanie ryzykiem ICT, Artykuły 6-16) przeprowadź analizę luk artykuł po artykule. Dla każdego artykułu wymień konkretne wymagania, dowody, które musimy przedstawić w celu wykazania zgodności, oraz gdzie nasze obecne [opisz praktyki] nie spełniają wymagań. Priorytetyzuj według ryzyka regulacyjnego."

Wykorzystanie istniejących ram

Jeśli Twoja organizacja posiada już certyfikację ISO 27001, stosuje się do NIST CSF lub jest zgodna z NIS2, możesz zmapować istniejące kontrolki do wymagań DORA, aby zidentyfikować, co już masz wdrożone:

"Zmapuj nasze istniejące kontrolki ISO 27001:2022 do wymagań DORA we wszystkich pięciu filarach. Dla każdego artykułu DORA zidentyfikuj: które kontrolki ISO 27001 częściowo lub całkowicie spełniają wymaganie, luki, które ISO 27001 nie obejmuje (szczególnie terminy raportowania incydentów, TLPT i wymagania dotyczące rejestru stron trzecich), oraz dodatkową pracę, która jest potrzebna. Przedstaw jako macierz wzajemnych odniesień."

"Dodatkowo jesteśmy zgodni z NIS2 dla naszego [sektora]. Zmapuj nasze środki zgodności z NIS2 do wymagań DORA i zidentyfikuj, gdzie DORA wykracza poza NIS2, szczególnie w zakresie zarządzania ryzykiem ICT stron trzecich i testowania odporności."

Priorytetyzacja luk według ryzyka i wysiłku

Użyj ISMS Copilot, aby przekształcić wyniki analizy luk w działanie priorytetową macierz:

"Na podstawie wyników analizy luk w DORA utwórz macierz priorytetów naprawczych. Uszereguj każdą lukę według: ryzyka regulacyjnego (prawdopodobieństwo i dotkliwość działań egzekucyjnych), wysiłku wdrożeniowego (czas, koszt, złożoność), zależności od innych działań oraz potencjału szybkich zwycięstw. Pogrupuj na: działania natychmiastowe (0-3 miesiące), krótkoterminowe (3-6 miesięcy) i średnioterminowe (6-12 miesięcy)."

Krok 4: Konfiguracja przestrzeni roboczej ISMS Copilot dla DORA

Tworzenie dedykowanej przestrzeni roboczej DORA

Organizowanie wdrażania DORA w dedykowanej przestrzeni roboczej zapewnia, że wszystkie interakcje z AI zachowują kontekst organizacyjny i generują spójne wyniki.

1. Zaloguj się do ISMS Copilot pod adresem chat.ismscopilot.com
2. Kliknij menu rozwijane przestrzeni roboczych na pasku bocznym
3. Wybierz "Utwórz nową przestrzeń roboczą"
4. Nazwij swoją przestrzeń roboczą używając jasnej konwencji:

• "Wdrożenie DORA - [Nazwa Podmiotu]"
• "Program zgodności z DORA 2025"
• "Klient: [Nazwa] - Projekt DORA"

5. Dodaj niestandardowe instrukcje aby dostosować wszystkie odpowiedzi AI:

Skoncentruj się na zgodności z DORA (Rozporządzenie (UE) 2022/2554) dla podmiotu finansowego typu [typ podmiotu].

Kontekst organizacji:
- Typ podmiotu: [np. instytucja kredytowa, instytucja płatnicza, zakład ubezpieczeń]
- Wielkość: [liczba pracowników, aktywa pod zarządzaniem, roczny obrót]
- Obecność w UE: [państwa członkowskie, oddziały, usługi transgraniczne]
- Organ właściwy: [regulator krajowy]
- Stos technologiczny: [podstawowy system bankowy, dostawcy chmury, krytyczne usługi ICT]
- Istniejące ramy: [ISO 27001 / NIS2 / Wytyczne EBA / NIST CSF]
- Obecna dojrzałość: [opisz dojrzałość zarządzania ryzykiem ICT]

Cele projektu:
- Status zgodności: [nowe wdrożenie / naprawa / usprawnienie]
- Kluczowe priorytety: [raportowanie incydentów / ryzyko stron trzecich / przygotowanie do TLPT]
- Poziom zaangażowania zarządu: [początkowa świadomość / aktywnie zaangażowany / przeszkolony]
- Harmonogram: [planowana data zakończenia]

Preferencje:
- Podkreślaj wyniki gotowe do audytu, skierowane do regulatora
- Odnoś się do konkretnych artykułów DORA oraz RTS/ITS, gdzie ma to zastosowanie
- Uwzględniaj proporcjonalność w oparciu o wielkość i profil ryzyka naszego podmiotu
- Dostarczaj wskazówki dotyczące gromadzenia dowodów na potrzeby kontroli nadzorczych
- Łącz z powiązanymi regulacjami UE dotyczącymi usług finansowych, gdzie to istotne

Organizowanie rozmów według filarów

Utwórz oddzielne wątki rozmów w swojej przestrzeni roboczej dla każdego filaru DORA:

• Nadzór i ramy: Obowiązki organu zarządzającego, strategia ryzyka ICT, struktura organizacyjna
• Zarządzanie ryzykiem ICT: Identyfikacja ryzyka, środki ochrony, wykrywanie, reagowanie, odtwarzanie
• Raportowanie incydentów: Klasyfikacja, powiadamianie, analiza przyczyn źródłowych, wyciąganie wniosków
• Testowanie odporności: Program testowy, oceny podatności, przygotowanie do TLPT
• Ryzyko ICT stron trzecich: Rejestr dostawców, umowy, ryzyko koncentracji, strategie wyjścia

Taka struktura odzwierciedla organizację DORA i ułatwia lokalizowanie konkretnych produktów pracy podczas przygotowań do kontroli regulacyjnych.

Krok 5: Budowa mapy drogowej wdrożenia DORA

Zrozumienie faz wdrożenia

Dobrze ustrukturyzowane wdrożenie DORA przebiega przez kolejne fazy, które wzajemnie się uzupełniają:

Generowanie spersonalizowanej mapy drogowej z wykorzystaniem AI

W swojej przestrzeni roboczej DORA zapytaj:

"Utwórz szczegółową mapę drogową wdrożenia DORA dla naszego [typ podmiotu] o [opis wielkości i złożoności]. Mamy [opisz istniejące ramy i dojrzałość]. Nasze kluczowe obszary luk to [wymień z analizy luk]. Zawrzyj: podział na fazy z konkretnymi kamieniami milowymi, produkty końcowe dla każdej fazy zmapowane na artykuły DORA, wymagania dotyczące zasobów (ETP, szacunki budżetowe, potrzeby wsparcia zewnętrznego), zależności między fazami i działaniami, czynniki ryzyka i strategie łagodzenia oraz możliwe równoległe strumienie pracy. Sformatuj jako ustrukturyzowany plan projektu."

Doprecyzuj planowanie konkretnymi zapytaniami:

• "Rozbij fazę Ramy ryzyka ICT na dwutygodniowe sprinty z konkretnymi produktami końcowymi i odpowiedzialnymi rolami"
• "Zidentyfikuj, które działania wdrażania DORA mogą być realizowane równolegle w różnych filarach, aby przyspieszyć harmonogram"
• "Utwórz plan alokacji zasobów pokazujący, którzy członkowie zespołu (CISO, zgodność, prawo, operacje IT) są potrzebni w każdej fazie i w jakim wymiarze czasu"
• "Wymień 10 najszybszych zwycięstw, które możemy osiągnąć w pierwszych 30 dniach wdrażania DORA, aby zademonstrować postęp zarządowi"

Radzenie sobie z typowymi ryzykami wdrożenia

Poproś ISMS Copilot o pomoc w przewidywaniu i łagodzeniu typowych wyzwań wdrażania DORA:

"Jakie są najczęstsze niepowodzenia wdrażania DORA obserwowane w organizacjach typu [typ podmiotu]? Dla każdego ryzyka podaj: przyczynę źródłową, sygnały ostrzegawcze, strategie łagodzenia i plany awaryjne. Uwzględnij wyzwania związane z zaangażowaniem zarządu, renegocjacją umów z dostawcami stron trzecich, logistyką TLPT, gotowością do raportowania incydentów oraz koordynacją między działami."

Ustanowienie KPI i śledzenie postępów

Zdefiniuj mierzalne wskaźniki do śledzenia postępów wdrażania DORA:

"Zdefiniuj zestaw KPI i metryk do śledzenia postępów wdrażania DORA na potrzeby raportowania do zarządu. Uwzględnij: procent pokrycia zgodności na filar, tempo zamykania luk, kompletność dokumentacji polityk, status zmian umów z dostawcami stron trzecich, gotowość programu testowego, dojrzałość zdolności reagowania na incydenty oraz wskaźniki ukończenia szkoleń. Podaj wartości docelowe i częstotliwość pomiaru."

Krok 6: Ustanowienie ram dokumentacji DORA

Wymagana dokumentacja zgodnie z DORA

DORA wymaga obszernej dokumentacji we wszystkich pięciu filarach. Ustanowienie ram dokumentacji na wczesnym etapie zapewnia spójność i kompletność:

"Utwórz inwentarz dokumentacji DORA, wymieniając każdy dokument wymagany przez Rozporządzenie (UE) 2022/2554. Dla każdego dokumentu określ: artykuł DORA, który go wymaga, tytuł dokumentu, cel, właściciela, częstotliwość przeglądu, organ zatwierdzający oraz wymagania dotyczące przechowywania. Uporządkuj według filarów i wskaż, które dokumenty musimy stworzyć od podstaw, a które dostosować z istniejącej dokumentacji [ISO 27001 / NIS2]."

Typowe dokumenty obejmują:

• Ramy zarządzania ryzykiem ICT (Artykuł 6)
• Polityki bezpieczeństwa ICT (Artykuł 9)
• Inwentarz i klasyfikacja aktywów ICT (Artykuł 8)
• Polityka ciągłości działania ICT (Artykuł 11)
• Plan odtwarzania po awarii ICT (Artykuł 11)
• Procedury klasyfikacji i raportowania incydentów (Artykuły 17-20)
• Program testowania odporności operacyjnej cyfrowej (Artykuł 24)
• Rejestr dostawców usług ICT stron trzecich (Artykuł 28)
• Polityka ryzyka ICT stron trzecich (Artykuł 28)
• Strategie wyjścia dla krytycznych dostawców ICT (Artykuł 28)
• Ewidencja szkoleń organu zarządzającego (Artykuł 5)
• Raporty z przeglądów poincydentowych (Artykuł 13)

Ustanowienie szablonów i standardów dokumentów

Użyj ISMS Copilot do stworzenia ustandaryzowanych szablonów, które zapewnią spójność w całej dokumentacji DORA:

"Utwórz standard szablonu dokumentu DORA dla naszej organizacji. Uwzględnij: standardową strukturę dokumentu (cel, zakres, role, procedury, przegląd), wymagania dotyczące kontroli wersji, przepływ zatwierdzania, oznaczenia klasyfikacji i postępowania, konwencje odwołań do artykułów DORA oraz integrację z naszym istniejącym [systemem zarządzania dokumentami]. Dostarcz szablon polityki zarządzania ryzykiem ICT jako przykład."

Następne kroki w wdrażaniu DORA

Założyłeś już fundamenty swojego programu zgodności z DORA:

• Potwierdzono stosowalność i zakres DORA dla Twojego podmiotu
• Uzyskano zaangażowanie na poziomie zarządu wraz ze strukturą nadzoru zgodną z Artykułem 5
• Przeprowadzono kompleksową analizę luk we wszystkich pięciu filarach
• Skonfigurowano przestrzeń roboczą ISMS Copilot do pracy specyficznej dla DORA
• Zbudowano mapę drogową wdrożenia z fazowymi kamieniami milowymi
• Ustanowiono ramy dokumentacji

Kontynuuj wdrażanie DORA z kolejnymi przewodnikami w tej serii:

• Jak zbudować ramy zarządzania ryzykiem ICT DORA z wykorzystaniem AI – Pogłębione omówienie Artykułów 6-16, obejmujące identyfikację ryzyka, ochronę, wykrywanie, reagowanie, odtwarzanie i ciągłe doskonalenie
• Jak wdrożyć raportowanie incydentów DORA z wykorzystaniem AI – Opanuj terminy raportowania 4-godzinne/72-godzinne/1-miesięczne za pomocą macierzy klasyfikacji i szablonów powiadomień
• Jak zaplanować testowanie odporności DORA z wykorzystaniem AI – Zaprojektuj swój program testowy, w tym oceny podatności, testy penetracyjne i przygotowanie do TLPT
• Jak zarządzać ryzykiem ICT stron trzecich DORA z wykorzystaniem AI – Zbuduj rejestr dostawców, przeglądaj umowy, oceniaj ryzyko koncentracji i opracuj strategie wyjścia

Aby uzyskać gotowe do użycia zapytania obejmujące każdy artykuł DORA, zobacz Bibliotekę Zapytań dotyczących Zgodności z DORA. Aby uzyskać wysokopoziomowy przegląd regulacyjny, zapoznaj się z Przewodnikiem po zgodności z DORA dla podmiotów finansowych.

Uzyskanie pomocy

Aby uzyskać dodatkowe wsparcie w wdrażaniu DORA:

• Zapytaj ISMS Copilot: Użyj swojej dedykowanej przestrzeni roboczej DORA, aby uzyskać odpowiedzi na bieżące pytania w miarę postępów w każdym filarze
• Prześlij dokumenty: Uzyskaj ukierunkowaną analizę luk, przesyłając swoje istniejące polityki ICT, rejestry ryzyka i umowy z dostawcami
• Mapuj ramy: Poproś ISMS Copilot o zmapowanie Twojej istniejącej zgodności z ISO 27001 lub NIS2 do wymagań DORA
• Weryfikuj wyniki: Zawsze przeglądaj dokumentację DORA wygenerowaną przez AI w odniesieniu do tekstu rozporządzenia i odpowiednich RTS/ITS przed przedłożeniem jej właściwemu organowi