Externalizarea în cloud și DORA: Noile recomandări de la Banca Centrală Europeană explicate

Banca Centrală Europeană (BCE) a publicat un nou ghid privind externalizarea serviciilor către furnizorii de cloud (CSP). Deși nu este un act normativ obligatoriu, documentul stabilește așteptările clare ale BCE pentru instituțiile financiare, în special pentru băncile semnificative, în contextul aplicării Regulamentului DORA (Digital Operational Resilience Act). Ghidul introduce un nivel suplimentar de complexitate și detalii pe care entitățile trebuie să le abordeze pentru a-și asigura conformitatea.

Contextul ghidului: Mai mult decât DORA

Regulamentul DORA a stabilit un cadru unitar la nivel european pentru reziliența operațională digitală a sectorului financiar. Totuși, ghidul BCE vine să completeze acest regulament, oferind o interpretare detaliată și exemple de bune practici. Scopul său este de a clarifica cum ar trebui instituțiile financiare să implementeze cerințele DORA în mod specific pentru serviciile de cloud. Chiar dacă se adresează direct instituțiilor supravegheate de BCE, standardele prezentate vor influența probabil și autoritățile naționale de reglementare, devenind un reper pentru întregul sector.

Așteptările cheie ale BCE pentru instituțiile financiare

Ghidul detaliază o serie de măsuri și politici pe care entitățile financiare ar trebui să le adopte atunci când utilizează servicii de cloud. Acestea acoperă întregul ciclu de viață al externalizării, de la strategie la audit.

Guvernanță, strategie cloud și clasificarea activelor

Pe lângă cerințele DORA, BCE se așteaptă ca instituțiile să adopte:

• O strategie dedicată pentru cloud, aliniată cu celelalte strategii de afaceri, fie ca parte a strategiei de reziliență operațională, fie ca document separat.
• O politică clară pentru clasificarea tuturor activelor ICT, inclusiv a celor externalizate către furnizorii de servicii cloud.
• Un cadru de guvernanță care definește rolurile și responsabilitățile specifice pentru managementul serviciilor cloud.

Evaluarea riscurilor specifice serviciilor cloud

Instituțiile financiare trebuie să efectueze evaluări de risc amănunțite, cu un accent special pe următoarele aspecte:

• Dependența de furnizor (vendor lock-in) și dificultățile de a schimba furnizorul.
• Protecția și localizarea datelor, inclusiv riscurile politice și fizice specifice regiunii unde sunt stocate datele.
• Riscul de creștere a prețurilor, imprevizibilitatea costurilor și scăderea calității serviciilor.
• Riscurile asociate mediilor multi-tenant (utilizarea aceleiași infrastructuri de către mai mulți clienți).
• Lipsa de transparență privind utilizarea subcontractanților de către furnizorul principal.
• Riscul de concentrare, unde un singur furnizor oferă un număr mare de servicii critice.

Continuitatea afacerii și strategia de exit

BCE subliniază importanța planurilor solide de continuitate și recuperare în caz de dezastru. O atenție deosebită este acordată strategiei de exit pentru serviciile care sprijină funcții critice sau importante (FCI). Se recomandă:

• Asigurarea existenței unor centre de date active multiple, în locații geografice diferite, cu surse de alimentare și conexiuni de rețea independente.
• Utilizarea unei arhitecturi hibride de cloud sau a mai multor furnizori pentru a spori reziliența.
• Testarea riguroasă a scenariilor de dezastru, care să includă nu doar defecțiuni complete, ci și pierderi parțiale sau întreruperi regionale.
• Menținerea unei liste de furnizori alternativi calificați și elaborarea unor planuri detaliate de migrare, care să includă estimări de timp și costuri.

Securitatea datelor și managementul accesului

Ghidul include măsuri specifice pentru securitatea datelor în cloud:

• Utilizarea criptării pentru datele în tranzit, în repaus și, unde este posibil, în uz. Politicile de criptare și managementul cheilor criptografice trebuie să respecte standardele actuale și să fie revizuite periodic.
• Cheile de criptare utilizate pentru datele instituției trebuie să fie unice și să nu fie partajate cu alți clienți ai serviciului cloud.
• Restricționarea locațiilor geografice unde furnizorul poate stoca și procesa datele, implementând mecanisme de monitorizare a conformității.
• Aplicarea autentificării multi-factor pentru toți utilizatorii, în special pentru cei cu drepturi de acces privilegiate la serviciile care sprijină funcții critice.

Monitorizarea furnizorilor și clauzele contractuale

Instituțiile financiare nu ar trebui să se bazeze exclusiv pe instrumentele de monitorizare oferite de furnizorul de cloud. Este necesară utilizarea unor instrumente independente și menținerea unei expertize interne adecvate pentru a supraveghea performanța CSP. Contractele ar trebui să includă clauze specifice, precum dreptul de a solicita acțiuni corective și o metodologie clară pentru calcularea costurilor de audit la fața locului.

Audit și verificare

BCE insistă ca entitățile financiare să nu se bazeze doar pe rapoartele de audit și certificările furnizate de CSP. Auditurile proprii trebuie să verifice dacă furnizorul își aplică corect politicile interne și dacă managementul său de risc este adecvat. Contractele ar trebui să garanteze dreptul de acces, inspecție și audit pentru instituția financiară, auditorii săi interni și autoritățile de supraveghere competente, chiar și pentru serviciile care nu sunt considerate critice.

De când se aplică aceste recomandări?

Ghidul BCE nu este un act legislativ și, prin urmare, nu are o dată fixă de intrare în vigoare. Cu toate acestea, el reprezintă viziunea actuală a supraveghetorului european și stabilește standardul de conformitate așteptat în cadrul auditurilor și evaluărilor viitoare. Instituțiile financiare, în special cele supravegheate direct de BCE, trebuie să considere aceste recomandări ca fiind aplicabile imediat în eforturile lor de aliniere la Regulamentul DORA.

Impactul practic pentru instituțiile din România

Acest ghid ridică standardul de conformitate pentru toate instituțiile financiare care folosesc servicii cloud. Chiar și entitățile mai mici, care nu sunt sub supravegherea directă a BCE, ar trebui să analizeze aceste bune practici, deoarece ele vor constitui probabil un punct de referință pentru autoritățile naționale. Concret, instituțiile trebuie să își revizuiască strategiile de cloud, contractele cu furnizorii, politicile de securitate și planurile de continuitate pentru a se asigura că acestea corespund așteptărilor detaliate de BCE. Ignorarea acestor recomandări ar putea duce la constatări negative în timpul viitoarelor inspecții de supraveghere.

Sursa informațiilor se bazează pe Ghid publicat de Banca Centrală Europeană în iulie 2025 și pe o analiză a CMS law.tax.future din 29 august 2025.

Keywords: ghid BCE, externalizare cloud, regulamentul DORA, servicii cloud banci, securitate cibernetica, rezilienta operationala digitala, institutii financiare, CSP.