DUK

Klausimas
DORA
	Incidentai
	Apie kokius incidentus ir kaip reikia pranešti Lietuvos bankui?
	Ar mokėjimo įstaigos pranešimus apie IRT incidentus turėtų teikti tik dėl licencijuotos veiklos, t. y. bankinių išrašų paslaugos? Taip pat prašome patikslinti ir dėl kitų teikiamų paslaugų, naudojamų finansų įstaigų, kaip pavyzdžiui Lietuvos banko PRDB registras ir jo patirti sutrikimai?
	Numatoma panaikinti Lietuvos banko valdybos 2019 m. sausio 21 d. nutarimą Nr. 03-10 „Dėl Pranešimų apie operacinės ar saugumo rizikos incidentus teikimo Lietuvos bankui taisyklių ir informacijos teikimo formų patvirtinimo“. Ar pareigos informuoti apie OSRI tipo incidentus (kaip jie apibrėžiami dabar) nebeliks? (išskyrus atvejus, jei OSRI incidentai atitiks DORA kriterijus)?
	Bankas turi filialą kitoje ES valstybėje narėje ir dar keliose valstybėse veikia neįsteigęs filialo. Didžioji dalis pagrindinių IRT sistemų yra bendros visoms šalims ir yra tikimybė, kad dideli incidentai (jei įvyktų) turėtų poveikį iš karto keliose šalyse. Kurių valstybių priežiūros institucijoms bankas tokiais atvejais turėtų teikti pranešimą apie didelį IRT incidentą – tik Lietuvos bankui, Lietuvos bankui ir filialo valstybės narės priežiūros institucijai ar Lietuvos bankui ir visų priimančiųjų valstybių priežiūros institucijoms?
	Jei vienas iš didelio incidento kriterijų yra paveiktų daugiau kaip 10 proc. klientų, kurie naudojasi kritine funkcija, ar turime atsižvelgti į kriterijų, jei tokių klientų dalis visų banko klientų atžvilgiu būtų nereikšminga?
	Paaiškinkite „geografinio pasiskirstymo“ kriterijaus taikymą pagal DORA reglamentą – jei vienas kriterijus pasiekė lygį ir kartu incidentas minimaliai turėjo įtakos kitai šaliai (aktyvuojasi antras kriterijus), ar laikoma, kad poveikio lygis yra identiškas?
	Ar visos paslaugos, palaikančios finansinius produktus, yra laikomos ypatingos svarbos paslaugomis (angl. critical service) pagal DORA reglamentą?
	Jei įmonėje įvyko incidentas, susijęs su trimis Baltijos šalimis, ar tokiu atvejų įmonė turi informuoti atskirai kiekvieną Baltijos šalių priežiūros instituciją, ar pakaktų informuoti tik tos šalies, kurioje įsteigti jos būstinė ir IT paslaugų teikėjas, priežiūros instituciją?
	Ar tarpiniai pranešimai teikiami tik vieną kartą po 72 val. nuo pradinio pranešimo, ar juos reikia teikti kas 72 val., kol incidentas nebus išspręstas (jei nors ir mažai tikėtinu atveju jo sprendimas užtruktų ilgiau)?
	Ar liks pareiga atskirai informuoti apie taikomųjų programų sąsajaos (angl. application programming interface,API) pažeidimus (tais atvejais, kai API sutrikimai nėra kito didesnio incidento dalis)?