# DORA《数字运营韧性法》：向欧盟金融机构提供 ICT 服务的门槛

> 如果你的客户是欧盟银行、保险、支付或投资机构，DORA 会通过合同找到你。客户必须在合同里写入审计权、事件报告协助、退出计划等条款，并把你登记在 ICT 第三方信息登记册中。

来源页面: https://assurelane.ai/frameworks/dora/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Regulation (EU) 2022/2554（金融业数字运营韧性法）
- 发布/监管方: 欧盟金融监管机构（EBA、EIOPA、ESMA）及成员国主管机构
- 成果: 法律义务；供应商侧体现为合同条款、审计配合与韧性证明
- 适用对象: 欧盟金融实体；为其提供 ICT 服务的第三方（被指定为关键者直接受监管）
- 地区: 欧盟
- 典型周期: 供应商侧合同与控制准备常见 1–3 个月
- 有效期: 持续义务

## 关键时间线

- 2023-01-16: 生效
- 2025-01-17: 开始适用

## DORA 的五大支柱

1. **ICT 风险管理框架**：金融实体自身的治理、识别、防护、检测、响应与恢复
2. **ICT 事件管理与报告**：重大 ICT 事件向监管报告
3. **数字运营韧性测试**：包括部分机构的威胁导向渗透测试（TLPT）
4. **ICT 第三方风险管理**：合同要求、信息登记册、集中度风险、退出策略
5. **信息共享**：网络威胁情报共享安排

对供应商影响最大的是第 4 项。

## 第 30 条：合同里会出现什么

所有 ICT 服务合同至少包括：服务描述与分包条件、数据处理和存储地点、数据可用性与完整性保护、终止或破产时的数据返还、服务水平、ICT 事件协助、配合监管、终止权、参与安全意识培训。

支持**关键或重要职能**的合同还须包括：量化服务水平、事件通知与报告义务、业务连续性计划与测试、安全措施、配合韧性测试、无限制的访问检查审计权、退出策略。

## 出海服务商的准备路径

1. **准备 DORA 合同附件**：对照第 30 条整理一份标准附件，避免每个客户逐条谈判
2. **说明数据存储与处理地点**、分包商清单
3. **业务连续性与退出计划**：能证明在合同终止时客户可以平稳迁出
4. **用第三方证明降低审计负担**：[ISO/IEC 27001](https://assurelane.ai/frameworks/iso-27001/) 证书和 [SOC 2](https://assurelane.ai/frameworks/soc-2/) 报告是客户评估供应商时最常用的证据
5. **事件响应**：能按客户要求及时提供事件信息，支持其向监管报告

## 常见问题

### 我们会被指定为“关键 ICT 第三方服务商”吗？

关键第三方由欧洲监管机构根据对金融体系的系统性影响、可替代性等标准指定，主要是大型云服务商和核心技术提供商。大多数中小 SaaS 不会被指定，但仍会受到客户合同要求的约束。

### 客户要求在合同里写无限制审计权，必须接受吗？

DORA 要求合同赋予金融实体及其监管机构访问、检查和审计的权利。可以协商审计方式，例如以 SOC 2 报告或 ISO 证书替代部分现场审计、合并审计、提前通知，但不能完全拒绝。

### 支持关键或重要职能的服务有什么额外要求？

合同须包含更多条款，例如服务水平描述与量化目标、业务连续性计划及测试、参与金融实体的威胁导向渗透测试、退出策略与过渡期等。

## 参考来源

- [EUR-Lex — Regulation (EU) 2022/2554 (DORA)](https://eur-lex.europa.eu/eli/reg/2022/2554/oj)
- [EIOPA — Digital Operational Resilience Act](https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。