A modern pénzügyi szektor soha nem látott mértékben támaszkodik a digitális technológiákra és az információs és kommunikációs technológiai (ICT) szolgáltatásokra. Ez a fokozott digitalizáció, bár számos előnnyel jár, egyre nagyobb kockázatokat is rejt magában a kiberbiztonság és az operatív ellenállóképesség szempontjából. Egy-egy rendszerszintű zavar, adatvesztés vagy kibertámadás súlyos pénzügyi veszteségeket, reputációs károkat és a pénzügyi stabilitás megingását okozhatja. Az Európai Unió felismerve ezt a növekvő sebezhetőséget, megalkotta a digitális operatív ellenállóképességi törvényt, azaz a DORA rendeletet (Digital Operational Resilience Act), amelynek célja a pénzügyi szolgáltatások digitális ellenállóképességének megerősítése és egységes keretrendszer biztosítása az uniós tagállamokban.
A DORA rendelet egy átfogó jogszabály, amely arra kötelezi a pénzügyi entitásokat, hogy kezeljék az ICT kockázatokat, biztosítsák a zavartalan működést még súlyos zavarok esetén is, és hatékonyan reagáljanak a kiberincidensekre. A rendelet nem csupán a technológiai aspektusokra fókuszál, hanem kiterjed a szervezeti irányításra, a külső szolgáltatókkal való kapcsolattartásra és az információmegosztásra is. Célja, hogy egy harmonizált és következetes megközelítést teremtsen az EU-ban, elkerülve a tagállami szintű eltérő szabályozásokat, amelyek fragmentálhatják a piacot és növelhetik a megfelelési terheket.
A DORA bevezetése nem csupán egy újabb jogszabályi kötelezettséget jelent a pénzügyi intézmények számára, hanem egy paradigmaváltást is a digitális kockázatok kezelésében. Hangsúlyozza a proaktív megközelítés fontosságát a reaktív intézkedésekkel szemben, és előírja a folyamatos tesztelést és fejlesztést a digitális rendszerek ellenállóképességének biztosítása érdekében. Ez a cikk részletesen bemutatja a DORA rendelet célját, hatókörét, kulcsfontosságú pilléreit és a pénzügyi szektorra gyakorolt hatását, valamint iránymutatást ad a megfeleléshez szükséges lépésekhez.
Miért volt szükség a DORA rendeletre? A digitális sebezhetőség növekedése
Az elmúlt évtizedekben a pénzügyi szolgáltatások radikális átalakuláson mentek keresztül a digitalizáció térnyerésével. A bankok, biztosítótársaságok, befektetési alapok és fizetési szolgáltatók egyre inkább támaszkodnak összetett informatikai rendszerekre, felhőalapú szolgáltatásokra, mesterséges intelligenciára és más fejlett technológiákra. Ez a változás számos előnnyel jár: gyorsabb tranzakciók, szélesebb körű hozzáférés a szolgáltatásokhoz, innovatív termékek és alacsonyabb működési költségek. Ugyanakkor ezzel párhuzamosan jelentősen megnőtt a kiberkockázatoknak való kitettség is.
A pénzügyi szektor a kiberbűnözők kiemelt célpontja. A támadások egyre kifinomultabbá válnak, és magukban foglalhatnak zsarolóvírus-támadásokat, adathalászatot, DDoS-támadásokat, szoftverellátási lánc elleni támadásokat és belső fenyegetéseket. Egy sikeres támadás nemcsak az érintett intézményt károsíthatja, hanem a pénzügyi rendszer egészére is kiterjedő dominóhatást válthat ki, destabilizálva a gazdaságot. Gondoljunk csak arra, hogy egy nagyobb bank vagy egy kritikus fizetési rendszer leállása milyen súlyos következményekkel járna a mindennapi életre és a gazdasági működésre nézve.
Ezenkívül a pénzügyi entitások egyre inkább külső ICT szolgáltatókra támaszkodnak. Felhőszolgáltatók, szoftverfejlesztők, hálózati szolgáltatók – mindannyian létfontosságú szerepet játszanak a modern pénzügyi infrastruktúrában. Ez a külső függőség újabb kockázati dimenziót nyit meg, hiszen egyetlen harmadik fél szolgáltató zavara is érintheti több pénzügyi intézmény működését. Korábban a szabályozás nagyrészt a belső kockázatokra összpontosított, és kevésbé foglalkozott a külső, ellátási láncban rejlő sebezhetőségekkel.
A tagállami szintű szabályozások széttagoltsága szintén problémát jelentett. Míg egyes országok fejlett kiberbiztonsági keretrendszerekkel rendelkeztek, mások kevésbé voltak felkészültek. Ez a heterogén megközelítés gyengítette az uniós pénzügyi rendszer egészének ellenállóképességét, hiszen a leggyengébb láncszem határozza meg a teljes rendszer biztonságát. A DORA célja éppen ezen fragmentáció megszüntetése és egy egységes, koherens keretrendszer létrehozása, amely az EU egész területén alkalmazandó.
„A digitális átalakulás elkerülhetetlen, de vele együtt a digitális kockázatok is exponenciálisan növekednek. A DORA rendelet kulcsfontosságú lépés a pénzügyi szektor ellenállóképességének megerősítésében, biztosítva, hogy a technológiai innováció ne a biztonság rovására menjen.”
Összességében a DORA rendelet a pénzügyi szektor növekvő digitális sebezhetőségére, a kifinomult kiberfenyegetésekre és a szabályozási keretek hiányosságaira adott válasz. Célja, hogy egy robusztus és egységes keretrendszert biztosítson, amely képes kezelni a digitális kor kihívásait és megvédeni az uniós pénzügyi stabilitást.
A DORA rendelet célja és alapelvei
A DORA rendelet fő célja egyértelmű: a pénzügyi szektor digitális operatív ellenállóképességének megerősítése az Európai Unióban. Ez a cél számos alapelv mentén valósul meg, amelyek együttesen biztosítják a rendelet hatékonyságát és átfogó jellegét.
Az egyik legfontosabb alapelv a harmonizáció. A DORA célja, hogy egységes szabályokat vezessen be az EU-ban, felszámolva a tagállami szintű eltéréseket és a jogi bizonytalanságot. Ez nemcsak a pénzügyi intézmények számára egyszerűsíti a megfelelést, hanem a felügyeleti hatóságok számára is egyértelműbb kereteket biztosít. Az egységes szabályozás hozzájárul a belső piac integritásának és stabilitásának megőrzéséhez.
A rendelet hangsúlyozza az ICT kockázatok átfogó kezelését. Ez azt jelenti, hogy a pénzügyi entitásoknak nem csupán a technikai biztonságra kell fókuszálniuk, hanem egy end-to-end, teljes körű kockázatkezelési keretrendszert kell kialakítaniuk, amely magában foglalja a kockázatok azonosítását, értékelését, monitorozását, kezelését és jelentését. Ide tartozik a szervezeti irányítás, a humán erőforrások, a folyamatok és a technológia is.
A folyamatos működés biztosítása a DORA másik kulcsfontosságú célja. A rendelet előírja, hogy a pénzügyi entitásoknak képesnek kell lenniük a kritikus funkcióik zavartalan ellátására még súlyos zavarok, például kibertámadások vagy rendszerszintű meghibásodások esetén is. Ez magában foglalja a helyreállítási tervek, az üzletmenet-folytonossági tervek és a katasztrófa-helyreállítási képességek kidolgozását és rendszeres tesztelését.
A DORA kiemelt figyelmet fordít a külső ICT szolgáltatók kockázatának kezelésére. Ez az egyik leginnovatívabb aspektusa a rendeletnek. Elismeri, hogy a pénzügyi entitások digitális ellenállóképessége nagymértékben függ azoktól a harmadik fél szolgáltatóktól, amelyekre támaszkodnak. Ennek megfelelően a DORA bevezeti a kritikus harmadik fél szolgáltatók felügyeleti keretét, amely lehetővé teszi a felügyeleti hatóságok számára, hogy közvetlenül is ellenőrizzék ezeket a szolgáltatókat, biztosítva a magas szintű biztonságot és ellenállóképességet az ellátási láncban.
Végül, de nem utolsósorban, a hatékony információmegosztás ösztönzése is cél. A rendelet előírja, hogy a pénzügyi entitások osszák meg egymással az ICT-vel kapcsolatos fenyegetésekre és incidensekre vonatkozó információkat. Ez a kollektív intelligencia növeli a szektor egészének ellenállóképességét, lehetővé téve a gyorsabb reagálást és a proaktív védekezést a felmerülő fenyegetésekkel szemben.
Ezen alapelvek mentén a DORA rendelet egy robusztus és előremutató keretrendszert hoz létre, amely a pénzügyi szektor digitális jövőjének alapjait fekteti le, biztosítva a stabilitást és a fogyasztói bizalmat a folyamatosan fejlődő digitális környezetben.
A DORA rendelet hatálya alá tartozó entitások
A DORA rendelet széles körben alkalmazandó az Európai Unió pénzügyi szektorában működő entitásokra, valamint az ezen entitásoknak szolgáltatásokat nyújtó külső ICT szolgáltatókra. A rendelet célja, hogy egyetlen, koherens jogi keretbe foglalja a digitális operatív ellenállóképességre vonatkozó szabályokat, kiterjedve a pénzügyi szolgáltatások teljes spektrumára.
A rendelet hatálya alá tartozó pénzügyi entitások köre rendkívül széles, és magában foglalja a következőket:
- Hitelintézetek: Bankok, takarékpénztárak és egyéb hitelintézetek.
- Pénzforgalmi intézmények: Olyan szervezetek, amelyek fizetési szolgáltatásokat nyújtanak.
- Elektronikus pénz kibocsátó intézmények: Azok, amelyek elektronikus pénzt bocsátanak ki.
- Befektetési vállalkozások: Tőzsdeügynökségek, brókercégek és portfóliókezelők.
- Központi szerződő felek (CCP-k): Olyan intézmények, amelyek a tőzsdén kötött ügyletek elszámolását és garanciáját biztosítják.
- Központi értékpapír-letétkezelők (CSD-k): Értékpapírok letétkezelésével és elszámolásával foglalkozó intézmények.
- Kereskedési rendszerek: Szabályozott piacok, multilaterális kereskedési rendszerek (MTF-ek) és szervezett kereskedési rendszerek (OTF-ek).
- Kereskedési adattárak: TR-ek (Trade Repositories).
- Központi ellenparti elszámolási rendszerek: CLS (Continuous Linked Settlement) rendszerek.
- Biztosítók és viszontbiztosítók: Az élet-, nem élet- és viszontbiztosítási szektor szereplői.
- Biztosításközvetítők és viszontbiztosítás-közvetítők: Bizonyos kritériumoknak megfelelő közvetítők.
- Intézményi befektetési alapok és alapkezelők: UCITS alapkezelők és AIFM-ek.
- Nyugdíjpénztárak: Foglalkoztatói nyugdíjpénztárak (IORP-k).
- Hitelminősítő intézetek: CRAs (Credit Rating Agencies).
- Közösségi finanszírozási szolgáltatók: Crowdfunding platformok.
- Kereskedelmi adattárak: TR-ek (Trade Repositories).
Fontos megjegyezni, hogy bár a rendelet széles körre terjed ki, a arányosság elve érvényesül. Ez azt jelenti, hogy a kisebb, kevésbé összetett entitásokra enyhébb követelmények vonatkozhatnak, mint a rendszerszinten jelentős, nagy intézményekre. Az Európai Felügyeleti Hatóságok (EBA, ESMA, EIOPA) iránymutatásokat adnak ki a DORA alkalmazására vonatkozóan, figyelembe véve az entitások méretét, profilját és az általuk nyújtott szolgáltatások jellegét.
A pénzügyi entitásokon kívül a DORA rendelet jelentős hatást gyakorol azokra az ICT harmadik fél szolgáltatókra is, amelyek kritikus vagy fontos szolgáltatásokat nyújtanak a pénzügyi szektor szereplőinek. Ide tartoznak például a felhőszolgáltatók (AWS, Azure, Google Cloud), a szoftverfejlesztők, a hálózati szolgáltatók és az adatközpontok. A DORA bevezeti a kritikus ICT harmadik fél szolgáltatók közvetlen felügyeletét, ami azt jelenti, hogy az európai felügyeleti hatóságok közvetlenül is ellenőrizhetik ezeket a szolgáltatókat, még akkor is, ha azok nem az EU-ban vannak bejegyezve, de az EU-ban működő pénzügyi entitások számára nyújtanak szolgáltatásokat.
Ez a kiterjesztett hatókör biztosítja, hogy a pénzügyi rendszer digitális ellenállóképessége ne csak a belső működésre, hanem az egész ellátási láncra kiterjedjen, lefedve a legfontosabb sebezhetőségi pontokat és erősítve a rendszer egészének stabilitását. A rendelet tehát nem csupán a pénzügyi intézményeket érinti, hanem a digitális gazdaság számos más szereplőjét is, akik a pénzügyi szektorral üzleti kapcsolatban állnak.
A DORA rendelet öt kulcsfontosságú pillére
A DORA rendelet öt fő pillérre épül, amelyek együttesen alkotják a pénzügyi entitások digitális ellenállóképességének átfogó keretrendszerét. Ezen pillérek mindegyike kulcsfontosságú a rendelet céljainak elérésében, és részletes követelményeket ír elő a pénzügyi intézmények számára.
1. ICT kockázatkezelés
Ez a DORA rendelet központi eleme és egyben a legátfogóbb fejezete. A pénzügyi entitásoknak egy robusztus és átfogó ICT kockázatkezelési keretrendszert kell létrehozniuk és fenntartaniuk. Ennek a keretrendszernek a célja az ICT kockázatok azonosítása, mérése, kezelése és ellenőrzése, biztosítva a magas szintű digitális operatív ellenállóképességet. A követelmények kiterjednek a következőkre:
- Irányítás és felelősség: A vezető testület (pl. igazgatótanács) viseli a végső felelősséget az ICT kockázatkezelésért. Nekik kell meghatározniuk a kockázatkezelési stratégiát, jóváhagyniuk a politikákat és eljárásokat, és rendszeresen felülvizsgálniuk a megfelelőséget.
- ICT stratégia: A pénzügyi entitásoknak egyértelmű ICT stratégiát kell kidolgozniuk, amely összhangban van az üzleti stratégiával és a kockázatkezelési keretrendszerrel.
- Kockázatkezelési politikák és eljárások: Részletes politikákat és eljárásokat kell kidolgozni a kockázatok azonosítására, értékelésére, osztályozására, kezelésére és ellenőrzésére. Ez magában foglalja a biztonsági politikákat, az incidenskezelési terveket, az üzletmenet-folytonossági terveket és a katasztrófa-helyreállítási terveket.
- ICT rendszerek és eszközök védelme: A fizikai és logikai biztonsági intézkedések, a hálózati biztonság, az adatok titkosítása, a hozzáférés-szabályozás és a szoftverek biztonságos fejlesztése.
- Emberi erőforrás menedzsment: Megfelelő képzés és tudatosság növelése az alkalmazottak körében az ICT kockázatokkal kapcsolatban. A szerepek és felelősségek egyértelmű meghatározása.
- Dokumentáció és felülvizsgálat: Az összes ICT kockázatkezelési intézkedés, folyamat és eljárás részletes dokumentálása. Rendszeres felülvizsgálatok és auditok elvégzése a keretrendszer hatékonyságának ellenőrzésére.
- Kapacitástervezés és teljesítményfigyelés: Annak biztosítása, hogy az ICT rendszerek képesek legyenek kezelni a növekvő terhelést és megfelelően működjenek.
Ez a pillér alapvető fontosságú, mivel lefekteti azokat a strukturális és operatív alapokat, amelyekre a DORA többi része épül. Egy jól működő ICT kockázatkezelési rendszer nélkül a többi követelmény betartása is nehézségekbe ütközne.
2. ICT-vel kapcsolatos incidensek kezelése, osztályozása és jelentése
A DORA rendelet szigorú követelményeket ír elő az ICT-vel kapcsolatos incidensek azonosítására, monitorozására, kezelésére és jelentésére vonatkozóan. A cél, hogy a pénzügyi entitások gyorsan és hatékonyan reagáljanak a zavarokra, minimalizálva azok hatását, és biztosítva az információáramlást a felügyeleti hatóságok felé.
- Incidenskezelési folyamatok: Részletes eljárásokat kell kidolgozni az incidensek észlelésére, elemzésére, elszigetelésére, helyreállítására és az okok vizsgálatára.
- Osztályozás: Az incidenseket súlyosságuk és hatásuk alapján kell osztályozni, figyelembe véve a pénzügyi veszteséget, a reputációs károkat, az érintett ügyfelek számát és a kritikus szolgáltatásokra gyakorolt hatást. A DORA egységes osztályozási kritériumokat vezet be.
- Jelentési kötelezettség: A súlyos ICT-vel kapcsolatos incidenseket haladéktalanul jelenteni kell a releváns felügyeleti hatóságoknak. A jelentési folyamatnak szabványosítottnak és hatékonynak kell lennie, biztosítva a gyors és pontos információáramlást. A rendelet meghatározza a jelentési küszöbértékeket és határidőket.
- Kommunikáció: Az ügyfelek és a nyilvánosság tájékoztatása az incidensekről, amennyiben az indokolt, a bizalom fenntartása érdekében.
- Tanulságok levonása: Minden incidens után elemzést kell végezni, hogy levonják a tanulságokat és javítsák az ICT kockázatkezelési keretrendszert.
Ez a pillér biztosítja, hogy a pénzügyi szektor egységesen és hatékonyan reagáljon a digitális zavarokra, és a felügyeleti hatóságok valós idejű információval rendelkezzenek a rendszer szintű kockázatok felméréséhez.
3. Digitális operatív ellenállóképességi tesztelés
A DORA rendelet hangsúlyozza a proaktív megközelítést, és előírja a pénzügyi entitások számára, hogy rendszeresen teszteljék digitális rendszereik ellenállóképességét. Ez a tesztelés nem csupán a technológiai sebezhetőségek azonosítására szolgál, hanem a folyamatok, a személyzet és a külső szolgáltatók felkészültségének értékelésére is.
- Rendszeres tesztelés: A pénzügyi entitásoknak évente legalább egyszer átfogó tesztelési programot kell végrehajtaniuk, amely magában foglalja a sebezhetőségi vizsgálatokat, a penetrációs teszteket, a forráskód-elemzéseket és az üzletmenet-folytonossági teszteket.
- Fejlett fenyegetés-vezérelt penetrációs tesztelés (TLPT): A kritikus pénzügyi entitásoknak kétévente fejlett, fenyegetés-vezérelt penetrációs tesztelést (Threat-Led Penetration Testing) kell végezniük. Ez a tesztelés valós kibertámadási forgatókönyveket szimulál, és független etikus hackerek végzik. Célja a legkritikusabb funkciók és rendszerek ellenállóképességének felmérése valós idejű, kifinomult támadásokkal szemben.
- Független felülvizsgálat: A tesztelési programokat független félnek kell felülvizsgálnia, hogy biztosítsa azok objektivitását és hatékonyságát.
- Hiányosságok orvoslása: A tesztelések során feltárt hiányosságokat és sebezhetőségeket haladéktalanul orvosolni kell, és a javító intézkedéseket dokumentálni kell.
A tesztelési pillér kulcsfontosságú a digitális ellenállóképesség folyamatos javításában és abban, hogy a pénzügyi entitások valós képet kapjanak sebezhetőségeikről, mielőtt azok kihasználásra kerülnének.
4. ICT harmadik fél kockázatának kezelése
Ahogy korábban említettük, a DORA rendelet úttörő szerepet játszik az ICT harmadik fél szolgáltatók kockázatának kezelésében. A pénzügyi entitásoknak szigorú keretrendszert kell kialakítaniuk a külső szolgáltatókkal való kapcsolatok kezelésére, a szerződéskötéstől a szolgáltatásnyújtás felügyeletéig és a kilépési stratégiákig.
- Szerződéses követelmények: A pénzügyi entitásoknak biztosítaniuk kell, hogy a külső ICT szolgáltatókkal kötött szerződések tartalmazzák a DORA rendelet által előírt rendelkezéseket. Ez magában foglalja a szolgáltatási szinteket (SLA-k), a biztonsági követelményeket, az auditálási jogokat, a jelentési kötelezettségeket, az alvállalkozói lánc kezelését és a kilépési stratégiákat.
- Kritikus vagy fontos szolgáltatók azonosítása: A pénzügyi entitásoknak folyamatosan fel kell mérniük, mely ICT szolgáltatók nyújtanak számukra kritikus vagy fontos funkciókat.
- Koncentrációs kockázat kezelése: A pénzügyi entitásoknak monitorozniuk kell az ICT harmadik fél szolgáltatók felé fennálló koncentrációs kockázatot, és stratégiákat kell kidolgozniuk annak csökkentésére. Ez magában foglalhatja a szolgáltatók diverzifikálását vagy a belső kapacitások kiépítését.
- Felügyeleti keret kritikus szolgáltatók számára: A DORA bevezeti egy felügyeleti keretet a kritikus ICT harmadik fél szolgáltatók számára. Ez lehetővé teszi az Európai Felügyeleti Hatóságok (ESAs) számára, hogy kijelöljenek egy vezető felügyelőt (Lead Overseer) az egyes kritikus szolgáltatók felügyeletére. A vezető felügyelő hatáskörébe tartozik a szolgáltatók rendszeres felülvizsgálata, a kockázati profiljuk értékelése, a helyszíni ellenőrzések elvégzése és a szükséges intézkedések előírása.
- Kilépési stratégiák: A pénzügyi entitásoknak szilárd kilépési stratégiákat kell kidolgozniuk, amelyek lehetővé teszik számukra, hogy zökkenőmentesen váltsanak szolgáltatót, vagy visszavigyék a szolgáltatást a belső működésbe, minimális zavarral.
Ez a pillér létfontosságú a teljes pénzügyi rendszer ellenállóképességének biztosításában, mivel a külső függőségek egyre növekvő kockázatot jelentenek.
5. Információmegosztás
A DORA rendelet ösztönzi a kiberfenyegetésekkel és sebezhetőségekkel kapcsolatos információk megosztását a pénzügyi entitások között. Ez a kollektív intelligencia növeli a szektor egészének képességét a fenyegetések azonosítására, megelőzésére és kezelésére.
- Önkéntes megosztás: A pénzügyi entitások önkéntesen oszthatják meg egymással a kiberbiztonsági információkat, például a fenyegetési intelligenciát, a sebezhetőségi információkat, a sikeres támadások tanulságait és a megelőző intézkedéseket.
- Megbízható közösségek: Az információcsere megbízható közösségeken belül, például iparági fórumokon vagy kiberbiztonsági információmegosztó és elemző központokon (ISAC-ok) keresztül történhet.
- Adatvédelem és bizalmasság: Az információmegosztásnak összhangban kell lennie az adatvédelmi szabályokkal, különösen a GDPR-ral, biztosítva a személyes adatok védelmét és a bizalmas információk kezelését.
Az információmegosztás pillére a kollaborációra és a közös védekezésre épít, felismerve, hogy a kiberfenyegetésekkel szemben a szektor csak együttműködve lehet igazán hatékony.
Ez az öt pillér együttesen alkotja a DORA rendelet gerincét, és biztosítja, hogy a pénzügyi szektor felkészüljön a digitális kor kihívásaira, fenntartva a stabilitást és a fogyasztói bizalmat.
DORA és a meglévő szabályozások: átfedések és komplementaritás
A DORA rendelet nem vákuumban jött létre. Számos meglévő uniós és tagállami szintű szabályozás létezik már, amelyek érintik a pénzügyi szektor informatikai biztonságát és ellenállóképességét. Fontos megérteni, hogyan viszonyul a DORA ezekhez a szabályozásokhoz, hol vannak átfedések, és hol egészíti ki, illetve erősíti meg a meglévő kereteket.
Az egyik legfontosabb összefüggés a NIS2 irányelvvel (Network and Information Systems Security Directive), amely a kritikus infrastruktúrák és digitális szolgáltatások kiberbiztonságát célozza. Míg a NIS2 szélesebb körű ágazatokat fed le, mint a DORA (pl. energia, közlekedés, egészségügy), a pénzügyi szektor mindkét jogszabály hatálya alá tartozik. A DORA specifikusabb és mélyebben részletezett szabályokat tartalmaz a pénzügyi szolgáltatások digitális ellenállóképességére vonatkozóan. A NIS2 és a DORA közötti kapcsolat komplementer: a DORA a NIS2 általános keretrendszerén belül biztosít szektor-specifikus szabályokat a pénzügyi entitások számára. A cél az, hogy a pénzügyi entitásoknak ne kelljen kettős megfeleléssel küzdeniük, hanem a DORA rendeletnek való megfelelés egyúttal a NIS2 pénzügyi szektorra vonatkozó részeinek is megfeleljen.
A GDPR (General Data Protection Regulation) szintén releváns jogszabály. Bár a GDPR az adatvédelemre és a személyes adatok kezelésére fókuszál, szorosan kapcsolódik a kiberbiztonsághoz, hiszen az adatbiztonság megsértése gyakran adatvédelmi incidenst is jelent. A DORA kiegészíti a GDPR-t azzal, hogy szélesebb körű operatív ellenállóképességi követelményeket ír elő, amelyek túlmutatnak a személyes adatok védelmén. Az incidensjelentési kötelezettségek tekintetében a DORA és a GDPR közötti összhang biztosított, elkerülve a párhuzamos jelentési terheket, amennyire lehetséges.
Számos szektor-specifikus pénzügyi szabályozás is létezik, mint például a MiFID II (Markets in Financial Instruments Directive), a PSD2 (Revised Payment Services Directive), a Solvency II (biztosítási szektor) és a CRD/CRR (banki szektor). Ezek a szabályozások már tartalmaznak bizonyos operatív kockázati és informatikai biztonsági követelményeket. A DORA célja, hogy egységesítse és megerősítse ezeket a követelményeket, felszámolva a korábbi széttagoltságot és a potenciális hézagokat. A DORA a digitális operatív ellenállóképességre vonatkozó „lex specialis” (különleges törvény) szerepét tölti be, ami azt jelenti, hogy ahol a DORA specifikusabb szabályokat ír elő, ott az élvez elsőbbséget a korábbi, általánosabb szabályokkal szemben.
A nemzeti szabályozások szintén fontosak. Korábban számos tagállam saját kiberbiztonsági és informatikai ellenállóképességi szabályokat vezetett be a pénzügyi szektorban. A DORA rendelet közvetlenül alkalmazandó az EU egész területén, ami azt jelenti, hogy felülírja a nemzeti jogszabályokat azokon a területeken, amelyeket szabályoz. Ez egységesíti a szabályozási környezetet, és csökkenti a pénzügyi intézmények adminisztratív terheit, különösen azokét, amelyek több tagállamban is működnek.
Az alábbi táblázat összefoglalja a DORA és más releváns szabályozások közötti főbb különbségeket és komplementaritásokat:
| Szabályozás | Fő fókusz | Kapcsolat a DORA-val |
|---|---|---|
| DORA | Digitális operatív ellenállóképesség a pénzügyi szektorban (ICT kockázatkezelés, incidenskezelés, tesztelés, harmadik fél kockázata, információmegosztás). | Átfogó és szektor-specifikus. Felülírja a nemzeti szabályokat, kiegészíti és megerősíti a meglévő EU-s kereteket. |
| NIS2 Irányelv | Hálózati és információs rendszerek biztonsága a kritikus infrastruktúrákban és digitális szolgáltatásokban (szélesebb körű ágazatok). | Általános keret. A DORA a NIS2-n belül szektor-specifikus szabályokat biztosít a pénzügyi entitások számára. A DORA-nak való megfelelés egyben a NIS2-nek való megfelelést is jelenti a pénzügyi szektorban. |
| GDPR | Személyes adatok védelme és kezelése. | Kiegészítő. A DORA kiterjeszti a biztonsági követelményeket az adatokon túl a teljes operatív ellenállóképességre. Az incidensjelentési kötelezettségek összehangoltak. |
| MiFID II, PSD2, Solvency II, CRD/CRR | Szektor-specifikus pénzügyi szabályozások, amelyek már tartalmaznak operatív kockázati és IT biztonsági elemeket. | A DORA „lex specialis” (különleges törvény) a digitális operatív ellenállóképesség tekintetében. Egységesíti és megerősíti a meglévő követelményeket, ahol átfedés van, ott a DORA szabályai élveznek elsőbbséget. |
Összefoglalva, a DORA rendelet célja nem az, hogy teljesen új, független szabályozási réteget hozzon létre, hanem hogy egységesítse, megerősítse és kiegészítse a meglévő szabályozásokat, különös tekintettel a digitális operatív ellenállóképességre. Ezáltal egy koherensebb és hatékonyabb keretrendszert biztosít a pénzügyi szektor számára a digitális kockázatok kezelésére.
A DORA rendelet gyakorlati hatása a pénzügyi entitásokra
A DORA rendelet bevezetése jelentős gyakorlati hatással jár a pénzügyi entitásokra nézve, mivel átfogó változásokat követel meg az ICT kockázatkezelési gyakorlatokban, a belső folyamatokban és a külső szolgáltatókkal való kapcsolatokban. A megfelelés nem csupán egy jogi kötelezettség, hanem egy stratégiai befektetés is a hosszú távú stabilitásba és versenyképességbe.
Fokozott felelősség a vezető testületek számára
A DORA egyértelműen kimondja, hogy a pénzügyi entitások vezető testületei (pl. igazgatótanács) viselik a végső felelősséget az ICT kockázatkezelési keretrendszerért és a digitális operatív ellenállóképességért. Ez azt jelenti, hogy a vezetőségnek aktívan részt kell vennie a stratégia kialakításában, a politikák jóváhagyásában, a kockázatok felmérésében és a megfelelés felügyeletében. Rendszeres képzéseken kell részt venniük, hogy megértsék a digitális kockázatokat és azok üzleti hatásait. Ez a felelősségvállalás ösztönzi a felsővezetést, hogy a kiberbiztonságot és az ellenállóképességet ne csupán technikai, hanem stratégiai prioritásként kezelje.
Átfogóbb ICT kockázatkezelési keretrendszer
A pénzügyi entitásoknak felül kell vizsgálniuk és szükség esetén jelentősen javítaniuk kell meglévő ICT kockázatkezelési keretrendszerüket. Ez magában foglalja a következők kidolgozását vagy frissítését:
- Részletes politikák és eljárások: Az ICT kockázatok azonosítására, értékelésére, monitorozására, kezelésére és jelentésére vonatkozóan.
- Üzletmenet-folytonossági és katasztrófa-helyreállítási tervek: Részletes forgatókönyvekkel és tesztelési programokkal.
- Válságkezelési és kommunikációs tervek: Az incidensek kezelésére és az érintettek tájékoztatására.
- Biztonsági architektúra és kontrollok: A rendszerek, adatok és hálózatok védelmének megerősítése.
- Kapacitástervezés: Annak biztosítása, hogy az ICT rendszerek képesek legyenek kezelni a növekvő terhelést és a váratlan csúcsokat.
Ez a folyamat gyakran magában foglalja a belső erőforrások átcsoportosítását, új szakemberek felvételét vagy külső tanácsadók igénybevételét.
Szigorúbb incidenskezelés és jelentési kötelezettség
A pénzügyi entitásoknak fel kell készülniük a súlyos ICT-vel kapcsolatos incidensek gyors és szabványosított jelentésére a felügyeleti hatóságok felé. Ez megköveteli a:
- Jelentési folyamatok automatizálását: A gyorsaság és pontosság biztosítása érdekében.
- Incidensosztályozási kritériumok bevezetését: A DORA által előírt egységes szempontok szerint.
- Kommunikációs protokollok kidolgozását: Az ügyfelek és a nyilvánosság tájékoztatására, ha szükséges.
Az incidensek utólagos elemzése és a tanulságok levonása is kiemelt szerepet kap, ami hozzájárul a folyamatos fejlődéshez.
Fokozott tesztelési követelmények
A rendszeres és átfogó tesztelés, beleértve a TLPT-t is, jelentős terhet róhat a pénzügyi entitásokra. Ez megköveteli:
- Dedikált tesztelési csapatok: Belső vagy külső szakértelemmel.
- Rendszeres költségvetés: A tesztelési tevékenységekre.
- Koordináció: A tesztelési eredmények alapján a szükséges javítások végrehajtásához.
A TLPT különösen nagy kihívást jelenthet, mivel valós támadási forgatókönyveket szimulál, és ehhez speciális szakértelemre van szükség.
A harmadik fél kockázatának átalakult kezelése
A DORA talán legjelentősebb változása az ICT harmadik fél szolgáltatókkal való kapcsolatok kezelésében rejlik. A pénzügyi entitásoknak:
- Át kell világítaniuk: Az összes külső ICT szolgáltatót a DORA követelményeinek megfelelően.
- Szerződéseket kell módosítaniuk: A DORA által előírt záradékok beépítése érdekében (pl. auditálási jogok, SLA-k, felmondási feltételek).
- Kilépési stratégiákat kell kidolgozniuk: Valós és tesztelhető alternatívákkal.
- Fokozott felügyeletet kell gyakorolniuk: A kritikus szolgáltatók felett.
Ez a változás nem csupán jogi, hanem operatív szinten is jelentős erőfeszítéseket igényel, és átalakíthatja a szolgáltatói ökoszisztémát.
„A DORA rendelet nem egy egyszeri megfelelési projekt, hanem egy folyamatos utazás. A pénzügyi entitásoknak rugalmasan és proaktívan kell alkalmazkodniuk a változó digitális fenyegetésekhez, beépítve az ellenállóképességet a működésük DNS-ébe.”
Költségek és befektetések
A DORA-nak való megfelelés jelentős költségekkel járhat, beleértve az IT infrastruktúra fejlesztését, a szoftverek beszerzését, a személyzet képzését, a külső tanácsadói és auditálási díjakat, valamint a tesztelési szolgáltatások költségeit. Azonban ezek a költségek befektetésnek tekintendők a hosszú távú biztonságba és stabilitásba, csökkentve a potenciális incidensek okozta pénzügyi és reputációs károkat.
Összességében a DORA rendelet mélyrehatóan érinti a pénzügyi entitások működését, megkövetelve egy proaktív, átfogó és folyamatosan fejlődő megközelítést a digitális operatív ellenállóképesség iránt. A sikeres megfelelés nemcsak a jogi kötelezettségek teljesítését jelenti, hanem a versenyelőny megszerzését és a fogyasztói bizalom megerősítését is a digitális korban.
A DORA rendelet bevezetésének idővonala és a felkészülés lépései
A DORA rendelet hivatalosan 2023. január 16-án lépett hatályba, de a teljes megfeleléshez szükséges szabályok és technikai szabványok kidolgozása egy fokozatos folyamat. A rendelet alkalmazása 2025. január 17-én kezdődik meg, ami viszonylag rövid időt hagy a pénzügyi entitásoknak a felkészülésre és a szükséges változtatások végrehajtására.
A DORA bevezetésének idővonala
- 2023. január 16.: A DORA rendelet hatályba lépett. Ettől a dátumtól kezdve a pénzügyi entitásoknak figyelembe kell venniük a rendeletet a stratégiai tervezésben és a belső folyamatok felülvizsgálatában.
- 2023. júniusig (becsült): Az Európai Felügyeleti Hatóságok (EBA, ESMA, EIOPA) elkészítik és közzéteszik az első körös szabályozástechnikai standard (RTS) és végrehajtástechnikai standard (ITS) tervezeteket. Ezek a standardok részletesen meghatározzák a rendeletben foglalt elvek gyakorlati alkalmazását (pl. incidensosztályozás, kockázatkezelési keretrendszer elemei, TLPT részletei).
- 2024 eleje (becsült): Az Európai Bizottság jóváhagyja az RTS/ITS standardokat.
- 2024 közepéig (becsült): A második körös RTS/ITS standardok tervezeteinek közzététele (pl. a kritikus harmadik fél szolgáltatók felügyeletére vonatkozó részletek).
- 2025. január 17.: A DORA rendelet alkalmazandóvá válik. Ettől a dátumtól kezdve a pénzügyi entitásoknak teljes mértékben meg kell felelniük a rendeletben és a kapcsolódó technikai standardokban foglalt követelményeknek.
Ez az idővonal hangsúlyozza a proaktív felkészülés fontosságát. A rendeletben foglalt elvek már most ismertek, és a pénzügyi entitásoknak nem szabad megvárniuk az összes technikai standard véglegesítését a felkészülés megkezdésével.
Lépések a DORA-nak való megfeleléshez
A pénzügyi entitásoknak egy strukturált megközelítést kell alkalmazniuk a DORA-nak való megfelelés eléréséhez. Az alábbiakban bemutatunk néhány kulcsfontosságú lépést:
1. Gap-elemzés és hatásvizsgálat
Az első lépés egy átfogó gap-elemzés (hiányelemzés) elvégzése. Fel kell mérni a jelenlegi ICT kockázatkezelési keretrendszert, az incidenskezelési folyamatokat, a tesztelési gyakorlatokat és a harmadik fél szolgáltatókkal való szerződéseket a DORA követelményeivel szemben. Azonosítani kell azokat a területeket, ahol a jelenlegi gyakorlatok nem felelnek meg a rendelet előírásainak. Emellett elengedhetetlen egy hatásvizsgálat is, amely felméri a DORA-nak való megfeleléshez szükséges erőforrásokat, költségeket és időkereteket.
2. Irányítási keretrendszer megerősítése
A vezető testületnek teljes mértékben tudatában kell lennie a DORA-ból eredő felelősségének. Ez magában foglalja a rendszeres oktatást, a szerepek és felelősségek egyértelmű kijelölését, valamint az ICT kockázatok rendszeres felülvizsgálatát a legfelsőbb szinten. Ki kell jelölni egy dedikált csapatot vagy személyt, aki felelős a DORA megfelelési projekt vezetéséért.
3. ICT kockázatkezelési keretrendszer felülvizsgálata és fejlesztése
Ennek a legátfogóbb területnek. Létre kell hozni vagy frissíteni kell a következőket:
- ICT kockázatkezelési politikák: Azonosítás, értékelés, kezelés, jelentés.
- Üzletmenet-folytonossági és katasztrófa-helyreállítási tervek: A kritikusság szerinti prioritások figyelembevételével.
- Válságkezelési és kommunikációs tervek: Az érintettek tájékoztatására.
- Biztonsági kontrollok: Hozzáférés-szabályozás, titkosítás, hálózati biztonság, fizikai biztonság.
- Emberi erőforrás menedzsment: Képzések, tudatossági programok az alkalmazottak számára.
4. Incidenskezelési és jelentési folyamatok finomítása
Fel kell készülni a DORA által előírt egységes incidensosztályozásra és jelentési mechanizmusokra. Ez magában foglalja a belső rendszerek frissítését, a jelentési sablonok kialakítását és a felügyeleti hatóságokkal való kommunikációs csatornák tesztelését.
5. Tesztelési programok megerősítése
Ki kell dolgozni vagy felül kell vizsgálni egy átfogó tesztelési programot, amely magában foglalja a rendszeres sebezhetőségi vizsgálatokat, penetrációs teszteket és az üzletmenet-folytonossági teszteket. A kritikus entitásoknak fel kell készülniük a TLPT (Threat-Led Penetration Testing) végrehajtására, ami külső, akkreditált szolgáltatók bevonását igényelheti.
6. Harmadik fél kockázatkezelésének átalakítása
Ez az egyik legösszetettebb terület. Lépések:
- Szerződések felülvizsgálata és módosítása: A DORA-kompatibilis záradékok beépítése.
- Külső szolgáltatók nyilvántartása: Létrehozni egy átfogó nyilvántartást az összes ICT szolgáltatóról, a nyújtott szolgáltatások kritikus jellege szerint osztályozva.
- Kockázatértékelések: Rendszeres kockázatértékelések elvégzése a külső szolgáltatókra vonatkozóan.
- Kilépési stratégiák kidolgozása: Minden kritikus szolgáltatóra vonatkozóan.
- Koncentrációs kockázat monitorozása: Azonosítani és kezelni a túl nagy függőséget egyetlen szolgáltatótól.
7. Információmegosztási protokollok
Érdemes fontolóra venni a részvételt iparági információmegosztó platformokon vagy közösségekben (pl. ISAC-ok), hogy kihasználják a kollektív intelligenciát a kiberfenyegetések elleni védekezésben.
8. Folyamatos monitorozás és felülvizsgálat
A DORA-nak való megfelelés nem egy egyszeri projekt, hanem egy folyamatos folyamat. Rendszeres belső auditokat és felülvizsgálatokat kell végezni, hogy biztosítsák a folyamatos megfelelést és a keretrendszer hatékonyságának fenntartását a változó fenyegetési környezetben.
A felkészüléshez szükséges idő és erőforrás jelentős. A pénzügyi entitásoknak már most el kell kezdeniük a tervezést és a végrehajtást, hogy 2025. január 17-re teljes mértékben felkészültek legyenek a DORA rendelet alkalmazására.
A DORA rendelet előnyei és kihívásai a pénzügyi szektorban
A DORA rendelet bevezetése jelentős előnyökkel járhat a pénzügyi szektor számára, miközben számos kihívást is támaszt a megfelelés során. Fontos mindkét oldalt megvizsgálni, hogy átfogó képet kapjunk a rendelet hatásairól.
Előnyök
1. Fokozott stabilitás és ellenállóképesség: A DORA legfőbb előnye, hogy jelentősen megerősíti a pénzügyi rendszer egészének digitális ellenállóképességét. Az egységes és szigorúbb szabályok révén az intézmények jobban felkészülnek a kibertámadásokra és más digitális zavarokra, csökkentve a rendszer szintű kockázatokat és a pénzügyi stabilitás megingásának esélyét.
2. Harmonizált jogi keret: Az egységes uniós szabályozás megszünteti a tagállami szintű széttagoltságot, ami egyszerűsíti a megfelelést a több országban működő pénzügyi entitások számára. Ez csökkenti az adminisztratív terheket és a jogi bizonytalanságot, elősegítve a belső piac zavartalan működését.
3. Növekvő fogyasztói bizalom: A megerősített kiberbiztonság és ellenállóképesség növeli a fogyasztók bizalmát a digitális pénzügyi szolgáltatások iránt. Az ügyfelek biztosak lehetnek abban, hogy adataik és pénzügyeik védettek, még digitális zavarok esetén is.
4. Jobb kockázatkezelés: A DORA arra ösztönzi a pénzügyi entitásokat, hogy proaktív és átfogó megközelítést alkalmazzanak az ICT kockázatok kezelésében. Ez nemcsak a kibertámadások megelőzésében segít, hanem az üzletmenet-folytonosságot is javítja, minimalizálva a zavarok hatását.
5. Az ellátási lánc biztonsága: A DORA úttörő megközelítése a harmadik fél szolgáltatók kockázatának kezelésében kulcsfontosságú. Azáltal, hogy kiterjeszti a felügyeletet a kritikus külső szolgáltatókra, a rendelet erősíti a teljes digitális ellátási lánc biztonságát, amely korábban jelentős sebezhetőségi pontot jelentett.
6. Innováció és versenyképesség: Bár a kezdeti befektetések jelentősek, hosszú távon a fokozott digitális ellenállóképesség versenyelőnyt jelenthet. Azok az intézmények, amelyek hatékonyan kezelik a digitális kockázatokat, vonzóbbak lehetnek az ügyfelek és a partnerek számára, és jobban kihasználhatják a digitális innovációkban rejlő lehetőségeket.
Kihívások
1. Jelentős megfelelési költségek: A DORA-nak való megfelelés jelentős befektetéseket igényel az IT infrastruktúrába, a szoftverekbe, a személyzet képzésébe és a külső tanácsadói szolgáltatásokba. Ez különösen nagy terhet jelenthet a kisebb pénzügyi entitások számára.
2. Komplexitás és erőforrásigény: A rendelet átfogó jellegű, és számos részletes követelményt tartalmaz. A megfelelés megköveteli a dedikált erőforrások, szakértelem és idő ráfordítását a gap-elemzéstől a tesztelésen át a folyamatos monitorozásig.
3. Szakemberhiány: A kiberbiztonsági és digitális ellenállóképességi szakemberek hiánya kihívást jelenthet a pénzügyi entitások számára a szükséges belső tudás kiépítésében vagy a külső szakértők megtalálásában.
4. Az ICT harmadik fél szolgáltatók menedzselése: A külső szolgáltatókkal kapcsolatos szigorúbb követelmények, különösen a szerződésmódosítások és a kilépési stratégiák kidolgozása, bonyolult és időigényes folyamat lehet. A szolgáltatók ellenállása vagy a magasabb költségek is felmerülhetnek.
5. A TLPT (Threat-Led Penetration Testing) kihívásai: A fejlett penetrációs tesztelés végrehajtása technológiai és szervezeti szempontból is bonyolult. Megfelelő tesztelési környezetre, képzett szakemberekre és a tesztelés során felmerülő lehetséges zavarok kezelésére van szükség.
6. Folyamatos alkalmazkodás: A digitális fenyegetések folyamatosan fejlődnek, ami azt jelenti, hogy a DORA-nak való megfelelés nem egy egyszeri projekt, hanem egy folyamatosan fejlődő folyamat. Az intézményeknek rugalmasnak és alkalmazkodóképesnek kell lenniük, folyamatosan frissítve kockázatkezelési keretrendszerüket.
7. Büntetések és felügyeleti nyomás: A DORA rendelet be nem tartása súlyos büntetéseket vonhat maga után, ami jelentős pénzügyi és reputációs károkat okozhat. A felügyeleti hatóságok várhatóan szigorúan ellenőrzik majd a megfelelést.
Összességében a DORA rendelet egy szükséges és előremutató lépés a pénzügyi szektor digitális ellenállóképességének megerősítésében. Bár a megfelelés jelentős erőfeszítéseket és befektetéseket igényel, a hosszú távú előnyök – mint a fokozott stabilitás, a bizalom és a versenyképesség – felülmúlják a kezdeti kihívásokat. Azok az intézmények, amelyek proaktívan és stratégiailag közelítik meg a DORA-nak való megfelelést, képesek lesznek kihasználni a digitális átalakulásban rejlő lehetőségeket, miközben minimalizálják a kapcsolódó kockázatokat.
A DORA rendelet szerepe a jövő pénzügyi rendszerében
A DORA rendelet jelentős mérföldkő az Európai Unió pénzügyi stabilitásának és biztonságának megerősítésében a digitális korban. A rendelet nem csupán egy újabb jogi kötelezettség, hanem egy stratégiai lépés, amely alapjaiban formálja át a pénzügyi entitások és az ICT szolgáltatók közötti kapcsolatot, valamint a digitális kockázatokhoz való viszonyulást.
A jövő pénzügyi rendszere egyre inkább a digitális technológiákra épül. A felhőalapú szolgáltatások, a mesterséges intelligencia, a blokklánc technológia és az IoT (Internet of Things) egyre inkább beépül a pénzügyi folyamatokba. Ezek az innovációk óriási lehetőségeket rejtenek, de új és komplex kockázatokat is teremtenek. A DORA rendelet célja, hogy ezeket a kockázatokat proaktívan kezelje, biztosítva, hogy a technológiai fejlődés ne a stabilitás és a biztonság rovására menjen.
A DORA egyik legfontosabb hatása a kiberbiztonsági kultúra megerősítése a pénzügyi szektorban. Azáltal, hogy a vezető testületekre helyezi a végső felelősséget, a rendelet biztosítja, hogy a kiberbiztonság ne csupán az IT osztály feladata legyen, hanem a szervezet egészének prioritása. Ez hozzájárul egy olyan kultúra kialakításához, ahol minden alkalmazott tudatában van a digitális kockázatoknak és szerepének azok kezelésében.
A rendelet emellett elősegíti a közös gondolkodásmódot és az együttműködést a pénzügyi szektoron belül. Az információmegosztás ösztönzésével a DORA lehetővé teszi a kollektív intelligencia kihasználását a fenyegetések azonosításában és a védekezési stratégiák fejlesztésében. Ez a hálózati megközelítés létfontosságú a kifinomult, globális kiberfenyegetésekkel szemben.
A DORA rendelet a felügyeleti hatóságok szerepét is megerősíti. Az egységes szabályozás és a kritikus harmadik fél szolgáltatók közvetlen felügyeletének lehetősége révén a felügyeleti szervek hatékonyabban tudják monitorozni és kezelni a rendszerszinten jelentős digitális kockázatokat. Ez hozzájárul a pénzügyi rendszer egészének ellenállóképességéhez, és lehetővé teszi a gyorsabb és koordináltabb fellépést válsághelyzet esetén.
Hosszú távon a DORA rendelet segíthet abban, hogy az EU pénzügyi szektora globális vezető szerepet töltsön be a digitális operatív ellenállóképesség terén. Azáltal, hogy magasabb standardokat állít fel, az uniós pénzügyi entitások és szolgáltatók versenyelőnyre tehetnek szert, és példaként szolgálhatnak más régiók számára. Ez nemcsak a belső piac stabilitását növeli, hanem az EU globális pénzügyi központként betöltött szerepét is erősíti.
A digitális operatív ellenállóképesség nem egy statikus állapot, hanem egy dinamikus folyamat. A DORA rendelet megteremti az alapot ehhez a folyamatos fejlődéshez, biztosítva, hogy a pénzügyi szektor képes legyen alkalmazkodni a gyorsan változó technológiai környezethez és a folyamatosan fejlődő kiberfenyegetésekhez. A rendelet alkalmazása egy folyamatos tanulási és fejlődési görbe lesz minden érintett számára, de a végeredmény egy stabilabb, biztonságosabb és digitálisan ellenállóbb pénzügyi rendszer lesz, amely jobban szolgálja az európai polgárok és gazdaságok érdekeit.