ইউরোপীয় ইউনিয়ন

DORA — ডিজিটাল অপারেশনাল রেজিলিয়েন্স অ্যাক্ট

ডিজিটাল অপারেশনাল রেজিলিয়েন্স অ্যাক্ট, Regulation (EU) 2022/2554, 17 জানুয়ারি 2025 থেকে ইউরোপীয় ইউনিয়নের আর্থিক প্রতিষ্ঠানের ওপর প্রযোজ্য। এটি তাদের একটি নথিভুক্ত কাঠামোর অধীনে ICT ঝুঁকি ব্যবস্থাপনা করতে, বড় ICT-সংক্রান্ত ঘটনা নির্দিষ্ট সময়সীমার মধ্যে শ্রেণিবদ্ধ ও রিপোর্ট করতে, ডিজিটাল রেজিলিয়েন্স পরীক্ষা করতে, ICT থার্ড-পার্টি প্রোভাইডারের ঝুঁকি নিয়ন্ত্রণ করতে ও সেই চুক্তিগুলোর একটি রেজিস্টার রাখতে বাধ্য করে, এবং গুরুত্বপূর্ণ ICT থার্ড-পার্টি প্রোভাইডারদের সরাসরি তদারকির আওতায় আনে।

DORA আর্থিক প্রতিষ্ঠানকে রেজিলিয়েন্স বর্ণনা নয়, প্রদর্শন করতে বলে। DECIMA ইতিমধ্যে চালু থাকা সিস্টেম থেকেই সেই প্রদর্শন তৈরি করে।

এক নজরে

জারিকারী

ইউরোপীয় পার্লামেন্ট ও কাউন্সিল, Regulation (EU) 2022/2554, ইউরোপীয় সুপারভাইজরি অথরিটিগুলোর টেকনিক্যাল স্ট্যান্ডার্ডসহ

প্রযোজ্য

EU-র ব্যাংক, বিমাকারী, বিনিয়োগ প্রতিষ্ঠান, পেমেন্ট ও ই-মানি প্রতিষ্ঠান, ক্রিপ্টো-অ্যাসেট সার্ভিস প্রোভাইডার ও অন্যান্য আর্থিক প্রতিষ্ঠান, এবং তাদের ICT থার্ড-পার্টি প্রোভাইডার

কার্যকর

17 জানুয়ারি 2025 থেকে প্রযোজ্য

তত্ত্বাবধানকারী

জাতীয় উপযুক্ত কর্তৃপক্ষ; গুরুত্বপূর্ণ ICT থার্ড-পার্টি প্রোভাইডারদের তদারকি করে ESA-গুলো

বাধ্যবাধকতাটি কী চায়

রেগুলেশন যেভাবে বলে সেভাবে বাধ্যবাধকতাগুলো, একটি প্রোগ্রাম যে ক্রমে সেগুলো পূরণ করে সেই ক্রমে।

1. 01

   ICT ঝুঁকি ব্যবস্থাপনা কাঠামো

   সব ICT সম্পদের চিহ্নিতকরণ, সুরক্ষা, শনাক্তকরণ, সাড়াদান ও পুনরুদ্ধার কভার করা একটি নথিভুক্ত, বোর্ড-অনুমোদিত কাঠামো, বছরে অন্তত একবার পর্যালোচিত।

2. 02

   ICT-সংক্রান্ত ঘটনা রিপোর্টিং

   বড় ঘটনা অভিন্ন মানদণ্ডে শ্রেণিবদ্ধ করে উপযুক্ত কর্তৃপক্ষকে রিপোর্ট করা: শ্রেণিবদ্ধ করার চার ঘণ্টার মধ্যে এবং অবগত হওয়ার 24 ঘণ্টার পরে নয় — প্রাথমিক অবহিতকরণ, 72 ঘণ্টার মধ্যে মধ্যবর্তী প্রতিবেদন, এবং এক মাসের মধ্যে চূড়ান্ত প্রতিবেদন।

3. 03

   ডিজিটাল অপারেশনাল রেজিলিয়েন্স পরীক্ষা

   সব গুরুত্বপূর্ণ ICT সিস্টেমের জন্য বার্ষিক পরীক্ষা কর্মসূচি, এবং কর্তৃপক্ষ যেসব প্রতিষ্ঠানকে নির্ধারণ করে তাদের জন্য অন্তত প্রতি তিন বছরে হুমকি-ভিত্তিক পেনিট্রেশন টেস্টিং।

4. 04

   ICT থার্ড-পার্টি ঝুঁকি

   ICT প্রোভাইডারের সঙ্গে চুক্তিতে বাধ্যতামূলক ধারাগুলো থাকা, কনসেন্ট্রেশন ঝুঁকি মূল্যায়িত, প্রস্থান কৌশল প্রস্তুত, এবং সব ICT থার্ড-পার্টি চুক্তির একটি রেজিস্টার অব ইনফরমেশন রক্ষণাবেক্ষণ করা ও চাহিবামাত্র দাখিল করা।

5. 05

   তথ্য আদান-প্রদান

   বিশ্বস্ত গোষ্ঠীর মধ্যে অন্য আর্থিক প্রতিষ্ঠানের সঙ্গে সাইবার হুমকির তথ্য বিনিময়ের ব্যবস্থা।

DECIMA কীভাবে তা প্রমাণ করে

প্রতিটি প্রয়োজনীয়তার জবাব লাইভ সিস্টেম থেকে তারিখযুক্ত, পুনঃযাচাইযোগ্য রেকর্ড দিয়ে দেওয়া হয়, অ্যাসেসমেন্টের জন্য পূরণ করা প্রশ্নমালা থেকে নয়।

• কাঠামোর কন্ট্রোল ধারাবাহিকভাবে পড়া

  ICT ঝুঁকি কাঠামো যেসব কন্ট্রোলের নাম করে, সেগুলো নির্ধারিত সময়ে সেই সিস্টেম থেকে পড়া হয় যা সেগুলো চালায়; প্রতিটি পাঠ টাইমস্ট্যাম্প ও কাঠামোর সংস্করণসহ সংরক্ষিত, ফলে বার্ষিক পর্যালোচনা সারা বছরের প্রতিবেদন হয়ে ওঠে।

• ঘটনার সময়সীমা রেকর্ড থেকেই পূরণ

  DECIMA-র কাছে ইতিমধ্যে থাকা প্রমাণ থেকে ঘটনাগুলো DORA-র মানদণ্ডে শ্রেণিবদ্ধ হয়, এবং প্রাথমিক, মধ্যবর্তী ও চূড়ান্ত অবহিতকরণের খসড়া সেই রেকর্ড থেকে চার ঘণ্টা, 72 ঘণ্টা ও এক মাসের সময়সীমার মধ্যে তৈরি হয়।

• রেজিস্টার অব ইনফরমেশন হালনাগাদ রাখা

  ICT থার্ড-পার্টি চুক্তি, তাদের চুক্তিগত ধারা ও কনসেন্ট্রেশন কাঠামোবদ্ধ রেকর্ড হিসেবে রাখা হয় এবং কর্তৃপক্ষ যে ফরম্যাটে চায় সেই ফরম্যাটে এক্সপোর্ট করা হয়।

• পরীক্ষা চলার সঙ্গে সঙ্গেই প্রমাণিত

  রেজিলিয়েন্স পরীক্ষা ও হুমকি-ভিত্তিক পেনিট্রেশন টেস্ট পরিধি, ফলাফল ও প্রতিকারসহ রেকর্ড করা হয়, যে কন্ট্রোলগুলো সেগুলো যাচাই করেছে তার সঙ্গে সংযুক্ত।

04

ক্রেতারা যে প্রশ্ন করেন

সরাসরি উদ্ধৃত করার মতো সংক্ষিপ্ত উত্তর।