DORA《数字运营韧性法》：向欧盟金融机构提供 ICT 服务的门槛

如果你的客户是欧盟银行、保险、支付或投资机构，DORA 会通过合同找到你。客户必须在合同里写入审计权、事件报告协助、退出计划等条款，并把你登记在 ICT 第三方信息登记册中。

作者 · AssureLane 研究团队更新 · 2026-10-10来源核验 · 2026-10-10

DORA 的五大支柱

对供应商影响最大的是第 4 项。

所有 ICT 服务合同至少包括：服务描述与分包条件、数据处理和存储地点、数据可用性与完整性保护、终止或破产时的数据返还、服务水平、ICT 事件协助、配合监管、终止权、参与安全意识培训。

支持关键或重要职能的合同还须包括：量化服务水平、事件通知与报告义务、业务连续性计划与测试、安全措施、配合韧性测试、无限制的访问检查审计权、退出策略。

常见问题

我们会被指定为“关键 ICT 第三方服务商”吗？

关键第三方由欧洲监管机构根据对金融体系的系统性影响、可替代性等标准指定，主要是大型云服务商和核心技术提供商。大多数中小 SaaS 不会被指定，但仍会受到客户合同要求的约束。

客户要求在合同里写无限制审计权，必须接受吗？

DORA 要求合同赋予金融实体及其监管机构访问、检查和审计的权利。可以协商审计方式，例如以 SOC 2 报告或 ISO 证书替代部分现场审计、合并审计、提前通知，但不能完全拒绝。

支持关键或重要职能的服务有什么额外要求？

合同须包含更多条款，例如服务水平描述与量化目标、业务连续性计划及测试、参与金融实体的威胁导向渗透测试、退出策略与过渡期等。

本页为一般性信息，不构成法律、审计或认证意见。具体适用性、项目范围与专业责任须结合企业实际情况确认。