Forordning (EU) 2022/2554
DORA, for en softwareleverandør
Din bankkunde er reguleret; du møder DORA i dens kontrakt, som siden den 17. januar 2025 bærer 9 klausuler for enhver IKT-tjeneste og 6 mere for en kritisk eller vigtig funktion.
Svar ovenfor for at læse afgørelsen for din situation; det fulde værktøj tager dine svar med.
Fortsæt i den gratis afgørelseOverblik
Datoerne
Læst fra forordningen og de otte retsakter, der udfylder dens detaljer, den 12. september 2026. DORA har ingen ændringsretsakt.
- 27. december 2022
Forordningen i EU-Tidende.
- 13. marts 2024
Delegerede forordninger (EU) 2024/1773 og 2024/1774: kundens politik om kontrakter om kritiske eller vigtige funktioner, inklusive due diligence på dens leverandører, og dens værktøjer og processer til IKT-risikostyring.
- 13. marts 2024
Delegeret forordning (EU) 2024/1772: de seks klassificeringskriterier og de væsentlighedstærskler, der gør en IKT-relateret hændelse større, blandt dem to timers nedetid for en tjeneste, der understøtter en kritisk eller vigtig funktion.
- 23. oktober 2024
Delegeret forordning (EU) 2025/301 og gennemførelsesforordning (EU) 2025/302: indhold, frister og skema for den første underretning, den foreløbige rapport og den endelige rapport om en større hændelse.
- 29. november 2024
Gennemførelsesforordning (EU) 2024/2956: standardskabelonerne for det informationsregister, hvori enhver leverandørkontrakt registreres og rapporteres.
- 17. januar 2025
Forordningen finder anvendelse (artikel 64): enhver ny kontrakt om IKT-tjenester indeholder klausulerne i artikel 30, og registrene indgives.
- 13. februar 2025
Delegeret forordning (EU) 2025/1190: hvilke finansielle enheder der kører trusselsbaserede penetrationstest, faserne, testerne og den fælles test, en leverandør må køre for flere enheder.
- 24. marts 2025
Delegeret forordning (EU) 2025/532: hvad kunden vurderer, når en leverandør giver en tjeneste, der understøtter en kritisk eller vigtig funktion, i underleverance.
Tre værktøjer, og standarden bag due diligence
- Gratis tjekHvilken side af DORA I er på, og hvad den side bærer(på engelsk)Tre svar, læst af den afgørelse, portalen kører. En finansiel enhed bærer registret og hændelsesindberetningerne; en leverandør bærer klausulerne i kundernes kontrakter.
- DokumentgeneratorKlausulerne i artikel 30, med en status for hverDe 9 klausuler i enhver kontrakt, de 6 for en kritisk eller vigtig funktion og de 12 underentreprisevilkår i delegeret forordning (EU) 2025/532, ordret på dit sprog, hver med de ISO 27001-registreringer, der besvarer den; en status og en note pr. klausul, skrevet som det dokument, der sendes tilbage.
- DokumentgeneratorRegistret over oplysninger, som dit databladHver kunde indberetter de samme skemaer om dig. De kolonner, der er fakta om udbyderen og tjenesten, med deres koder og navne fra gennemførelsesforordningen, besvaret én gang og skrevet som det blad, der følger med kontrakten.
- DokumentgeneratorLeverandørspørgeskemaet, skrevet af forordningenTil den finansielle enheds side: de 21 punkter i delegeret forordning (EU) 2024/1773, som en politik skal få den til at spørge en leverandør om, med forordningens ord, samlet til spørgeskemaet med de sikkerhedselementer og revisionsmetoder, enheden bruger, og det bevis, et ISO 27001-system frembringer under hvert punkt.
- GuideISO 27001, den standard, due diligence spørger efterArtikel 28, stk. 5, gør passende informationssikkerhedsstandarder til en betingelse for overhovedet at indgå kontrakt; de 93 foranstaltninger i bilag A og klausulregistret er det svar, en kundes spørgeskema forventer.
- GuideForanstaltningerne i bilag A, én side hverHver foranstaltning med sit formål og det bevis, den frembringer, på seks sprog; klausultjeklisten henviser til dem ved reference.
- KoblingNIS2 afbildet på ISO 27001En banks leverandør er ofte selv en NIS2-enhed; gennemførelsesforordningens afsnit mod de samme foranstaltninger.
Hver gratis skabelon på én side
9 artikler, fra primærkilderne
- ArtikelDORA for en softwareleverandør: kontraktklausulerne efter artikel 30, som din bankkunde sender, informationsregistret, du kommer til at stå i, og hvad ISO 27001 allerede besvarerSiden den 17. januar 2025 styrer enhver bank, forsikringsselskab, investeringsselskab og betalingsinstitut i Unionen sine softwareleverandører efter forordning (EU) 2022/2554, DORA.
- ArtikelDORA's nitten typer af IKT-tjenester, S01 til S19: hvilken et SaaS-produkt er, hvad registret over oplysninger fastholder om den, og hvorfor én kontrakt kan blive flere rækkerHver IKT-tjeneste, som en bank, et forsikringsselskab eller et betalingsinstitut køber, registreres i dets register over oplysninger under en af nitten koder, S01 til S19, fra bilag III til gennemførelsesforordning (EU) 2024/2956.
- ArtikelUnderleverandører under DORA, RTS 2025/532: ti betingelser jeres kunde tjekker, tolv vilkår jeres kontrakt bærer, en varslingsfrist før I skifter underleverandørI kraft siden den 22. juli 2025 for enhver IKT-tjeneste, der understøtter en kritisk eller vigtig funktion: delegeret forordning (EU) 2025/532 giver kunden ti betingelser at vurdere, før underleverance tillades, tolv vilkår kontrakten derefter bærer, fra jeres ansvar for underleverandørens ydelse til kundens opsigelsesrettigheder, og en varslingsfrist før enhver væsentlig ændring af en underleverandør.
- ArtikelDin banks DORA-leverandørpolitik, RTS 2024/1773: de seks due diligence-spørgsmål, de fem kilder til sikkerhed, de otte betingelser for at acceptere dit ISO 27001-certifikat i stedet for en revision, og de fem rapporter, du kommer til at skyldeHver finansiel enhed i Unionen har en skriftlig politik for sine kontrakter om IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og delegeret forordning (EU) 2024/1773 siger, hvad den politik skal indeholde, i kraft siden den 15. juli 2024.
- ArtikelNår dit nedbrud bliver din bankkundes større hændelse: DORA's seks kriterier, tærsklen på to timers nedetid i RTS 2024/1772, fristerne på fire timer, 24 timer, 72 timer og én måned i RTS 2025/301, og de fakta, din kunde får brug for fra digEn finansiel enhed skal indberette en større IKT-relateret hændelse til sin tilsynsmyndighed inden for fire timer efter klassificeringen og senest 24 timer efter, at den blev bekendt med den, følge op inden for 72 timer og afslutte inden for én måned.
- ArtikelDe ni steder, hvor din bankkundes IKT-risikorammeværk rækker ind i dit produkt, RTS 2024/1774: slutdatoer for support, sårbarhedsrapporter og sporing af biblioteker, indstillinger den ikke må omgå, kildekode testet før produktion, navngivne konti til dine medarbejdere, og dine hændelser som dens alarmerDelegeret forordning (EU) 2024/1774, i kraft siden den 15. juli 2024, fastsætter det IKT-risikostyringsrammeværk, hver finansiel enhed kører under DORA, og ni af dens artikler nævner tredjepartsudbyderen af IKT-tjenester.
- ArtikelTrusselsbaserede penetrationstest under DORA, fra leverandørens side: hvornår din bankkundes red team må ind i dine produktionssystemer, testen på 12 uger i RTS 2025/1190, den fælles test, du kan køre i stedet, og hvad kontrakten allerede sigerArtikel 26 i DORA lader de største finansielle enheder køre en trusselsbaseret penetrationstest på produktionssystemer mindst hvert 3. år, som dækker de kritiske eller vigtige funktioner, de har udliciteret, og artikel 30, stk. 3, litra d), sætter leverandørens deltagelse i kontrakten.
- ArtikelISO 27001 vs. SOC 2 i Europa: hvad købere faktisk spørger efterSælger I i Europa, så få ISO 27001: EU-udbud nævnte den 3.405 gange på et år, mod 104 for SOC 2, og den førte i hver eneste af de tolv måneder bag det tal.
- ArtikelCRA eller NIS2: Hvilken gælder for en softwarevirksomhed, og kan det være begge?Cyber Resilience Act regulerer produkter, der bringes i omsætning; NIS2 regulerer enheder, der leverer tjenester.
Hvad det kræver af jer
158 krav i 4 grupper
Forpligtelser
112- 5(1) Indfør en intern ledelsesramme for IKT-risiko
- 5(2) Ledelsesorganet godkender rammen og er ansvarlig for den
- 5(3) Udpeg en til at overvåge jeres IKT-kontrakter
og 109 mere
Pligter
4- RTS 5(1) Informér kunden om underleveranceændringer tidligt nok til at vurdere
- RTS 5(3) Ændr først underleverancen efter godkendelse eller udebleven indsigelse
- 26(3) Deltag i TLPT'en, når omfanget omfatter jer
og 1 mere
Klausuler
39- 31(5) Reagér på udpegningen inden for seks uger
- 31(11) Anmod om at blive udpeget som kritisk, hvis I ønsker det
- 35(1) Kend den ledende tilsynsførendes beføjelser
og 36 mere
Frister
3- 301-5(1)(a) Understøt den første rapport inden for fire timer efter klassificeringen
- 301-5(1)(b) Understøt den foreløbige rapport inden for 72 timer efter den første
- 301-5(1)(c) Understøt den endelige rapport inden for en måned efter den foreløbige
13 af de 15 klausuler besvares af en ISO 27001-registrering
StandardOS fører de ISO 27001-registreringer, en finansiel kundes due diligence og revisionsret beder om, i ét arbejdsområde, på seks sprog: leverandørregister, backups og gendannelsestest, hændelsesproces, kontinuitetsplan, interne audits, erklæringen om anvendelighed.
Datoerne er læst fra forordningen og de nævnte retsakter og aldrig tastet på denne side. Dette er ikke juridisk rådgivning, og forordningen er den tekst, der skal læses: Forordning (EU) 2022/2554.
Se også:ArtiklerGratis værktøjer