DORA Eestis 2026: Finantsinspektsioon ja digitaalne tegevuskerksus

DORA määrust kohaldatakse Eestis alates 17.01.2025 ilma üleminekuajata ja selle täitmise üle teostab järelevalvet Finantsinspektsioon. Määrus puudutab suurt osa finantssektorist: panku, kindlustusandjaid, investeerimisühinguid, makseasutusi ning neile teenuseid osutavaid IKT-tarnijaid. Finantsinspektsioon keskendub järelevalves IKT- ja infoturbe riskide juhtimisele, intsidentidest teavitamise protsessidele ja IKT-teenusepakkujate järelevalvele. Keskne kohustus on hoida standarditud teaberegistrit; Finantsinspektsioon kogub selle määruse artikli 28 lõike 3 alusel taotluse korral vähemalt kord aastas. See juhend selgitab, keda DORA puudutab ja mida see nõuab.

Mis on DORA?

DORA (Digital Operational Resilience Act, määrus 2022/2554) ühtlustab finantssektori digitaalse tegevuskerksuse nõuded kogu EL-is. Kuna tegemist on määrusega, on see otsekohalduv ega vaja siseriiklikku ülevõtmist – erinevalt NIS2 direktiivist. Eestis on Finantsinspektsioon andnud järelevalvealustele juhiseid kohaldamise kohta ning korraldanud teabepäevi ja teaberegistri harjutuse. Üldpilt kohalduvast õigusest: andmekaitse Eestis.

DORA tugineb viiele sambale: IKT-riskijuhtimine, IKT-intsidentide haldus ja aruandlus, digitaalse tegevuskerksuse testimine, kolmanda osapoole IKT-riskide haldus ja teabe jagamine ohtudest.

Keda DORA Eestis puudutab?

DORA kohaldub laialt finantssektori üksustele. Eestis mõjutab see suurt hulka Finantsinspektsiooni järelevalvealuseid:

Kriitilised IKT-teenusepakkujad kuuluvad eraldi EL-i tasandi järelevalve alla, mida koordineerivad Euroopa järelevalveasutused. See on uus: esimest korda võivad ka finantssektorivälised tehnoloogiatarnijad sattuda otsese järelevalve alla.

Peamised kohustused

Uus ja töömahukas kohustus on teaberegister (register of information), mis tuleb esitada Finantsinspektsioonile standardvormis ja mis katab kõik IKT-teenuslepingud. Finantsinspektsioon on juba korraldanud teaberegistri esitamise harjutuse, et üksused saaksid vormi ja andmenõuded selgeks. Olulistele üksustele – nagu suurpangad ja turuinfrastruktuur – nõutakse ohupõhist TLPT-tungimistestimist.

DORA, NIS2 ja GDPR

Finantsüksuse puhul tuleb eristada DORA, NIS2 ja GDPR-i kohaldamisala. DORA artikli 1 lõike 2 ning NIS2 artikli 4 järgi asendavad DORA vastavad IKT-riskijuhtimise ja tõsistest IKT-intsidentidest teatamise nõuded NIS2 samu kohustusi DORA-ga hõlmatud finantsüksuse jaoks. Seega ei pea ta sama DORA intsidenditeadet lihtsalt dubleerima RIA-le: Finantsinspektsioon edastab talle saadetud teateid pädevuse järgi ka RIA-le. Kui juhtum on ühtlasi isikuandmete rikkumine, tuleb eraldi hinnata GDPR-i artiklite 33 ja 34 kohustusi Andmekaitse Inspektsiooni ning puudutatud inimeste ees. Vaata NIS2 Eestis, rikkumisest teavitamine ja tööriistade võrdlust parim DORA tarkvara.

DORA viis sammast lähemalt

DORA tugineb viiele teineteist toetavale sambale, mis koos moodustavad finantsüksuse digitaalse tegevuskerksuse raamistiku.

1. IKT-riskijuhtimine. Üksusel peab olema kirjalik IKT-riskijuhtimise raamistik, mille kõrgeim juhtkond kinnitab ja mida ta jälgib. Raamistik katab kaitse, avastamise, taastumise ja pideva parendamise.
2. IKT-intsidentide haldus ja aruandlus. Intsidendid tuleb avastada, klassifitseerida raskusastme järgi ja olulistest teavitada Finantsinspektsiooni tähtaja jooksul.
3. Digitaalse tegevuskerksuse testimine. Korrapärane testimisprogramm, mis olulistel üksustel sisaldab ohupõhist tungimistestimist (TLPT).
4. Kolmanda osapoole IKT-riskide haldus. IKT-tarnijalepingute ja -sõltuvuste haldus ning oluliste tarnijate seire.
5. Teabe jagamine ohtudest. Vabatahtlik küberohuteabe jagamine üksuste vahel.

Teaberegister praktikas

DORA töömahukaim uus kohustus on standarditud teaberegister, mida tuleb ajakohastada ja Finantsinspektsiooni taotluse korral esitada. Register koondab IKT-teenuste lepingulised kokkulepped ja nende põhiandmed:

• lepingupartnerid ja IKT-teenusepakkujad
• teenuse tüüp ja selle toetatavad äritegevused
• funktsiooni kriitilisus ja võimalikud alltöövõtuahelad
• lepingu kestus, ülesütlemise tingimused ja andmete asukoht

Registri käsitsi haldamine on töömahukas, sest teave hajub eri lepingutesse ja süsteemidesse. Just siin annab eritarkvara olulise ajavõidu.

Kuidas DORA-ks valmistuda

DORA kohaldamine algas 17.01.2025 ilma üleminekuajata, mistõttu ettevalmistus on enamikul üksustel juba käimas. Praktilised sammud:

1. Kohaldatavus. Kontrolli, kas kuulud DORA üksuseliikide hulka ja kas sulle kohaldub kergendatud raamistik.
2. IKT-riskijuhtimise raamistik. Koosta või ajakohasta kirjalik raamistik, mille juhtkond kinnitab.
3. Teaberegister. Koonda kõik IKT-lepingud standarditud registrisse Finantsinspektsioonile esitamiseks.
4. Intsidendiprotsess. Ehita klassifitseerimis- ja teavitamisprotsess Finantsinspektsioonile.
5. Testimisprogramm. Kavanda korrapärane testimine ja olulistele üksustele TLPT.
6. Kolmanda osapoole haldus. Ajakohasta IKT-lepingud DORA nõuetega vastavaks.

Kolmanda osapoole IKT-riskid ja lepingud

Üks DORA keskseid eesmärke on hallata finantsüksuste sõltuvust välistest IKT-teenusepakkujatest. Üksus peab tundma kogu oma IKT-tarnijaahelat, hindama kontsentratsiooniriski – näiteks liigset sõltuvust ühest pilveteenusest – ja tagama, et lepingud sisaldavad DORA nõutud tingimusi. Nende hulka kuuluvad teenustasemed, infoturbenõuded, auditiõigused, intsidentidest teavitamine ning hallatud väljumis- ja üleminekukorraldus teenuse lõppedes. Oluline on, et DORA kohaselt jääb vastutus digitaalse tegevuskerksuse eest finantsüksusele endale, isegi kui tehniline teostus on välise tarnija käes. See muudab tarnijate pideva seire püsivaks kohustuseks, mitte ühekordseks lepingukontrolliks.

Järelevalve ja sanktsioonid Eestis

Finantsinspektsioon teostab DORA järelevalvet osana finantsüksuste üldisest järelevalvest. Vahendite hulka kuuluvad juhised, selgitusnõuded, kontrollid ja haldussanktsioonid. Algfaasis keskendub järelevalve IKT-riskijuhtimise raamistiku olemasolule, teaberegistri esitamisele ja intsidentidest teavitamise toimivusele. Kuna määrust kohaldatakse otse ilma üleminekuajata, eeldatakse, et üksused olid nõuetele vastavad juba 17.01.2025. Järelevalve on riskipõhine: see keskendub kõige tugevamalt üksustele, mille häire mõjutaks kõige laiemalt finantssüsteemi stabiilsust.

Intsidentide klassifikatsioon ja raporteerimine

DORA nõuab, et IKT-intsidendid klassifitseeritakse ühtsete kriteeriumite järgi ja et olulistest teavitatakse Finantsinspektsiooni astmeliselt. Klassifikatsiooni mõjutavad muu hulgas mõjutatud klientide ja vastaspoolte arv, intsidendi kestus, geograafiline ulatus, andmete kaotus ning majanduslikud ja mainelised tagajärjed. Teavitusmenetlus järgib astmelist mudelit: esialgne teavitus, vaheraport ja lõpparuanne.

Praktikas on Eesti finantsüksusele oluline, et intsidendiprotsess ja rikkumiste register oleksid eelnevalt paigas ja katsetatud – intsidendi hetkel pole aega protsessi ehitada. DORA teate koostamise kõrval tuleb isikuandmeid puudutava juhtumi puhul teha eraldi GDPR-i riskihinnang ja vajaduse korral teatada rikkumisest Andmekaitse Inspektsioonile. Finantsinspektsioonile esitatud DORA teate edastamine RIA-le ei asenda võimalikku GDPR-i teadet AKI-le.

DORA ja proportsionaalsus: mida väiksem üksus peab tegema

DORA kohaldub laialt, kuid mitte kõigile ühtemoodi. Määrus järgib proportsionaalsuse põhimõtet: meetmete korral tuleb arvestada üksuse liiki, suurust ja riskiprofiili. Artikli 16 eraldi lihtsustatud IKT-riskijuhtimise raamistik ei kohaldu siiski igale mikroettevõtjale. See on ette nähtud artiklis nimetatud liikidele, sealhulgas väikestele ja mitteseotud investeerimisühingutele, teatavatele erandi alusel tegutsevatele makse- ja e-raha asutustele ning väikestele tööandjapensioni kogumisasutustele. Kontrolli oma täpset õiguslikku liiki, tegevusluba ja erandi alust; töötajate arvust üksi ei piisa.

Kergendatud kord ei vabasta siiski põhikohustustest: teaberegister tuleb esitada, intsidentidest teavitada ja IKT-riske hallata. Erinevus on pigem meetmete sügavuses ja dokumentatsiooni mahus. Eesti väiksem finantsüksus peaks seetõttu esmalt selgitama, milline tase talle kohaldub, enne kui tööriista valib – vaata parim DORA tarkvara. Ametlik juhis: Finantsinspektsioon.

Kuidas DORA erineb NIS2-st Eestis

Finantsüksusele on oluline mõista, miks teda puudutab DORA, mitte NIS2, kuigi mõlemad käsitlevad küberturvalisust. Erinevus on põhimõtteline:

DORA on NIS2 suhtes finantssektori eriregulatsioon. DORA-ga hõlmatud finantsüksusele ei rakendata vastavaid NIS2 IKT-riskijuhtimise, intsidentidest teatamise ega nende kohustuste järelevalve norme paralleelse kohustusena. See on sätestatud DORA artikli 1 lõikes 2 ja tuleneb NIS2 artiklist 4; Euroopa Komisjoni selgitus käsitleb seda piiritlemist sõnaselgelt. Muud ülesanded, näiteks GDPR-i isikuandmete rikkumisest teatamine, jäävad eraldi. Kui üksus pole DORA artikli 2 järgi hõlmatud, tuleb NIS2 kohaldatavust hinnata omal alusel. Vaata ka NIS2 Eestis.

Ajakava ja järgmised sammud

Kuna DORA-d kohaldatakse Eestis otse ilma üleminekuajata, ei ole vastavus enam tuleviku küsimus, vaid jooksev kohustus. Finantsinspektsioon on 2025. aastal korraldanud teaberegistri esitamise harjutuse ja teabepäevi, mis annavad üksustele konkreetse aluse vormi ja andmenõuete täitmiseks. Praktiline järeldus: üksus, kes ei ole IKT-riskijuhtimise raamistikku ja teaberegistrit veel korda saanud, peaks selle esmajärjekorras lõpetama, sest järelevalve eeldab vastavust juba 17.01.2025 seisuga.

Järgmised sammud olenevad üksuse suurusest ja seni tehtust. Väiksem üksus, kellele kohaldub kergendatud raamistik, peaks esmalt selgitama oma taseme ja seejärel keskenduma teaberegistrile ning intsidendiprotsessile. Suurem üksus peab lisaks kavandama korrapärase testimisprogrammi ja, kui kohaldub, ohupõhise TLPT-testimise. Kuna sama IKT-intsident võib käivitada ka GDPR-i teavitamiskohustuse, tasub intsidendiklassifikatsioon ühtlustada juba praegu.

Korduma kippuvad küsimused

Millal DORA Eestis jõustus?

DORA määrust kohaldatakse alates 17.01.2025 ilma üleminekuajata. Määrus jõustus 17.01.2023 ja kohaldamine algas kahe aasta pärast.

Kes teostab DORA järelevalvet Eestis?

Finantsinspektsioon teostab järelevalvet finantssektori üksuste üle. Järelevalve keskendub IKT-riskijuhtimisele, intsidentidest teavitamisele ja IKT-teenusepakkujate haldusele. Kriitilised IKT-teenusepakkujad kuuluvad EL-i tasandi järelevalve alla.

Mis on DORA teaberegister?

See on standarditud loetelu IKT-teenuste kasutamist puudutavatest lepingulistest kokkulepetest. Üksus peab registrit ajakohasena hoidma ja esitama selle pädeva asutuse nõudmisel kohaldatavas vormis. Eraldi tarkvara võib aidata, kuid määrus ei nõua konkreetset toodet.

Millised on DORA viis sammast?

IKT-riskijuhtimine, IKT-intsidentide haldus ja aruandlus, digitaalse tegevuskerksuse testimine, kolmanda osapoole IKT-riskide haldus ning teabe jagamine ohtudest.

Kas DORA puudutab väikeseid finantsüksusi?

Jah, kuid proportsionaalsuse põhimõttel. Artikli 16 lihtsustatud IKT-riskijuhtimise raamistik kehtib määruses nimetatud üksuseliikidele, mitte automaatselt igale mikroettevõtjale. Kohaldamisala on siiski lai.

Kohaldatavuse kontroll enne tööplaani

Esimene otsus ei ole tarkvara valik, vaid üksuse õiguslik liigitus. DORA artiklis 2 on pikk loetelu finantssektori ettevõtjatest ning erandid. Kontrolli juriidilise isiku tegevusluba, tegelikke teenuseid ja gruppi kuulumist. Kindlustusvahendaja, makseasutus või krüptovarateenuse osutaja ei pruugi saada täpselt samasugust kontrollinimekirja. Ka IKT-teenusepakkuja staatus erineb finantsüksuse staatusest: üksnes pilveteenuse müümine pangale ei tee tarnijast panka. Kriitilise kolmandast isikust IKT-teenuseosutaja määramine ning EL-i tasandi järelevalve on omaette menetlus. Lepingu sõlmija peaks siiski nõudma tarnijalt piisavat teavet, et täita enda DORA kohustused.

Pärast kohaldatavuse kinnitamist tee lühike vastavuskaart. Märgi iga nõude juurde õiguslik alus, vastutav juht, tõend ja järgmine ülevaatus. Kaardil peaks olema eraldi veerg IKT-riskijuhtimise raamistikule, avastamisele, intsidentide klassifitseerimisele, taastamisele, testimisele ning tarnijasuhetele. Kui mõni kontroll on grupi keskuses, kirjuta ka kohaliku üksuse juurdepääs tulemusele ja eskalatsiooniteele. „Grupp tegeleb sellega” ei näita järelevalvele, kuidas Eesti üksus vajaliku otsuse teeb. Finantsinspektsiooni DORA koondleht aitab leida kasutatavad vormid ja esitamise juhised.

Teaberegister ei ole tavaline hankijate loend

Artikli 28 register kirjeldab IKT-teenuse kasutamise lepingulisi kokkuleppeid ja nende suhteid äritegevusega. Tavalises ostuarvete tabelis võib küll olla tarnija nimi ja summa, kuid puuduvad kriitilist või olulist funktsiooni toetav teenus, alltöövõtu ahel, asukoht või väljumise eeldused. Alusta lepingust, seejärel lisa iga osutatav teenus, seda kasutav funktsioon ja eest vastutav isik. Kui sama tarnija osutab kolme teenust, ära suru neid ühte seletamatusse lahtrisse. Kui üks teenus toetab mitut funktsiooni, säilita seosed. Võrdle lõplikku registrit lepinguregistri, maksete ja pilvekonto loendiga; erinevused on kontrollitavad küsimused, mitte automaatselt õigusrikkumised.

Finantsinspektsioon selgitab, et DORA artikli 28 lõike 3 alusel võib pädev asutus taotleda täielikku või osalist registrit vähemalt kord aastas. See tähendab pidevat korrashoidu ja etteantud vormingu kasutamist, mitte ainult ühekordset faili projekti lõpus. Kui leping lõpeb või kriitiline funktsioon muutub, peab vastutav töötaja teadma, kes kirje üle vaatab. Hoia ka muudatuse põhjus ja tõend: versioonide võrdlus aitab lahendada küsimuse, miks eelmise aasta esituses oli teistsugune asukoht või tarnijaahel. Kontrolli alati esitamise aasta, võrdluskuupäev ja tehniline vorm enne eksporti, sest varasema harjutuse fail ei pruugi olla järgmise kogumise juhis.

Intsidendi esimene tund ja kolm hilisemat otsust

IKT-intsidendi puhul tuleb eristada tuvastamist, juhtumi juhtimist, DORA järgi klassifitseerimist ja teavitamist. Esimene analüütik ei pea teadma kõiki põhjuseid, kuid ta peab talletama algusaja, mõjutatud süsteemid, teenused, kliendigrupid ning seni nähtud mõjud. Klassifikatsiooni tegija hindab määruse ja rakendusstandardite kriteeriume. Oluliseks liigitatud IKT-intsidendist esitatakse esialgne teade, vahearuanne ja lõpparuanne kohaldatavate tähtaegade järgi. Harjutuses tuleb kontrollida, kas kontaktisikud, ligipääs vormile ja asendajad töötavad ka nädalavahetusel. Paberi peal õigeks ajaks kavandatud teade ei aita, kui esitajal puudub ligipääs või volitus.

Samal ajal tuleb isikuandmete puhul hinnata GDPR-i. Turvajuhtum ei ole automaatselt isikuandmetega seotud rikkumine, kuid isikuandmete kättesaadavuse kaotus võib seda olla ka ilma tõendatud väljaviimiseta. Kui rikkumine võib ohustada füüsiliste isikute õigusi ja vabadusi, lähtutakse artikli 33 järelevalveasutusele teatamise tingimustest; kõrge riski korral tuleb eraldi hinnata artikli 34 teavitust inimestele. Ühine sündmuse ajatempel on kasulik, kuid DORA ja GDPR võivad kasutada erinevaid teadasaamise ja kvalifitseerimise küsimusi. Lisa andmekaitsealane mõjuhinnang uute süsteemide kontrollnimekirja.

Tarnijalepingu läbiproovimine

Võta üks päris pilve- või tarkvaraleping ja lase kolmel inimesel selle alusel vastata: kuidas tarnija juhtumist teatab, milliseid alltöövõtjaid ta kasutab ning kuidas andmed ja teenus väljumisel üle antakse? Kui vastus on ainult müügiesitluses, tuleb lepingut ja töökorraldust täpsustada. DORA artiklid 28–30 käsitlevad kolmandast isikust tuleneva IKT-riski juhtimist ja lepingute sisu. Kriitilist või olulist funktsiooni toetav leping vajab üksikasjalikumat kontrolli kui väheoluline lisateenus. Hindamine hõlmab ka kontsentratsiooni: kahel nimeliselt erineval tarnijal võib olla sama pilveinfrastruktuur, piirkond või alltöövõtja.

Harjuta väljumist realistlikult. Millises vormis saab süsteemi andmed? Kui kaua jääb teenus paralleelselt tööle? Kes kontrollib, et taastatud andmed on täielikud? Kes eemaldab ligipääsud? Piiratud proovikatse annab rohkem teavet kui abstraktne „exit plan”. Kui tarnija käsitleb isikuandmeid finantsüksuse nimel, vaata samal ajal üle volitatud töötleja leping; DORA lepingunõuded ja GDPR-i artikkel 28 täiendavad eri õiguslikke küsimusi.

Juhtkonnale näidatav tõend

Juhtkond vajab perioodilist pilti peamistest sõltuvustest ja parandamata puudustest. Näita näiteks kriitilisi teenuseid ilma katsetatud taasteplaanita, tarnijate kontsentratsiooni, hilinenud lepingukontrolle ja viimase intsidendiharjutuse tulemusi. Lisa iga puuduse juurde omanik ja parandamise tähtaeg. Finantsinspektsiooni järelevalve jaoks on oluline mõista, kuidas juhtkond IKT-riske käsitleb, mitte üksnes see, et ta kinnitas korra ühe korra. Mõistlik tõendite komplekt seob otsuse riskihinnangu, meetme, testi tulemuse ja järelkontrolliga.

Nii on DORA praktiline töö järjepidev tsükkel: määra kohaldatavus, kaardista teenused, hinda riske, pane kontrollid tööle, harjuta taastamist ning uuenda registrit ja lepinguid tegelike muutuste järgi. See aitab ka eristada DORA kohustusi NIS2 ja GDPR küsimustest, ilma et ükski otsus kaoks üldisesse „küberturvalisuse” tabelisse.

Kontrollküsimused enne aastast ülevaatust

Kui tegevusloa tingimused, teenused või kontsernistruktuur on muutunud, tuleb kohaldatavuse hinnang uuesti läbi teha. Võrdle värsket organisatsiooniskeemi artikli 2 üksuseliikidega ning märgi üles põhjendus, miks kasutad tavalist või lihtsustatud raamistikku. Seejärel vali üks kriitilist funktsiooni toetav teenus ja jälgi selle teekonda lepingust teaberegistrisse, riskihinnangusse, varuplaani ja viimase testini. Puuduv seos näitab parandamise vajadust täpsemalt kui üldine väide „DORA vastavus on saavutatud”. Vaata üle ka juhatuse protokoll: kas riskile on määratud vastutaja, tähtaeg ja rahastus? Kui intsidendiharjutuses ilmnes, et teavituse koostaja ei saa nädalavahetusel tõenditele ligi, peab järgmine harjutus just seda puudust kontrollima. Nii muutub iga auditijäreldus konkreetseks tegevuseks, mida saab järgmises ülevaatuses mõõta.

Kokkuvõte

DORA määrust kohaldatakse Eestis alates 17.01.2025 ja selle üle teostab järelevalvet Finantsinspektsioon. Peamised kohustused on IKT-riskijuhtimine, teaberegister, intsidentidest teavitamine ja tegevuskerksuse testimine. DORA-ga hõlmatud finantsüksus peaks dokumenteerima ka NIS2 erireegli ulatuse ja isikuandmeid puudutava juhtumi eraldi GDPR-i riskihinnangu. Üks ajajoon ja selgelt määratud vastutajad aitavad koostada õiged teated õigetele asutustele. Vaata ka NIS2 Eestis ja sanktsioonid AKI trahvid 2025.

Viimati üle vaadatud: oktoober 2026.