DORA regula Latvijā: prasības, ziņošana un Latvijas Bankas loma

Kas ir DORA un kā to sauc latviski

Regulas oficiālais latviešu nosaukums ir garš: “Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību”. Īsā nosaukuma latviešu tekstā nav, un saīsinājums DORA nāk no angļu Digital Operational Resilience Act. Regulas definētais pamatjēdziens ir digitālās darbības noturība (3. panta 1. punkts) – finanšu vienības spēja veidot, nodrošināt un pārskatīt savu darbības integritāti un uzticamību, arī izmantojot trešo personu IKT pakalpojumus, lai finanšu pakalpojumi turpinātos arī traucējumu laikā.

DORA stājās spēkā 2023. gada 16. janvārī un ir piemērojama no 2025. gada 17. janvāra (64. pants). Tā ir regula, tāpēc to piemēro tieši; nacionālais likums tikai nosaka kompetento iestādi, sankcijas un dažus izvēles jautājumus. Attiecībā pret NIS2 direktīvu DORA ir lex specialis – kā tas darbojas praksē, skaidrojam ceļvedī NIS2, DORA un VDAR.

Kam DORA piemēro Latvijā

DORA 2. panta 1. punkts uzskaita finanšu vienību veidus no kredītiestādēm līdz kolektīvās finansēšanas pakalpojumu sniedzējiem, un u) apakšpunktā pievieno trešās personas, kas sniedz IKT pakalpojumus. Finanšu tirgus digitālās darbības noturības un mākslīgā intelekta izmantošanas likums (pieņemts Saeimā 2025. gada 11. septembrī) šo sarakstu pārnes Latvijas tiesību terminos un sadala trīs grupās.

DORA piemērošana Latvijas finanšu tirgus dalībniekiem

Grupa	Likuma pants	Kas tajā ietilpst (izvilkums)
Pilnās prasības	4. pants	24 finanšu vienību veidi, tostarp kredītiestādes, maksājumu un elektroniskās naudas iestādes, ieguldījumu brokeru un pārvaldes sabiedrības, apdrošinātāji un starpnieki, privātie pensiju fondi, kriptoaktīvu pakalpojumu sniedzēji, tirdzniecības vietas, centrālie depozitāriji
Vienkāršotās prasības (DORA 16. pants)	5. pants	Atsevišķas maksājumu un elektroniskās naudas iestādes, finanšu pārvaldītājsabiedrības, nelielas un savstarpēji nesaistītas ieguldījumu brokeru sabiedrības, nelieli privātie pensiju fondi
DORA nepiemēro	6. pants	Krājaizdevu sabiedrības, žiro norēķinu iestādes, apdrošināšanas starpnieki, kas ir mikro, mazie vai vidējie uzņēmumi, nelieli apdrošinātāji zem likumā noteiktajiem sliekšņiem, privātie pensiju fondi ar ne vairāk kā 15 dalībniekiem, mazi alternatīvo ieguldījumu fondu pārvaldnieki

Divas praktiskas piezīmes. Pirmkārt, nebanku kreditētājus licencē un uzrauga Patērētāju tiesību aizsardzības centrs, un Latvijas Banka savā jautājumu un atbilžu sadaļā tos neuzskata par DORA subjektiem. Otrkārt, krājaizdevu sabiedrībām DORA nepiemēro, bet likuma 7. pants tām piemēro mākslīgā intelekta izmantošanas prasības – par to vairāk ceļvedī par MI aktu.

Pieci pīlāri un otrā līmeņa akti

DORA prasības sakārtotas nodaļās, ko nozarē sauc par pīlāriem. Katru pīlāru detalizē Komisijas deleģētās vai īstenošanas regulas (regulatīvie un īstenošanas tehniskie standarti, RTS un ITS). Latvijas Banka savā DORA ieviešanas lapā tos apkopo tieši šādā sadalījumā.

DORA pīlāri, panti un galvenie otrā līmeņa akti

Pīlārs	DORA panti	Otrā līmeņa akts	Ko tas nozīmē praksē
IKT riska pārvaldība	5.–16. pants (II nodaļa)	RTS 2024/1774	Vadības struktūras atbildība, IKT riska pārvaldības sistēma, aizsardzība, atklāšana, nepārtrauktība, rezerves kopijas, mācības, krīzes saziņa
Incidentu pārvaldība un ziņošana	17.–23. pants (III nodaļa)	RTS 2024/1772, RTS 2025/301, ITS 2025/302	Incidentu klasifikācija pēc sliekšņiem, ziņošana Latvijas Bankai noteiktos termiņos, klientu informēšana
Digitālās darbības noturības testēšana	24.–27. pants (IV nodaļa)	RTS 2025/1190	Testēšanas programma visiem; draudu vadīta ielaušanās testēšana (DVIT) izraudzītajām vienībām
Ar trešo personu saistīts IKT risks	28.–44. pants (V nodaļa)	RTS 2024/1773, RTS 2025/532, ITS 2024/2956	Līgumu minimālais saturs, informācijas reģistrs, apakšuzņēmēji, atkāpšanās stratēģijas, kritiski svarīgo piegādātāju pārraudzība
Informācijas apmaiņa	45. pants (VI nodaļa)	–	Brīvprātīga kiberdraudu informācijas un izlūkdatu apmaiņa; par dalību jāinformē Latvijas Banka

Vienkāršotu IKT riska pārvaldības sistēmu (16. pants, saturs – RTS 2024/1774) piemēro tikai 16. panta 1. punktā uzskaitītajām vienībām, Latvijā – likuma 5. panta grupai. Mikrouzņēmumiem DORA atvieglojumus paredz atsevišķos pantos, piemēram, testēšanā un trešo personu līgumos. Mikrouzņēmums DORA izpratnē nodarbina mazāk par 10 personām, un tā gada apgrozījums vai bilances kopsumma nepārsniedz 2 miljonus euro (3. pants).

Ziņošana par būtiskiem ar IKT saistītiem incidentiem

DORA 19. pants prasa ziņot kompetentajai iestādei par būtiskiem ar IKT saistītiem incidentiem. Vai incidents ir būtisks, nosaka pēc RTS 2024/1772 kritērijiem un sliekšņiem. Termiņus nosaka Deleģētās regulas (ES) 2025/301 5. pants:

1. Sākotnējais paziņojums: cik drīz vien iespējams, bet četru stundu laikā no brīža, kad incidents klasificēts kā būtisks, un ne vēlāk kā 24 stundas no brīža, kad finanšu vienība par to uzzinājusi. Ja būtiskums atklājas vēlāk par 24 stundām, četru stundu termiņš skaitās no klasifikācijas.
2. Starpposma ziņojums: ne vēlāk kā 72 stundu laikā pēc sākotnējā paziņojuma, pat ja statuss nav mainījies; atjaunināts starpposma ziņojums – tiklīdz atjaunotas regulārās darbības.
3. Gala ziņojums: ne vēlāk kā vienu mēnesi pēc (pēdējā) starpposma ziņojuma.

Ja termiņš iekrīt brīvdienā vai svētku dienā, ziņojumu var iesniegt līdz nākamās darbdienas pulksten 12.00. Šis atvieglojums neattiecas uz sākotnējo paziņojumu un starpposma ziņojumu, ko iesniedz kredītiestādes, centrālie darījumu partneri, tirdzniecības vietu uzturētāji un finanšu vienības, kas ir būtiskas vai svarīgas vienības NIS2 izpratnē. Ja termiņu nevar ievērot, iestāde jāinformē pirms termiņa beigām un jāpaskaidro kavēšanās iemesli.

Latvijas Banka ziņošanas lapā nosaka kanālu un formātu: ziņojumus iesniedz Latvijas Bankas drošības sistēmā (FAS), bet, ja tai nav piekļuves, – uz ict_incidents@bank.lv, izmantojot Latvijas Bankas XLSX veidnes latviešu vai angļu valodā. Ja finanšu iestāde ziņojumu nosūtījusi arī Nacionālajam kiberdrošības centram vai konsultējusies ar to, tas jānorāda sākotnējā ziņojumā. Tās iestādes, kas gada laikā ziņojušas par būtiskiem incidentiem, līdz nākamā gada 1. aprīlim sagatavo pārskatu par incidentu kopējām gada izmaksām un zaudējumiem un iesniedz to pēc pieprasījuma.

Neaizmirstiet klientus. Ja incidents ietekmē klientu finanšu intereses, finanšu vienība bez nepamatotas kavēšanās informē klientus par incidentu un veiktajiem pasākumiem (19. panta 3. punkts). Ja incidentā skarti personas dati, paralēli var sākties Vispārīgās datu aizsardzības regulas 72 stundu termiņš Datu valsts inspekcijai.

Testēšana un draudu vadīta ielaušanās testēšana (DVIT)

Digitālās darbības noturības testēšanas programmu (24. pants) izveido un uztur visas finanšu vienības, kas nav mikrouzņēmumi. 25. pants min piemērus: ievainojamību novērtējumi un skenēšana, tīkla drošības novērtējumi, pirmkodu pārskatīšana, scenāriju testi, veiktspējas testi un ielaušanās testēšana. Visas IKT sistēmas un lietojumprogrammas, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, jātestē vismaz reizi gadā (24. panta 6. punkts); mikrouzņēmumi testē pēc riska pieejas (25. panta 3. punkts). Padziļināto testēšanu – draudu vadītu ielaušanās testēšanu, latviešu tekstā DVIT – 26. pants prasa tikai tām vienībām, kuras identificē kompetentā iestāde, un tad vismaz reizi trijos gados.

DVIT regulatīvais tehniskais standarts (Deleģētā regula (ES) 2025/1190) ir saskaņots ar TIBER-EU sistēmu un nosaka, kuras vienības parasti jāiekļauj: kredītiestādes, kas ir globālas vai citas sistēmiski nozīmīgas iestādes vai to grupas daļa, maksājumu un elektroniskās naudas iestādes, kuru maksājumu darījumu kopējā vērtība divus gadus pēc kārtas pārsniegusi 150 miljardus euro, centrālie darījumu partneri, centrālie vērtspapīru depozitāriji, lielākās tirdzniecības vietas un lielākie apdrošinātāji. Sarkanās komandas aktīvā testēšana ilgst vismaz 12 nedēļas. Ja vienība izmanto iekšējos testētājus, katrā trešajā testā jāpiesaista ārējs testētājs, bet nozīmīgās kredītiestādes drīkst izmantot tikai ārējos.

Latvijas Banka paskaidrojusi, ka DVIT subjektus izraudzīsies, vērtējot IKT pārvaldības briedumu un kritiskumu finanšu sistēmai, galvenokārt pievēršoties sistēmiski nozīmīgiem tirgus dalībniekiem, un vadību par iekļaušanu informēs savlaicīgi. Ja jūsu iestāde var nonākt šajā lokā, sāciet ar kontroles komandas izveidi un kritiski svarīgo funkciju sarakstu – DVIT tvērumu validē uzraugs. OffSeq var palīdzēt DVIT plānošanā un sarkanās komandas testēšanā atbilstoši TIBER-EU loģikai.

Trešās personas un informācijas reģistrs

Finanšu vienība paliek pilnībā atbildīga arī par to, ko tās vārdā dara IKT pakalpojumu sniedzēji (28. panta 1. punkts). Tāpēc DORA nosaka līgumu minimālo saturu (30. pants), prasa uzturēt informācijas reģistru par visām IKT līgumiskajām vienošanām (28. panta 3. punkts) un ieviest atkāpšanās stratēģijas kritiski svarīgām vai svarīgām funkcijām. Latvijas Banka reģistru pieprasa katru gadu līdz 1. martam ar iepriekšējā gada 31. decembra datiem; grupas iesniedz vienu konsolidētu reģistru.

Latvijas Banka arī sagaida, ka par plānotu IKT pakalpojumu, kas atbalsta kritiski svarīgu vai svarīgu funkciju, tirgus dalībnieks to informēs 30 dienas pirms pakalpojuma izmantošanas, pievienojot pakalpojuma aprakstu un risku novērtējumu. Kā tas izskatās no piegādātāja puses un ko bankas faktiski prasa līgumos, izklāstīts ceļvedī DORA IKT pakalpojumu sniedzējiem.

Latvijas likums: uzraudzība un sankcijas

Likuma 8. pants nosaka Latvijas Banku par DORA kompetento iestādi 46. panta izpratnē un piešķir tai 50. panta 2. punkta tiesības. Latvijas Banka nosaka metodiku, kā novērtēt zaudējumus no būtiskiem incidentiem, prasības ziņošanai un kārtību, kādā tā saņem informācijas reģistra datus. Tā pati iestāde uzrauga arī MI akta prasību ievērošanu finanšu tirgū (8. panta piektā daļa).

Sankcijas par DORA pārkāpumiem Latvijā

Sankcija vai pasākums	Apmērs	Pamats
Brīdinājums	–	10. panta pirmās daļas 1. punkts
Soda nauda juridiskai personai	Līdz 5 miljoniem euro vai līdz 3 % no kopējā gada apgrozījuma, atkarībā no tā, kurš lielāks	10. panta pirmās daļas 2. punkts
Soda nauda fiziskai personai	Līdz 700 000 euro	10. panta pirmās daļas 2. punkts
Administratīvie pasākumi	Rīkojums izbeigt darbību; pagaidu aizliegums fiziskai personai pildīt pienākumus līdz diviem gadiem	10. panta ceturtā daļa

Būtiski, ka 11. panta pirmā daļa sankcionējamus pārkāpumus uzskaita pa DORA pantiem: no IKT riska pārvaldības (5.–14. pants) līdz incidentu ziņošanai (17.–19. pants), testēšanai (24.–27. pants), trešo personu riskam (28.–30. pants) un informācijas apmaiņai (45. pants). Tas ir labs kontrolsaraksts iekšējam auditam: ja kāds no šiem pantiem nav kartēts uz konkrētu procesu un atbildīgo, tur ir jūsu risks.

Kas jādara tagad

1. Pārbaudiet, kurā likuma 4.–6. panta grupā ir jūsu iestāde, un dokumentējiet to; vienkāršotajā režīmā izmantojiet RTS 2024/1774 vienkāršotās sistēmas prasības.
2. Kartējiet likuma 11. panta pirmās daļas 22 punktus uz saviem procesiem, politikām un atbildīgajiem.
3. Izmēģiniet incidentu ziņošanu ar reālu laika zīmogu: atklāšana, klasifikācija, sākotnējais paziņojums FAS sistēmā četru stundu laikā. Iekļaujiet brīvdienu scenāriju.
4. Pārskatiet informācijas reģistru pirms 1. marta iesniegšanas un salīdziniet to ar faktiskajiem līgumiem.
5. Ja esat sistēmiski nozīmīgs dalībnieks, sagatavojiet DVIT kontroles komandu un kritiski svarīgo funkciju sarakstu.

Ja vajadzīgs neatkarīgs DORA gatavības novērtējums ar nepilnību sarakstu un ieviešanas plānu, skatiet OffSeq DORA atbilstības pakalpojumu. Kā DORA saistās ar citiem ES aktiem, parāda pārklājumu matrica. Šis ceļvedis sniedz informāciju, nevis juridisku konsultāciju.