We wrześniu 2020 r. Komisja Europejska opublikowała projekt rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego (z ang. Digital Operational Resiliance Act – DORA). Projekt jest konsekwencją wydanej przez Komisję Europejską strategii dla Unii Europejskiej w zakresie finansów cyfrowych, w tym zapowiedzianego w niej pakietu regulacji prawnych dotyczących finansów cyfrowych. Poza rozporządzeniem DORA na pakiet składają się rozporządzenie ws. kryptoaktywów, rozporządzenie ws. infrastruktur rynkowych opartych na technologii rozproszonego rejestru (DLT) oraz dyrektywa ws. wyjaśnienia lub zmiany niektórych przepisów w zakresie usług finansowych. W czasie pandemii liczba cyberataków na instytucje finansowe wzrosła o 38 proc. W konsekwencji przyjęcie spójnej, kompleksowej i paneuropejskiej regulacji dotyczącej bezpieczeństwa operacyjnego sektora finansowego stało się priorytetem Komisji Europejskiej, którego efektem jest DORA.
DORA jest również efektem swoistej autorefleksji legislacyjnej jej autorów, którzy po kryzysie finansowym w 2008 r. skoncentrowali się wyłącznie na tworzeniu przepisów dotyczących odporności finansowej, zapominając o odporności operacyjnej.
Kolejnym argumentem podnoszonym przez autorów DORA jest wyraźnie widoczne zróżnicowanie w podejściu do uregulowania bezpieczeństwa operacyjnego sektora finansowego przez poszczególne kraje członkowskie. Taki stan rzeczy wpływa negatywnie na utrzymanie zasad swobody przedsiębiorczości i świadczenia usług przez podmioty funkcjonujące na rynku finansowym, szczególnie w obliczu transgranicznego modelu prowadzonej przez nie działalności.
DORA wprowadza zmiany w kilku obszarach bezpieczeństwa operacyjnego. W wielu przypadkach zmiany te mają charakter zasadniczy. Do obszarów tych należą wymagania:
- związane z zarządzaniem ryzykiem ICT,
