Apa yang dimaksud dengan Digital Operational Resilience Act (DORA)?

DORA menetapkan standar teknis untuk entitas keuangan dan penyedia layanan teknologi pihak ketiga penting mereka. Ini pertama kali mulai berlaku pada 17 Januari 2025.

DORA memiliki dua tujuan utama: untuk menangani manajemen risiko TIK secara komprehensif di sektor jasa keuangan dan untuk menyelaraskan peraturan manajemen risiko TIK yang telah ada di masing-masing negara anggota Uni Eropa.

Sebelum DORA, peraturan manajemen risiko untuk lembaga keuangan di Uni Eropa terutama berfokus pada memastikan bahwa perusahaan memiliki modal yang cukup untuk menutupi risiko operasional. Meskipun beberapa regulator Uni Eropa mengeluarkan panduan tentang manajemen risiko TIK dan keamanan, panduan ini tidak berlaku untuk semua entitas keuangan secara merata, dan sering kali panduan ini mengandalkan prinsip-prinsip umum daripada standar teknis yang spesifik. Dengan tidak adanya aturan manajemen risiko TIK tingkat Uni Eropa, negara-negara anggota Uni Eropa mengeluarkan persyaratan mereka sendiri. Tambal sulam peraturan ini telah terbukti sulit untuk diatasi oleh entitas keuangan.

Dengan DORA, Uni Eropa bertujuan untuk membuat kerangka kerja universal untuk mengelola dan memitigasi risiko TIK di sektor keuangan. Dengan menyelaraskan aturan manajemen risiko di seluruh Uni Eropa, DORA berupaya menghilangkan kesenjangan, tumpang tindih, dan konflik yang mungkin timbul di antara berbagai peraturan yang berbeda di berbagai negara Uni Eropa. Seperangkat aturan bersama dapat mempermudah entitas keuangan untuk mematuhi sekaligus meningkatkan ketahanan sistem keuangan Uni Eropa secara keseluruhan dengan memastikan bahwa setiap institusi memiliki standar yang sama.

DORA berlaku untuk semua lembaga keuangan di UE. Hal ini mencakup entitas keuangan tradisional, seperti bank, perusahaan investasi dan lembaga kredit, serta entitas non-tradisional, termasuk penyedia layanan aset kripto dan platform crowdfunding.

Khususnya, DORA juga berlaku untuk beberapa entitas yang biasanya dikecualikan dari peraturan keuangan. Misalnya, penyedia layanan pihak ketiga yang memasok perusahaan keuangan dengan sistem dan layanan TIK—seperti penyedia layanan cloud dan pusat data—harus mengikuti persyaratan DORA. DORA juga mencakup perusahaan yang menyediakan layanan informasi pihak ketiga yang penting, seperti layanan pemeringkatan kredit dan penyedia analisis data.

Fokus pada penyedia layanan pihak ketiga ini berarti bahwa bahkan perusahaan yang berlokasi di luar Eropa dapat bertanggung jawab atas kepatuhan terhadap peraturan. Misalnya, banyak perusahaan di India menyediakan layanan outsourcing TI dan proses bisnis kepada klien Eropa; perusahaan-perusahaan India ini harus memperhatikan persyaratan peraturan DORA agar tetap patuh. Di antara persyaratan lainnya, perusahaan-perusahaan ini harus menunjukkan ketahanan siber yang kuat dan langkah-langkah keberlangsungan bisnis.

DORA saat ini berlaku dan dapat ditegakkan pada 17 Januari 2025, setelah bertahun-tahun pengembangan. 

DORA pertama kali diusulkan oleh Komisi Eropa—the executive branch of the EU responsible for introducing legislation—pada bulan September 2020. Ini adalah bagian dari paket keuangan digital yang lebih besar yang juga mencakup inisiatif untuk mengatur aset kripto dan meningkatkan strategi keuangan digital UE secara keseluruhan. Dewan Uni Eropa dan Parlemen Eropa (badan legislatif yang bertanggung jawab untuk menyetujui undang-undang Uni Eropa) secara resmi mengadopsi DORA pada bulan November 2022.

Setelah adopsi undang-undang tersebut, rincian utama disetrika oleh Otoritas Pengawas Eropa (ESA). ESA adalah regulator yang mengawasi sistem keuangan UE, termasuk Otoritas Perbankan Eropa (EBA), Otoritas Pasar Sekuritas dan Eropa, dan Otoritas Asuransi dan Pensiun Kerja Eropa.

ESA bertugas menyusun standar teknis regulasi (RTS) dan menerapkan standar teknis (ITS) yang harus diterapkan oleh entitas yang tercakup. Banyak dari standar ini diselesaikan pada tahun 2024. Misalnya, pada bulan Maret 2024, regulator menyampaikan standar teknis peraturan yang menentukan alat, metode, proses, dan kebijakan manajemen risiko TIK. Mereka juga menetapkan kriteria untuk klasifikasi insiden utama terkait TIK dan ancaman siber. Juga pada tahun 2024, Komisi Eropa mulai mengembangkan kerangka kerja pengawasan untuk penyedia TIK penting.

Kerangka kerja DORA dianggap lengkap pada Juli 2025.

Penegakan hukum sekarang jatuh ke regulator yang ditunjuk di setiap negara anggota UE, yang dikenal sebagai “otoritas yang kompeten.” Otoritas yang berwenang dapat meminta entitas keuangan untuk mengambil langkah-langkah keamanan tertentu dan memperbaiki kerentanan. Mereka juga dapat menjatuhkan hukuman administratif—dan, dalam beberapa kasus, pidana—pada entitas yang gagal mematuhi. Setiap negara anggota memutuskan hukumannya sendiri.

Penyedia TIK yang dianggap “penting” oleh Komisi Eropa akan diawasi langsung oleh pengawas utama dari ESA. Pada bulan November 2025, para pelanggan tetap menyebut 19 perusahaan sebagai "penting," sebuah daftar Itu termasuk Amazon, Google, dan IBM®.

Seperti otoritas yang kompeten, kepala pengawas dapat meminta langkah-langkah keamanan dan remediasi dan menghukum penyedia TIK yang tidak patuh. DORA memungkinkan pengawas utama untuk memungut denda kepada penyedia TIK sebesar 1% dari rata-rata omzet harian penyedia di seluruh dunia pada tahun bisnis sebelumnya. Penyedia dapat didenda setiap hari hingga enam bulan sampai mereka mencapai kepatuhan.

DORA menetapkan persyaratan teknis untuk entitas keuangan dan penyedia TIK di empat domain:

• Manajemen risiko dan tata kelola TIK
• Respons dan pelaporan insiden
• Pengujian ketahanan operasional digital
• Manajemen Risiko Pihak Ketiga

Berbagi informasi dianjurkan tetapi tidak diwajibkan.

Persyaratan diharapkan diberlakukan secara proporsional, yang berarti entitas yang lebih kecil tidak akan dipegang pada standar yang sama dengan lembaga keuangan utama. Meskipun operasi penegakan hukum utama belum menjadi berita utama pada tahun 2025, beberapa pakar hukum mengutip 2026 sebagai tahun DORA memasuki fase jatuh tempo. “Dewan harus dipersiapkan untuk irama baru keterlibatan pengawasan yang berfokus pada ketahanan operasional daripada metrik kehati-hatian tradisional,” tulis Michael Huertas, Pemimpin Hukum Layanan Keuangan global dan Eropa di PwC Legal.

DORA membuat badan manajemen entitas bertanggung jawab atas manajemen TIK. Anggota dewan, pemimpin eksekutif, dan manajer senior lainnya diharapkan untuk menentukan strategi manajemen risiko yang tepat, secara aktif membantu pelaksanaannya, dan selalu memperbarui pengetahuan mereka tentang lingkungan risiko TIK. Pemimpin juga dapat dimintai pertanggungjawaban secara pribadi atas kegagalan entitas untuk mematuhi.

Entitas yang tercakup diharapkan untuk mengembangkan kerangka kerja manajemen risiko TIK yang komprehensif. Entitas harus memetakan sistem TIK mereka; mengidentifikasi dan mengklasifikasikan aset dan fungsi penting; dan mendokumentasikan ketergantungan antara aset, sistem, proses, dan penyedia layanan. Entitas harus melakukan penilaian risiko secara terus menerus terhadap sistem TIK mereka, mendokumentasikan dan mengklasifikasikan ancaman siber, serta mendokumentasikan langkah-langkah untuk memitigasi risiko yang telah diidentifikasi.

Sebagai bagian dari proses penilaian risiko, entitas harus melakukan analisis dampak bisnis untuk menilai bagaimana skenario spesifik dan gangguan parah dapat mempengaruhi bisnis. Entitas menggunakan hasil analisis ini untuk menetapkan tingkat toleransi risiko dan menginformasikan desain infrastruktur TIK mereka. Entitas juga diminta untuk menerapkan langkah-langkah perlindungan keamanan siber yang sesuai, seperti kebijakan untuk manajemen identitas dan akses (IAM) dan manajemen patch, bersama dengan kontrol teknis seperti sistem deteksi dan respons yang diperluas, perangkat lunak informasi keamanan dan manajemen peristiwa (SIEM) dan orkestrasi keamanan, otomatisasi dan alat respons (SOAR).

Entitas juga perlu menetapkan rencana keberlangsungan bisnis dan pemulihan bencana untuk berbagai skenario risiko siber, seperti kegagalan layanan TIK, bencana alam, dan serangan siber. Rencana ini harus mencakup beberapa langkah pencadangan dan pemulihan data, proses pemulihan sistem, dan rencana untuk berkomunikasi dengan klien, mitra, dan pihak berwenang yang terkena dampak.

Entitas yang tercakup harus membangun sistem untuk memantau, mengelola, mencatat, mengklasifikasikan, dan melaporkan insiden terkait TIK. Bergantung pada tingkat keparahan insiden, entitas mungkin perlu membuat laporan kepada regulator dan klien serta mitra yang terkena dampak.

Entitas diharuskan untuk mengajukan tiga jenis laporan yang berbeda untuk insiden penting: laporan awal yang memberi tahu otoritas, laporan perantara tentang kemajuan menuju penyelesaian insiden dan laporan akhir yang menganalisis akar masalah insiden.

Aturan tentang manajemen insiden, bagaimana insiden harus diklasifikasikan, insiden mana yang harus dilaporkan dan jadwal pelaporan diterbitkan pada Maret 2024.

ESA juga telah Jelajahi cara untuk merampingkan pelaporan dengan membangun pusat pelaporan pusat di seluruh Uni Eropa dan templat laporan umum. Pada Januari 2025, ESA menerbitkan "Laporan tentang Kelayakan Sentralisasi Lebih Lanjut dalam Pelaporan Insiden Besar Terkait TIK." Laporan tersebut menyimpulkan bahwa “skenario Hub Uni Eropa tunggal layak dan membawa manfaat tertentu,” tetapi hub semacam itu akan membutuhkan setidaknya lima tahun untuk diluncurkan. Untuk saat ini, solusi pelaporan ada di tingkat nasional. 

Entitas harus menguji sistem TIK mereka secara teratur untuk mengevaluasi kekuatan perlindungan mereka dan mengidentifikasi kerentanan. Hasil tes ini, dan rencana untuk mengatasi kelemahan yang mereka temukan, akan dilaporkan dan divalidasi oleh otoritas yang berwenang terkait.

Entitas harus melakukan pengujian dasar, seperti penilaian kerentanan dan pengujian berbasis skenario, setahun sekali. Entitas keuangan yang dinilai memainkan peran penting dalam sistem keuangan juga perlu menjalani pengujian penetrasi yang dipimpin oleh ancaman (TLPT) setiap tiga tahun. Penyedia TIK penting milik entitas juga akan diharuskan untuk berpartisipasi dalam uji penetrasi ini. Standar teknis tentang bagaimana TLPT harus dilaksanakan muncul di jurnal resmi Uni Eropa pada tanggal 18 Juni 2025 dan mulai berlaku 20 hari kemudian.

Salah satu aspek unik dari DORA adalah bahwa DORA tidak hanya berlaku untuk entitas keuangan, tetapi juga untuk penyedia TIK yang melayani sektor keuangan.

Perusahaan keuangan diharapkan untuk mengambil peran aktif dalam mengelola penilaian dan manajemen risiko pihak ketiga TIK. Ketika mengalihdayakan fungsi-fungsi penting dan kritis, entitas keuangan harus menegosiasikan pengaturan kontrak khusus mengenai strategi keluar, audit, dan target kinerja untuk aksesibilitas, integritas, dan keamanan, di antaranya. Entitas tidak diizinkan untuk melakukan kontrak dengan penyedia TIK yang tidak dapat memenuhi persyaratan ini. Otoritas yang kompeten diberdayakan untuk menangguhkan atau mengakhiri kontrak yang tidak mematuhi. 

Lembaga keuangan juga perlu memetakan ketergantungan TIK pihak ketiga mereka dan diharuskan untuk memastikan fungsi kritis dan penting mereka tidak terlalu terkonsentrasi dengan satu penyedia atau kelompok kecil penyedia.

Penyedia layanan pihak ketiga TIK penting akan tunduk pada pengawasan langsung dari ESA yang relevan. Seperti disebutkan, 19 perusahaan saat ini memenuhi standar tersebut dan akan memiliki salah satu ESA yang ditugaskan sebagai pengawas utama. Selain menegakkan persyaratan DORA pada penyedia penting, pengawas utama diberdayakan untuk melarang penyedia menandatangani kontrak dengan perusahaan keuangan atau penyedia TIK lainnya yang tidak mematuhi DORA.

Entitas keuangan harus menetapkan proses untuk belajar dari insiden terkait TIK internal dan eksternal. Untuk itu, DORA mendorong entitas untuk berpartisipasi dalam pengaturan pembagian intelijensi ancaman secara sukarela. Setiap informasi yang dibagikan dengan cara ini harus tetap dilindungi berdasarkan pedoman yang relevan—misalnya, informasi identifikasi pribadi masih tunduk pada pertimbangan Peraturan Perlindungan Data Umum.