DORA 金融數位韌性合規輔導

DORA（Digital Operational Resilience Act，EU 2022/2554）是歐盟金融業數位作業韌性法規，自 2025 年 1 月 17 日全面生效，無過渡期。直接適用對象為歐盟金融實體，包含：銀行、保險公司、投資公司、支付機構、加密資產服務提供商等。

台灣 SaaS、雲端服務、資安服務廠商若服務歐盟金融實體，將透過合約條款要求受到 DORA 義務：稽核權、資料可攜性、業務持續條款、退出策略。金融客戶還必須將供應商列入 Register of Information，需提供詳細服務資訊。

DORA 要求三階段通報：（1）事件發生後 4 小時內初始通報；（2）初始通報後 72 小時內中間報告；（3）事件結案後 1 個月內最終報告。「重大 ICT 事件」判定標準包含客戶影響數量、服務中斷時間、地理範圍等閾值。

TLPT（威脅導向滲透測試）是依 TIBER-EU 框架執行的進階紅隊測試。DORA 要求具系統重要性的金融機構每三年執行一次 TLPT；一般金融機構每年需執行基礎韌性測試，不一定需要 TLPT。積穗科研提供 TLPT 適用性評估與測試規劃服務。

Register of Information 是金融機構必須維護的 ICT 第三方服務提供商登記清冊，需記錄所有 ICT 供應商的服務類型、合約期間、關鍵性評估等資訊，並於 2025 年 4 月 30 日前提交至 ESAs。台灣 ICT 供應商需配合歐盟金融客戶提供相關資訊。

DORA 是金融業的 lex specialis（特別法）。根據歐委會指引，金融機構在 ICT 風險管理和事件通報方面，優先適用 DORA 而非 NIS2；但 NIS2 的供應鏈安全要求和高管責任條款仍可能並行適用。積穗科研提供 DORA + NIS2 整合評估。

適合：（1）台灣 SaaS/雲端/資安服務商，服務歐盟金融客戶；（2）在歐盟設有據點的台灣金融科技企業。ICT 供應商合約義務準備通常 2-3 個月；金融機構完整 DORA 框架建立通常 6-9 個月；已有 ISO 27001/BCM 基礎者可縮短 30-40%。