Conformitatea DORA în România: ce trebuie să facă entitățile financiare

Spre deosebire de NIS2, DORA nu a așteptat transpunerea națională. Regulamentul privind reziliența operațională digitală — Regulamentul (UE) 2022/2554 — se aplică direct entităților financiare din întreaga UE încă din 17 ianuarie 2025. Ce a adăugat România în 2026 este aplicarea: Ordonanța de urgență nr. 14/2026 desemnează autoritățile competente și le dă un regim de sancționare. Pentru entitățile financiare din România, DORA nu mai este un exercițiu de pregătire — este o obligație supravegheată, cu examinatori activi.

Această prezentare acoperă cine intră în domeniul de aplicare, ce cer cei cinci piloni, cum funcționează supravegherea în România și unde să vă concentrați dacă programul are decalaje.

Ce este DORA

DORA consolidează cerințele UE privind reziliența operațională digitală a sectorului financiar într-un singur regulament direct aplicabil. Premisa este directă: soliditatea unei entități financiare depinde astăzi de reziliența sa TIC la fel de mult ca de capital, așa că riscul TIC este reglementat cu aceeași seriozitate — reguli armonizate, raportare obligatorie, obligații de testare și consecințe de supraveghere.

Cine intră în domeniul de aplicare

DORA acoperă un set deliberat larg de entități financiare: instituții de credit, instituții de plată și de monedă electronică, firme de investiții, locuri de tranzacționare, asigurători, reasigurători și intermediari în asigurări, societăți de administrare și administratori de fonduri, furnizori de servicii de criptoactive și altele — împreună cu furnizorii terți de servicii TIC care le deservesc, cei critici intrând sub supraveghere directă la nivel UE. Proporționalitatea ajustează profunzimea obligațiilor la dimensiune și profil de risc, dar puține entități financiare reglementate scapă complet de regulament.

Cei cinci piloni

1. Gestionarea riscului TIC – un cadru documentat, asumat de organul de conducere: identificarea funcțiilor critice, protecție, detectare, răspuns și recuperare, bucle de învățare și răspundere la nivel de consiliu. Organul de conducere trebuie să aprobe cadrul și să îl înțeleagă — responsabilitatea nu poate fi delegată către IT sau către furnizori.
2. Raportarea incidentelor TIC – incidentele trebuie clasificate după criterii definite, iar incidentele majore raportate autorității competente în etape (inițial, intermediar, final), în termenele stabilite de standardele tehnice. Amenințările cibernetice semnificative pot fi raportate voluntar.
3. Testarea rezilienței operaționale digitale – un program anual de testare proporțional pentru toate entitățile din domeniul de aplicare și teste de penetrare bazate pe amenințări (TLPT) cel puțin o dată la trei ani pentru entitățile desemnate.
4. Riscul terților TIC – pilonul cel mai subestimat: un registru de informații complet privind toate acordurile contractuale cu furnizorii TIC (transmis autorităților, primele exerciții derulate în 2025), clauze contractuale obligatorii, analiza riscului de concentrare și strategii de ieșire pentru serviciile critice.
5. Schimbul de informații – acorduri voluntare de schimb de informații despre amenințări cibernetice între entitățile financiare.

Supravegherea în România: OUG nr. 14/2026

România și-a completat cadrul de aplicare a DORA prin Ordonanța de urgență nr. 14/2026, care distribuie competența pe liniile prudențiale existente: Banca Națională a României (BNR) pentru instituțiile de credit, instituțiile de plată și de monedă electronică, respectiv Autoritatea de Supraveghere Financiară (ASF) pentru entitățile din asigurări, investiții și piața de capital — cu mecanisme de cooperare cu DNSC pe aspectele de securitate cibernetică. Ordonanța stabilește amenzi administrative de până la 10% din cifra de afaceri anuală sau 23.000.000 RON, oricare este mai mare, alături de răspunderea individuală a membrilor consiliului și a conducerii superioare.

Două consecințe practice. În primul rând, supraveghetorul dumneavoastră DORA este autoritatea pe care o cunoașteți deja — așteptați-vă la întrebări despre reziliența TIC în cadrul interacțiunii obișnuite de supraveghere, nu din partea unei agenții noi. În al doilea rând, răspunderea organului de conducere din DORA este acum susținută de sancțiuni naționale care ajung la persoane fizice, ceea ce tinde să concentreze atenția consiliului.

DORA și NIS2: care vi se aplică?

DORA este lex specialis pentru entitățile financiare: în privința gestionării riscului TIC și a raportării incidentelor are prioritate față de NIS2. În practică, grupurile financiare din România se întind adesea peste ambele regimuri — entitatea financiară reglementată răspunde conform DORA, în timp ce o filială de tehnologie, o companie de servicii partajate sau o altă entitate din grup poate intra sub NIS2 prin OUG nr. 155/2024. Cartografierea entităților pe regimuri, cu suprapunerile și diferențele lor, este prima decizie structurală a unui program de conformitate de grup.

Unde au de regulă decalaje programele

La un an și jumătate de la intrarea în aplicare, punctele slabe recurente pe care le vedem sunt consecvente:

1. Registrul de informații – inventare incomplete de furnizori, câmpuri contractuale lipsă și niciun proces de actualizare a registrului între exercițiile de transmitere.
2. Disciplina clasificării incidentelor – echipe care pot răspunde la incidente, dar nu le pot clasifica după criteriile DORA suficient de repede pentru termenele de raportare etapizate.
3. Remedierea contractelor – contracte TIC vechi, fără clauzele obligatorii DORA, în special drepturile de audit și acces, transparența sub-externalizării și asistența la ieșire.
4. Testare care dovedește ceva – programe de testare care există pe hârtie, dar nu produc nici tracțiune de remediere, nici dovezi pe care un supraveghetor le-ar accepta.
5. Asumarea de către consiliu – cadre aprobate formal, dar neînțelese cu adevărat de organul de conducere care poartă acum răspundere personală pentru ele.

Un parcurs pragmatic

Porniți de la criticitate, nu de la documente: identificați funcțiile critice sau importante și activele și furnizorii TIC din spatele lor; evaluați cei cinci piloni față de această hartă; reparați mai întâi registrul de informații și pregătirea pentru raportarea incidentelor (sunt cele mai vizibile pentru supraveghetori); remediați contractele după un calendar ierarhizat pe risc; și construiți programul de testare astfel încât fiecare ciclu să producă corecții validate și dovezi. Pe tot parcursul, mențineți organul de conducere efectiv implicat — instruit, decident și documentat ca atare.

Cum vă poate sprijini Avencyx

Avencyx sprijină entitățile financiare din România pe întreg ciclul DORA: delimitare și analiză a decalajelor, cadre de gestionare a riscului TIC, registrul de informații și riscul terților, pregătirea clasificării și raportării incidentelor, testarea rezilienței — inclusiv teste de penetrare și simulare de atac — și detectare și răspuns, cu capabilitate de răspuns la incidente în spate. Activitatea este ancorată în Avencyx GRC și produce exact ce cere supravegherea în final: dovezi că reziliența este reală. Dacă DORA se află pe agenda consiliului dumneavoastră, contactați-ne.

Notă juridică

Acest articol este o prezentare generală, nu consultanță juridică. Obligațiile depind de tipul entității, de desemnare și de circumstanțe — verificați cerințele actuale în raport cu textele oficiale, cu autoritatea dumneavoastră competentă (BNR sau ASF) și cu consilieri calificați.