DORA — Regulation (EU) 2022/2554（Digital Operational Resilience Act）
DORA 把“运营韧性”写成了金融机构的强制义务，其中大量要求落在文档上：风险框架、事件报告、测试报告、第三方合同条款。本文讲清 PDF 文档层面的应对要点。
一、法规速览
| 项目 | 内容 |
|---|
| 法域 | 欧盟 |
| 适用对象 | 金融机构及向金融实体提供 ICT 服务的关键第三方提供商 |
| 核心支柱 | ICT 风险管理、ICT 相关事件报告、数字运营韧性测试、ICT 第三方风险、信息共享 |
| 适用起点 | 自 2025 年 1 月 17 日起适用 |
二、对 PDF 文档的关键要求
| 要求 | 对 PDF 的具体含义 | 应对动作 |
|---|
| ICT 风险管理框架 | 建立并维护 ICT 风险管理与治理框架，形成文档化制度 | 将框架、策略与流程形成 PDF 文档并版本管理 |
| ICT 相关事件报告 | 对重大 ICT 相关事件进行分类、记录并向主管机关报告 | 事件记录与报告模板化，保留时间线证据 |
| 数字运营韧性测试 | 开展漏洞测试与基于威胁的渗透测试（TLPT）并留存报告 | 测试计划与报告归档，控制外发范围 |
| ICT 第三方风险 | 对关键 ICT 第三方服务建立合同安排与退出策略并登记 | 合同条款、尽调材料与退出计划归档可追溯 |
三、关键条文 / 规则要点
| 条文 / 规则 | 要点 |
|---|
| Regulation (EU) 2022/2554 | 关于金融市场数字运营韧性并修订相关条例的欧盟条例，自 2025 年 1 月 17 日起适用。 |
| 五大支柱 | ICT 风险管理、ICT 相关事件报告与分类、数字运营韧性测试、ICT 第三方风险管理、威胁情报信息共享。 |
| ICT 第三方合同 | 对支持关键或重要职能的 ICT 第三方服务，合同应包含服务级别、审计与访问权、事件协助、退出安排等要素。 |
| 测试要求 | 包括漏洞评估、威胁主导的渗透测试（TLPT）及测试结果的整改跟踪。 |
四、文档处理清单
- 将 ICT 风险管理框架、策略与流程文档化并版本管理。
- 建立 ICT 相关事件分类与报告流程，使用统一模板记录。
- 测试计划、执行记录与整改报告归档，控制外发范围（/protect-pdf.html）。
- 关键 ICT 第三方合同与尽调材料登记归档，保留审计与退出安排。
- 含敏感信息的文档清除 metadata 与批注后再共享（/pdf-cleanup.html）。
五、平台能力映射
建议链路：文档模板化 → 版本管理 → 加密限权 → 清 metadata → 归档留痕。多方协作可用 PDF 对比（/pdf-compare.html）核对版本差异。
六、常见漏点
制度停留在口头：框架与流程未文档化，无法证明已建立。
事件记录不完整：缺少时间线、影响评估与整改措施，报告难以通过。
第三方合同要素缺失：缺少审计权、事件协助与退出安排等关键条款。
参考与权威来源
作者：PDFnoted 合规研究团队·发布于 2026-09-01·最近更新 2026-09-01
本页条文要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引；引擎法规知识库现覆盖 219 部法规源文件、22,671 个条款级索引级索引、11 个垂直行业，并已包含中国、美国与欧盟三大法域的法规正文。内容由团队定期复核更新，用于一般性参考。
免责声明：本页基于公开法律法规与 PDFnoted 平台能力整理，仅供文档合规事务作一般性参考，不构成法律意见、合规咨询或专业服务。条文引用以官方发布的最新有效文本为准，具体适用请咨询具备资质的专业人士。
六、欧盟 DORA（金融数字运营韧性）真实场景与落地步骤
6.1 四类高频场景
- ICT 风险管理文档：建立并维护 ICT 风险管理框架文档，明确资产清单、风险场景与控制措施。
- 第三方 ICT 供应商管理：关键或重要功能的 ICT 第三方安排需在合同中写入审计、退出与安全要求。
- 运营事件报告：重大 ICT 相关事件按分级与时限向主管部门报告，并留存 Root cause 分析。
- 韧性测试与演练：开展漏洞扫描、渗透测试与威胁导向测试，形成整改闭环记录。
6.2 标准处理流程
- 梳理：识别关键或重要功能及其依赖的 ICT 资产与第三方。
- 入约：在第三方合同中补充审计权、事件通知与退出安排。
- 监测：建立事件分级、报告模板与联络路径。
- 测试：按计划开展扫描、渗透与场景化韧性测试。
- 整改：跟踪发现项闭环并保存证据。
6.3 最容易踩的坑
- 把 ICT 第三方当成普通供应商，合同缺少审计与退出条款。
- 事件分级口径不一致，导致漏报或迟报。
- 只做合规文档，未开展实际测试与演练。
- 关键功能的集中依赖未做替代方案与退出演练。
6.4 适用法规要点
- DORA（Regulation (EU) 2022/2554）：金融实体 ICT 风险管理与事件报告。
- DORA：ICT 第三方安排的合同最低要求与关键功能集中风险管理。
- DORA：数字运营韧性测试（含威胁导向渗透测试 TLPT）。
- GDPR：事件处理中个人数据保护要求。
- NIS2 指令：与网络安全风险管理要求的衔接。
常见问题
- DORA 适用于哪些机构？
- 主要适用于欧盟的金融实体（如银行、保险、投资公司、支付与电子货币机构、加密资产服务商等），以及向这些实体提供支持关键或重要职能的 ICT 第三方服务提供商。
- DORA 从什么时候开始适用？
- 《条例》(EU) 2022/2554 自 2025 年 1 月 17 日起适用。具体实施细节与配套技术标准以官方发布为准。
- DORA 对文档管理有什么要求？
- 核心是将 ICT 风险管理框架、事件分类与报告、韧性测试、第三方合同安排等形成可审查的文档记录，并能向主管机关提供。文档的版本管理与可追溯性非常重要。
- ICT 事件报告要包含什么？
- 通常包括事件发生与发现时间、影响范围与受影响的职能、根因分析、已采取与计划的整改措施等。建议使用统一模板以确保完整性。
- 第三方合同要补什么条款？
- 对支持关键或重要职能的 ICT 服务，通常需明确服务级别、数据与系统访问与审计权、事件响应协助、分包管理、退出与迁移安排等要素。
- 含 ICT 风险信息的 PDF 能外发吗？
- 应控制范围并加密。此类文档常含系统拓扑、漏洞与事件细节，外发前建议裁剪、清除 metadata 与批注，并保留外发记录。
- 处理合规文档会泄露吗？
- 处理环境决定是否泄露。建议在本地优先模式处理，敏感文档不上传即可预览与导出。
- 本文能替代法律意见吗？
- 不能。本文为一般性参考与自查清单，不构成法律意见。DORA 的具体义务与适用范围请咨询具备资质的专业人士并以官方文本为准。
- （DORA 适用）只适用于银行吗？
- 覆盖面广，包括信贷机构、保险与再保险、投资公司、加密资产与 ICT 第三方服务提供者等多类金融实体。
- （第三方合同）必须改吗？
- 通常需要在适用日前补充审计权、访问权、事件通知、分包限制与退出安排等条款，并对关键功能做集中风险评估。
- （事件报告）多久内要报？
- 按事件严重程度分级，分别有首次通知、中期与最终报告的时限要求，具体以监管技术标准为准。
关键词：DORA合规,欧盟数字运营韧性,金融ICT风险,ICT第三方风险,DORA文档要求,欧盟金融合规,运营韧性
数据与权威背书
法规条文级合规引擎｜219 部法规源文件 · 22,671 个条款级索引
PDFnoted 合规审查引擎的法规知识库覆盖度
219个法规源文件中 · 美 · 欧三法域
22,671个条款级索引精确至条文粒度
11个垂直行业独立审查框架
3大法域覆盖中国 / 美国 / 欧盟
本页法规要点对应 PDFnoted 合规审查引擎中该部法规的条款级索引，风险结论可回溯至具体条文。 方法论参考 Princeton GEO 论文（arXiv:2311.09735），结构化数据遵循 Schema.org 规范。法规原文以官方发布为准。