什麼是 DORA 法規？歐盟數位韌性框架

什麼是 DORA 法規？

歐盟的金融機構面臨一項自 2025 年 1 月 17 日起生效的強制性合規框架，若未遵循規定，罰則最高可達 500 萬至 1,000 萬歐元，或年度營業額的 5% 至 10%。數位營運韌性法案（DORA），正式名稱為 Regulation (EU) 2022/2554，為歐盟金融實體的 ICT 風險管理建立統一要求。根據官方法規文本，DORA 要求金融實體達到高度一致的數位營運韌性水準，這表示您必須證明具備承受、回應及從任何涉及資訊與通訊技術的中斷中復原的能力。

DORA 規範受涵蓋的金融實體，包括信用機構、支付服務提供者、投資公司、加密資產服務提供者、保險公司，以及 ICT 第三方服務提供者。若您在歐盟金融產業營運，DORA 很可能規範您的安全營運。

產業研究顯示，僅有一小部分金融機構回報已完全符合 ICT 第三方風險管理要求 [TKTK - need source]，這是所有 DORA 支柱中合規程度最低的領域之一。2025 年 4 月 30 日的第三方申報期限，若您尚未處理這些缺口，則需要立即採取行動。

了解此法規存在的原因，有助於掌握其要求範圍的脈絡。

為何 DORA 對金融機構很重要

DORA 在整個歐盟金融產業建立一致化的數位營運韌性要求，消除過去造成合規複雜性與安全缺口的碎片化情況。近期針對金融機構的網路攻擊，正好說明了此法規存在的原因。

2016 年，攻擊者利用 SWIFT 訊息系統從 Bangladesh Bank 竊取 8,100 萬美元，暴露出第三方 ICT 風險管理 的關鍵弱點，而這正是 DORA 現在要處理的問題。2019 年的 Capital One 資料外洩事件，因雲端環境設定錯誤而導致超過 1 億筆客戶紀錄遭到洩露，凸顯在混合式基礎架構中需要統一的 ICT 風險框架。2018 年，攻擊者使用破壞性 malware 分散 Banco de Chile 員工注意力，同時透過詐騙性的 SWIFT 交易竊取 1,000 萬美元，顯示營運中斷如何掩護金融竊盜。

• 降低系統性風險：透過強制要求一致的 ICT 風險管理標準，DORA 降低單一機構的營運失敗在金融系統中連鎖擴散的可能性。這種一致化方法可確保金融實體能承受、回應並從 ICT 中斷中復原。
• 第三方風險透明度： 關鍵第三方提供者監督框架，處理當金融產業依賴有限的 ICT 提供者時所產生的集中風險。根據 EIOPA oversight framework，第 31 至 44 條建立了對關鍵 ICT 第三方服務提供者（CTPPs）的直接監管監督，這標誌著歐盟首次在此規模上建立此類監督。
• 事件回應標準化： 4 小時通報要求，使金融實體處理安全事件的方式更具一致性。當重大 ICT 相關事件具有系統性影響潛力時，主管機關會透過 European Systemic Cyber Incident Coordination Framework (EU-SCICF) 協調回應。
• 強化客戶保護： DORA 要求金融實體向主管機關通報重大 ICT 相關事件與重大 網路安全威脅，至於是否有義務通知客戶，若有，也係源自 GDPR 或 PSD2 等其他部門法規，而非 DORA 本身。

這些效益廣泛適用於整個金融產業，但第一步是判斷您的組織是否屬於 DORA 的適用範圍。

誰必須遵循 DORA？

DORA 適用於在歐盟境內營運的 21 類金融實體，形成金融服務網路安全領域中最廣泛的監管範圍之一。 Article 2 定義了受涵蓋實體的完整清單。

傳統金融機構構成核心適用範圍：信用機構、支付機構、電子貨幣機構、投資公司，以及中央證券存管機構。保險與再保險事業、保險中介，以及職業退休金機構也受 DORA 要求規範。該法規亦涵蓋加密資產服務提供者、群眾募資服務提供者，以及證券化資料庫。

市場基礎設施實體，包括交易場所、交易資料庫、集中交易對手，以及資料申報服務提供者，皆須遵循規定。信用評等機構、關鍵基準管理者，以及帳戶資訊服務提供者，則構成金融實體類別的其餘部分。

當 ICT 第三方服務提供者為歐盟金融實體提供服務時，即受 DORA 要求規範，無論該提供者總部位於何處。向歐盟銀行提供雲端服務、軟體或託管服務的非歐盟科技公司，必須符合 DORA 的合約要求。ESAs 會根據系統重要性，將某些提供者指定為關鍵第三方提供者（CTPPs），使其受到直接監管監督。

第 4 條下的比例原則允許較小型實體依其規模、風險概況與複雜度，採取相稱的要求。微型企業依第 16(3) 條可適用簡化的 ICT 風險管理框架，但仍須遵守事件通報與第三方監督義務。

一旦您確認 DORA 適用於您的組織，下一個問題就是您將面臨哪些具體的安全義務。

DORA 網路安全要求

DORA 明確處理支援金融產業業務流程之網路與資訊系統的安全性。ICT 相關中斷與網路威脅，對金融穩定、營運持續性與客戶保護構成重大風險。

Article 15 明定了明確的網路安全要求：您必須監控網路使用模式、時段、IT 活動及未知裝置中的異常行為。根據官方法規文本，金融實體必須透過適當指標，實施與 ICT 風險相關的異常行為監控。

事件通報要求超出了傳統網路安全框架的範圍。 Articles 19 and 20 要求您在事件與威脅報告中納入 threat actor 歸因。您必須在 4 小時內將事件分類為重大或非重大，然後向您的國家主管機關提交初始通報。

DORA 作為金融產業的特別法，優先於 NIS2。雖然 ISO 27001 提供了基礎，DORA 仍透過強制性的 threat actor 歸因、客戶通知義務，以及處理系統性集中風險的第三方監督機制，擴展了相關要求。

這些網路安全要求構成 DORA 更廣泛監管架構的一部分，該架構將義務組織為五個明確的支柱。

DORA 如何運作

DORA 透過由 European Supervisory Authorities 協調、並由國家主管機關執行的強制性技術要求來運作。

您的 ICT 風險管理框架 需要策略、政策與程序。根據 DORA 的監管要求所確立，您的管理機構對 ICT 風險監督負有最終責任，如 Citi 的監管簡報。

當事件發生時，您應在識別後立即使用預先定義的標準對事件進行分類。對於重大事件，您必須在分類後 4 小時內向您的國家主管機關提交初始通知，並隨著情況發展依序提交後續通知。

韌性測試計畫依照既定週期運作。對大多數實體而言，您應根據自身風險概況進行定期評估與情境式測試。若監管機關認定您的機構具有重要性，您必須至少每 3 年執行一次 TLPT。測試完成後，您應記錄摘要發現與附有時程的補救計畫。

第三方監督透過合約要求與監管指定來運作。在委聘 ICT 服務供應商之前，您必須驗證其符合 DORA 的資訊安全標準。根據 Article 30，您的合約必須包含：

• 具備效能指標的服務水準協議
• 安全標準與合規要求
• 稽核權利與存取條款
• 退出策略與轉換規劃

ESAs 根據系統重要性將某些供應商指定為關鍵第三方供應商（CTPPs）。這些 CTPPs 無論其註冊地為何，皆須接受直接監管監督。

DORA 的五大支柱中，有兩項對安全團隊承擔最多的營運權重：ICT 風險管理與事件通報。

DORA 下的 ICT 風險管理

ICT 風險管理構成 DORA 監管框架的基礎。 Article 6 要求金融實體建立 ICT 風險管理框架，作為其整體 風險管理 系統的組成部分，並將直接問責分配給管理機構。

您的管理機構必須定義、核准、監督並對 ICT 風險管理安排負責。這包括設定風險容忍度、核准 ICT 業務持續性政策，以及為數位營運韌性分配足夠預算。DORA 明確指出，ICT 風險是董事會層級的責任，而非 IT 部門職能。

Article 8 規定必須識別 ICT 風險的所有來源，包括因 ICT 第三方依賴而產生的風險。您必須維護完整的 ICT 資產清冊、繪製系統間相依關係，並記錄所有由 ICT 支援的業務功能。這項映射工作可揭示可能中斷關鍵金融服務的集中風險與單點故障。

Article 9 下的保護與預防要求規定，金融實體必須在數個領域實施 ICT 安全政策：

• 傳輸中與靜態資料的資訊安全
• 網路安全 管理與分段
• 存取控制 政策與驗證機制
• 修補程式與更新管理程序
• ICT 資產的實體與環境安全

這些控制措施必須作為整合式系統運作，而非彼此獨立套用的孤立措施。

偵測能力同樣關鍵。 Article 10 要求具備可迅速發現異常活動的機制，包括 ICT 網路效能問題與 ICT 相關事件。您的偵測基礎架構必須透過適當指標監控異常行為，並啟用多層控制。

Articles 11 與 12 下的回應與復原程序完善了此框架。您必須實施 ICT 業務持續性政策、災難復原計畫與備份政策。這些措施必須定期測試，並根據中斷事件、韌性測試與稽核發現所獲得的經驗教訓進行更新。

履行這些 ICT 風險管理義務，為 DORA 同樣嚴格的事件通報要求奠定基礎。

DORA 下的事件通報要求

DORA 建立了一套結構化且具時限的事件通報框架，超越多數金融實體在先前法規下已實施的內容。 Articles 17 through 23 定義了 ICT 相關事件的分類標準、通報時程與通知義務。

您必須先使用 Article 18 所定義的標準對每一項 ICT 相關事件進行分類。分類因素包括受影響客戶數量、事件持續時間與地理範圍、涉及的資料損失、受影響服務的關鍵性，以及經濟影響。根據此評估，您可判定該事件是否符合 DORA 門檻下的「重大」事件資格。

對於重大事件，通報時程相當嚴格：

• 初始通知： 在事件分類後 4 小時內
• 中期報告： 在初始通知後 72 小時內，涵蓋進度更新、初步根本原因分析，以及已實施的暫時措施
• 最終報告： 在中期報告後一個月內，包含已確認的根本原因分析、實際影響評估，以及已採取的補救措施

有效的 事件回應 流程對於滿足這些時限要求變得至關重要。第 19 條和第 20 條還要求在您的事件與威脅報告中進行 threat actor 歸因，從而產生對 threat intelligence 在您的報告工作流程中整合的需求。

除了重大事件之外，DORA 依據第 19 條引入了重大網路威脅的自願通報。當金融實體識別出其認為與金融系統相關的網路威脅時，即使該威脅尚未導致事件，也可以通知其主管機關。

這些通報義務伴隨著執法後果，這就引出了 DORA 的處罰框架。

DORA 處罰與執法

DORA 執法由各國主管機關執行，並由歐洲監理機關（EBA、ESMA 和 EIOPA）協調。各歐盟成員國在 DORA 參數範圍內實施其自身的處罰框架，因此在最高罰款與執法方式上有所差異。

各成員國的處罰結構差異顯著。根據 DLA Piper's analysis，比利時的最高處罰為 500 萬歐元或年度淨營業額的 10%。瑞典將處罰計算為以下三者中的最高者：100 萬歐元、年度總淨營業額的 10%，或違規所得利益的三倍。德國的框架允許對法人處以最高 500 萬歐元的罰款，對擔任管理職位的自然人處以最高 50 萬歐元的罰款。

執法權力不僅限於財務處罰。主管機關可以：

• 發布停止並禁止命令，要求立即補救
• 發布公開警告，點名識別不合規實體
• 撤換對 ICT 風險監督失職負責的董事會成員

這些聲譽後果在長期業務影響上往往超過直接的財務處罰。

第 54 條 要求主管機關在其官方網站上公布施加行政處罰的決定，包括有關違規類型與性質以及責任人身分的資訊。這種公開揭露機制創造了透明度，但也為不合規組織帶來重大的聲譽風險。

關鍵第三方提供者直接受到由 ESAs 指定的首席監督者監管。未遵守監督建議的 CTPPs 將面臨定期罰款，直到其達成合規為止，且此類罰款獨立於對其所服務金融實體施加的處罰。

考量到這些執法風險，了解合規的實務障礙變得至關重要。

實施 DORA 的挑戰

產業研究揭示了整個金融業普遍存在的系統性實施障礙，其中 ICT 第三方風險管理與數位營運韌性測試的合規水準最低。

1. 第三方風險管理的複雜性： ICT 第三方風險管理是所有 DORA 支柱中合規程度最低的領域。組織面臨著對可能多達數千份合約進行技術支援法律審查的前景，每份合約都需要驗證供應商是否符合 DORA 的安全標準。
2. 測試計畫缺失： 數位營運韌性測試同樣顯示出令人擔憂的合規水準。這表明組織難以實施 DORA 要求的威脅導向滲透測試框架。
3. 多雲可視性缺口： 建立對複雜、隔離且分段的 ICT 系統的集中總覽是一項重大挑戰。您需要從多雲環境擷取中繼資料、整合地端基礎架構，以及完整的資產清冊。整合多雲與地端環境監控的統一可視性平台有助於應對這項挑戰。
4. 事件歸因要求： 在事件報告中納入 threat actor attribution 的要求，帶來了超出傳統事件回應範圍的營運負擔。此要求需要存取 threat intelligence 摘要來源，以及具備歸因專業知識的分析師，並搭配自主化報告工作流程，以支援包含客戶溝通在內的多方利害關係人通知。
5. 時限壓力： 事件分類後的 4 小時通報要求帶來顯著的營運壓力。具備自主能力的安全平台可在無需人工介入的情況下發現並分類威脅，從而縮短回應時間。當事件發生在凌晨 2 點時，您只有四小時來分類嚴重性、評估影響、判定 threat actors，並提交初始通報。

要避免這些障礙，需要採取審慎策略來應對 DORA 最嚴苛的要求。

DORA 最佳實務

成功實施 DORA 需要在治理、營運與技術層面採取結構化方法。

優先處理第三方風險管理： 鑑於第三方風險管理的合規率最低，請對所有 ICT 服務供應商合約進行技術支援的法律審查。對關鍵供應商實施個別化方法。建立對第三方合規性的持續監控，並透過多元化策略處理集中風險。

實施自主式事件回應： 部署行為 AI 的安全平台可依據第 15 條要求，監控網路模式、時段、IT 活動與未知裝置中的異常行為，從而實現快速事件回應。您需要 security platforms 提供自主能力來發現並分類威脅，協助您滿足 4 小時通報時限。請確保您的基礎架構包含 threat intelligence 整合，以支援第 19 至 20 條要求的 threat actor 歸因分析。

依風險概況建立測試計畫： 對已識別的關鍵系統至少每 3 年實施一次威脅導向滲透測試（TLPT）。您的測試計畫應包括：

• 定期進行情境式韌性演練
• 具摘要發現的文件化測試結果
• 具體時程的補救計畫
• 與業務持續營運規劃整合

部署統一可視性平台： 在多雲端與地端環境中建立集中式可視性。維護完整的 ICT 資產清冊。實施持續性態勢管理。根據產業建議，建立 ICT 相依性的單一事實來源，以因應多雲端與混合式基礎架構可視性挑戰。

建立持續性合規： 建立持續性的 合規監控 計畫，而非一次性的評估。建立從測試回饋至風險管理的迴圈。持續掌握不斷演變的監管期望。規劃監管技術標準更新。監控主管機關對關鍵第三方供應商的指定。

除了這些營運實務之外，了解 DORA 的合規時程有助於排定實作工作的優先順序。

DORA 合規時程與關鍵期限

DORA 採用分階段實施時程，自發布起開始，並持續透過監管技術標準更新推進。領先掌握這些期限對於維持合規至關重要。

DORA 於 EU 官方公報 2022 年 12 月 27 日發布，並於 2023 年 1 月 16 日生效。金融實體與 ICT 第三方服務供應商有兩年的過渡期來實施該法規的要求。

主要執行日期為 2025 年 1 月 17 日。自此日起，所有涵蓋的金融實體都必須證明符合 DORA 的核心要求：ICT 風險管理框架、事件通報程序、韌性測試計畫，以及第三方風險管理義務。

執行後的關鍵期限包括：

• 2025 年 1 月 17 日： 所有涵蓋實體皆須完全合規
• 2025 年 4 月 30 日： 向主管機關首次提交 ICT 第三方安排資訊登錄冊的截止日期
• 持續進行（每 3 年）： 對被認定為重大者實施威脅導向滲透測試 (TLPT)
• 持續進行： 每年更新 ICT 第三方登錄冊，並持續監控第三方合規情況

歐洲監理機關持續發布監管技術標準 (RTS) 與實施技術標準 (ITS)，針對特定 DORA 義務提供詳細指引。涵蓋 ICT 風險管理、事件分類與第三方風險的 第一批 RTS 已於 2024 年初定案。隨後發布了第二批，處理 TLPT 要求與進階測試框架。

金融實體應監控 ESA 發布內容，以掌握技術標準與監理指引的更新，這些更新可能會隨時間推進而細化合規期望。DORA 也與其他 EU 監管框架相互交織，金融實體必須同時因應。

DORA 與相關 EU 法規

DORA 與多項 EU 法規並行運作，這些法規共同塑造金融機構的網路安全與營運韌性環境。了解這些框架如何互動，可避免重複投入並確保完整的監管涵蓋。

• DORA 與 NIS2： DORA 作為金融業的特別法運作，這表示對於其適用範圍內的實體，DORA 優先於網路與資訊安全指令 (NIS2)。在兩項法規皆可能適用的情況下，DORA 針對金融業的特定要求將優先於 NIS2 的一般網路安全規定。然而，未被歸類為 CTPP 的 ICT 服務供應商，若依該指令符合關鍵或重要實體資格，仍可能受 NIS2 義務約束。
• DORA 與 GDPR： 一般資料保護規則 仍與 DORA 一併適用，特別是在個人資料外洩通報方面。當與 ICT 相關的事件涉及個人資料時，您必須同時遵守 DORA 的事件通報時程（4 小時內向主管機關進行初始通知）以及 GDPR 的 72 小時內向資料保護機關通報。這兩條通報流程平行運作，具有不同的時程、接收對象與內容要求。
• DORA 與 Cyber Resilience Act (CRA)： CRA 著重於在 EU 市場上投放之具數位元素產品的網路安全要求。DORA 規範金融實體如何在營運上管理 ICT 風險，而 CRA 則處理這些實體所採購之硬體與軟體產品的安全性。兩者共同建立供應鏈安全框架，其中產品製造商必須符合 CRA 標準，而金融實體則必須依據 DORA 驗證供應商合規。
• DORA 與 ISO 27001： ISO 27001 提供自願性資訊安全管理系統框架，而 DORA 則施加強制性要求。ENISA 提供官方對照表，將 DORA 要求與 ISO 27001 控制項建立關聯。已取得 ISO 27001 認證的金融實體具備先行優勢，但在威脅行為者歸因、客戶通知協定、第三方集中風險管理，以及 DORA 明確要求的 TLPT 要求方面，仍存在缺口。

實施這些最佳實務並因應監管重疊，需要為持續監控與快速回應而建置的安全基礎架構。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點摘要

DORA 要求整個歐盟金融實體具備數位營運韌性，並自 2025 年 1 月 17 日起開始執行。該法規要求建立由董事會層級負責的 ICT 風險管理框架、對重大事件進行分類並於 4 小時內通報（包括威脅行為者歸因）、對重要實體至少每三年進行一次包含 TLPT 的韌性測試、對第三方進行監督並自 2025 年 4 月 30 日起開始提交 ICT 供應商報告，以及建立用於交換網路威脅情報的資訊分享機制。

第三方風險管理與韌性測試在整個金融業中顯示出最低的合規率，造成顯著的監管曝險。可監控異常行為、提供威脅情報整合並支援快速事件回應的安全平台，有助於組織滿足 DORA 嚴格的要求。