DORA, EU AI Act και Κυριαρχία Δεδομένων: Η Στοίβα Συμμόρφωσης 2026 για Τράπεζες

TL;DR. Το DORA, το EU AI Act, ο GDPR, ο κίνδυνος συγκέντρωσης cloud και η κυριαρχία δεδομένων συγκλίνουν σε μία ενιαία στοίβα συμμόρφωσης 2026 για τις τράπεζες.

Βασικά συμπεράσματα

DORA, EU AI Act και Κυριαρχία Δεδομένων: Η Στοίβα Συμμόρφωσης 2026 για Τράπεζες. Η στοίβα συμμόρφωσης της ΕΕ για το 2026 δεν είναι πλέον ένα μελλοντικό θέμα.
Γιατί το 2026 Είναι η Χρονιά της Φάσης Ελέγχου. Τρία ρυθμιστικά καθεστώτα χτυπούν τη λειτουργική πραγματικότητα ταυτόχρονα.
Το DORA σε Φάση Ελέγχου — Μηχανισμοί ανά Άρθρο. Τα άρθρα που παράγουν εποπτικά πορίσματα το 2026:.
Αρχιτεκτονική του EU AI Act για Τραπεζικά Συστήματα Υψηλού Κινδύνου. Το χρονοδιάγραμμα σταδιακής εφαρμογής:.

DORA, EU AI Act και Κυριαρχία Δεδομένων: Η Στοίβα Συμμόρφωσης 2026 για Τράπεζες

Η στοίβα συμμόρφωσης της ΕΕ για το 2026 δεν είναι πλέον ένα μελλοντικό θέμα. Το DORA βρίσκεται σε ενεργή επιβολή από τις 17 Ιανουαρίου 2025. Οι υποχρεώσεις υψηλού κινδύνου του EU AI Act τίθενται σε πλήρη ισχύ στις 2 Αυγούστου 2026 — οκτώ εβδομάδες από την ημερομηνία δημοσίευσης αυτού του άρθρου. Το Schrems II μαζί με το EU-US Data Privacy Framework είναι η λειτουργική πραγματικότητα των διασυνοριακών μεταφορών δεδομένων, όχι μια μελλοντική ανησυχία. Ο κίνδυνος συγκέντρωσης cloud βρίσκεται εντός της περιμέτρου εξωτερικής ανάθεσης της EBA μέσω της EBA/GL/2019/02 ⧉ και του καθεστώτος καθορισμού κρίσιμων τρίτων παρόχων (CTPP) του DORA. Τα ιδρύματα που εξακολουθούν να πλαισιώνουν αυτό ως ατζέντα «προετοιμασίας» έχουν ήδη χάσει δύο ρυθμιστικούς κύκλους.

Σύνοψη για Στελέχη / Βασικά Συμπεράσματα

Το DORA βρίσκεται σε φάση ελέγχου. Τα Άρθρα 6 (πλαίσιο διαχείρισης κινδύνων ICT), 8 (μητρώο πληροφοριών), 18 (αναφορά περιστατικών), 26 (δοκιμές διείσδυσης βάσει απειλών) του Κανονισμού (ΕΕ) 2022/2554 ⧉ και το καθεστώς CTPP βάσει των Άρθρων 28-44 είναι σε ισχύ για 16 μήνες. Οι εποπτικές προσδοκίες είναι πλέον επίσημα πορίσματα εξέτασης, όχι συμβουλευτικά σχόλια.

Η προθεσμία υψηλού κινδύνου του EU AI Act είναι η 2 Αυγούστου 2026. Το Σημείο 5(β) του Παραρτήματος III καλύπτει την πιστωτική βαθμολόγηση· το Σημείο 1 καλύπτει τη βιομετρική ταυτοποίηση κατά την εγγραφή πελατών· το Σημείο 7 καλύπτει την αξιολόγηση κινδύνου ασφαλίσεων ζωής και υγείας. Οι υποχρεώσεις των Άρθρων 16-29 — διαχείριση κινδύνων, διακυβέρνηση δεδομένων, τεχνική τεκμηρίωση, τήρηση αρχείων, διαφάνεια, ανθρώπινη εποπτεία, ακρίβεια και κυβερνοασφάλεια — ισχύουν από εκείνη την ημερομηνία.

Οι διασυνοριακές μεταφορές δεδομένων είναι SCCs + TIA, όχι ασαφής «κυριαρχία δεδομένων». Τυποποιημένες Συμβατικές Ρήτρες, αξιολογήσεις επιπτώσεων μεταφοράς, συμπληρωματικά μέτρα όπου η TIA δείχνει ότι χρειάζονται. Το DPF καλύπτει μόνο τους πιστοποιημένους κατά DPF αμερικανικούς αποδέκτες· όλα τα υπόλοιπα εξακολουθούν να χρειάζονται SCCs + TIA. Η ιρλανδική Επιτροπή Προστασίας Δεδομένων, η CNIL και ο Garante έχουν όλοι εκδώσει αποφάσεις επιβολής το 2025.

Η συγκέντρωση cloud σχεδιάζεται μηχανικά, δεν δηλώνεται. Multi-region active-active για κρίσιμες υπηρεσίες· τεκμηριωμένο σχέδιο εξόδου με δοκιμασμένα αποδεικτικά στοιχεία εκτέλεσης· αξιολογήσεις υποκαταστασιμότητας ανά επίπεδο υπηρεσίας· ένα μητρώο ICT τρίτων μερών που συμφωνεί με το ίδιο το απόθεμα υπηρεσιών του παρόχου cloud. Η παράγραφος 81 της EBA/GL/2019/02 είναι αυτό που ελέγχουν οι ελεγκτές.

Το στοιχείο διαφοροποίησης του 2026 είναι η πολιτική-ως-κώδικας ενσωματωμένη στον χρόνο εκτέλεσης. Ο Open Policy Agent ελέγχει τις αναπτύξεις παραγωγής έναντι κανόνων που προκύπτουν από το DORA· αμετάβλητα αρχεία ελέγχου τροφοδοτούν τα αποδεικτικά στοιχεία του μητρώου του Άρθρου 8· απογραφή συστημάτων AI με ταξινόμηση κατά το Παράρτημα III που αναδεικνύεται στη ροή CI/CD. Αποδεικτικά στοιχεία με την ταχύτητα της ροής εργασίας, όχι σε PDF που συναρμολογούνται την εβδομάδα πριν από την εξέταση.

Γιατί το 2026 Είναι η Χρονιά της Φάσης Ελέγχου

Τρία ρυθμιστικά καθεστώτα χτυπούν τη λειτουργική πραγματικότητα ταυτόχρονα.

Επιβολή DORA (από 17 Ιανουαρίου 2025 και εξής). Οι Ευρωπαϊκές Εποπτικές Αρχές (EBA, EIOPA, ESMA) δημοσίευσαν τα τελικά RTS και ITS καθ' όλη τη διάρκεια του 2024, το καθεστώς καθορισμού CTPP άνοιξε στις αρχές του 2025, και οι τράπεζες tier-1 υποβάλλουν αναφορές περιστατικών κατά το Άρθρο 18 βάσει του κανόνα αρχικής κοινοποίησης 4 ωρών καθ' όλη τη διάρκεια του 2025. Το κοινό πλαίσιο TLPT των ESAs — επίσημα το πλαίσιο TIBER-EU ⧉ ευθυγραμμισμένο με το Άρθρο 26 του DORA — είναι η βάση για τα προγράμματα δοκιμών διείσδυσης βάσει απειλών που εκτελούν σήμερα οι περισσότερες G-SIBs. Τα πορίσματα από το πρώτο κύμα εποπτικών εξετάσεων άρχισαν να καταφθάνουν το Δ' τρίμηνο του 2025.

Σταδιακή εφαρμογή του EU AI Act. Ο Κανονισμός τέθηκε σε ισχύ την 1 Αυγούστου 2024. Οι διατάξεις για τις απαγορευμένες πρακτικές εφαρμόζονται από τις 2 Φεβρουαρίου 2025· οι υποχρεώσεις για την AI γενικού σκοπού εφαρμόζονται από τις 2 Αυγούστου 2025· οι υποχρεώσεις για τα συστήματα υψηλού κινδύνου εφαρμόζονται από τις 2 Αυγούστου 2026. Αυτή είναι η προθεσμία που έχει σημασία για τις τράπεζες. Τα περισσότερα ιδρύματα tier-1 έχουν τουλάχιστον ένα σύστημα του Παραρτήματος III σε παραγωγή — πιστωτική βαθμολόγηση (Σημείο 5β), βιομετρική ταυτοποίηση προς τον πελάτη (Σημείο 1), ή αξιολόγηση κινδύνου ασφάλισης ζωής/υγείας (Σημείο 7). Οι υποχρεώσεις των Άρθρων 16-29 — διαχείριση κινδύνων, διακυβέρνηση δεδομένων, τεχνική τεκμηρίωση, τήρηση αρχείων, διαφάνεια, ανθρώπινη εποπτεία, ακρίβεια, ευρωστία και κυβερνοασφάλεια — ισχύουν από εκείνη τη μία ημερομηνία χωρίς ήπια μεταβατική περίοδο.

Λειτουργική διευθέτηση του Schrems II. Η απόφαση Schrems II του ΔΕΕ (Ιούλιος 2020) ακύρωσε την Ασπίδα Προστασίας Ιδιωτικότητας και έκρινε τις SCCs έγκυρες υπό την προϋπόθεση συμπληρωματικών μέτρων όπου η TIA δείχνει ανεπαρκή προστασία. Η Ευρωπαϊκή Επιτροπή υιοθέτησε το EU-US Data Privacy Framework (DPF) τον Ιούλιο του 2023 — παρέχοντας μηχανισμό μεταφοράς μόνο για τους πιστοποιημένους κατά DPF αμερικανικούς αποδέκτες. Όλα τα υπόλοιπα εξακολουθούν να απαιτούν SCCs μαζί με τεκμηριωμένη TIA. Οι αποφάσεις επιβολής της CNIL για τις αναπτύξεις Microsoft 365 στις γαλλικές δημόσιες διοικήσεις, το πρόστιμο 1,2 δισεκατομμυρίων ευρώ της ιρλανδικής DPC κατά της Meta τον Μάιο του 2023, και οι ενέργειες του Garante κατά της OpenAI το 2024 καθιέρωσαν το εποπτικό μοτίβο: οι TIAs επιθεωρούνται, τα συμπληρωματικά μέτρα εξετάζονται ενδελεχώς, και ο ισχυρισμός «χρησιμοποιούμε SCCs» από μόνος του δεν επαρκεί.

Το θεσμικό ερώτημα για το 2026 δεν είναι εάν εφαρμόζεται κάθε καθεστώς. Είναι εάν τα αποδεικτικά στοιχεία συμμόρφωσης που παράγει το ίδρυμα υπό εποπτικό έλεγχο στέκουν συνεκτικά.

Το DORA σε Φάση Ελέγχου — Μηχανισμοί ανά Άρθρο

Τα άρθρα που παράγουν εποπτικά πορίσματα το 2026:

Άρθρο 6 — Πλαίσιο Διαχείρισης Κινδύνων ICT

Το πλαίσιο πρέπει να είναι τεκμηριωμένο, εγκεκριμένο από το διοικητικό όργανο, να αναθεωρείται τουλάχιστον ετησίως, και να ενσωματώνεται στο συνολικό πλαίσιο διαχείρισης κινδύνων του ιδρύματος. Οι εποπτικές αρχές ελέγχουν για: ρητές δηλώσεις ανοχής κινδύνου ανά κατηγορία κινδύνου ICT· τεκμηριωμένη πολιτική ασφάλειας πληροφοριών· καθορισμένους ρόλους και αρμοδιότητες στη δεύτερη και τρίτη γραμμή άμυνας· ποσοτικοποιημένη ετήσια αξιολόγηση κινδύνου ICT που καθοδηγεί τη διάθεση ανάληψης κινδύνου του ιδρύματος. Το μοτίβο στα πορίσματα των αρχών του 2026: ιδρύματα των οποίων η ταξινόμηση κινδύνου ICT δεν συμφωνεί με την ταξινόμηση αναφοράς περιστατικών κατά το Άρθρο 18.

Άρθρο 8 — Μητρώο Πληροφοριών (ICT Τρίτων Μερών)

Το μητρώο πρέπει να περιέχει κάθε συμβατική ρύθμιση για τη χρήση υπηρεσιών ICT. Τα υποχρεωτικά πεδία σύμφωνα με τα ITS για το μητρώο πληροφοριών ⧉ περιλαμβάνουν τη λειτουργία που υποστηρίζεται, την ταξινόμηση κρισιμότητας, τη θέση επεξεργασίας και αποθήκευσης δεδομένων, την αλυσίδα υπο-εξωτερικής ανάθεσης, και την αξιολόγηση στρατηγικής εξόδου. Το καθεστώς καθορισμού CTPP κατά το Άρθρο 31 διαβάζει τα μητρώα σε όλη την ΕΕ για να εντοπίσει ποιοι τρίτοι διασχίζουν το συστημικό κατώφλι. Ένα ελλιπές ή ασυνεπές μητρώο του Άρθρου 8 αποτελεί πλέον τόσο ατομικό πόρισμα όσο και κίνδυνο ακεραιότητας της περιμέτρου CTPP.

Άρθρο 18 — Αναφορά Περιστατικών που Σχετίζονται με ICT

Το παράθυρο αρχικής κοινοποίησης 4 ωρών για σοβαρά περιστατικά που σχετίζονται με ICT είναι αυτό που πιάνει τα ιδρύματα απροετοίμαστα. Τα κριτήρια ταξινόμησης για «σοβαρό» ακολουθούν το Άρθρο 18(3) και τα τεχνικά RTS — αριθμός επηρεαζόμενων πελατών, γεωγραφική εμβέλεια, απώλειες δεδομένων, οικονομικός αντίκτυπος, αντίκτυπος στη φήμη, κρισιμότητα των επηρεαζόμενων υπηρεσιών, διάρκεια. Οι τράπεζες που εκτελούν ώριμες διαδικασίες περιστατικών εξακολουθούν να δυσκολεύονται με την απόφαση ταξινόμησης της πρώτης ώρας. Το μηχανικό παραδοτέο: ένας αυτοματοποιημένος βοηθός ταξινόμησης σοβαρότητας ενσωματωμένος στην πλατφόρμα διαχείρισης περιστατικών που παράγει σκεπτικό απόφασης κατά το Άρθρο 18 εντός του πρώτου κύκλου απόκρισης, όχι μετά από συνάντηση διαλογής.

Άρθρο 26 — Δοκιμές Διείσδυσης Βάσει Απειλών

Το TLPT εφαρμόζεται σε χρηματοοικονομικές οντότητες που καθορίζονται από την αρμόδια αρχή, με εύρος καθορισμένο ανά τις κρίσιμες ή σημαντικές λειτουργίες του ιδρύματος. Οι δοκιμές πρέπει να ακολουθούν τη μεθοδολογία TIBER-EU (ή ισοδύναμο εθνικό πλαίσιο), να χρησιμοποιούν πληροφορίες απειλών για την κατασκευή σεναρίων επίθεσης, και να εκτελούνται τουλάχιστον κάθε τρία χρόνια. Η ανάθεση σε παρόχους ρυθμίζεται βάσει του Άρθρου 27 (επιλογή παρόχου) και του Άρθρου 28 (εκτέλεση δοκιμών). Το εποπτικό ερώτημα του 2026: περιλαμβάνει το εύρος TLPT του ιδρύματος τις κρίσιμες λειτουργίες του που φιλοξενούνται σε δημόσιο cloud, και χειρίζεται το μοντέλο ανάθεσης παρόχου καθαρά τα ίδια τα όρια ασφαλείας του παρόχου cloud;

Άρθρα 28-44 — Κρίσιμοι Τρίτοι Πάροχοι

Το καθεστώς CTPP είναι η εποπτική καινοτομία που επηρεάζει πιο άμεσα τη στρατηγική cloud. Η AWS, η Microsoft (Azure), η Google (GCP), η Salesforce, η Workday και μια χούφτα άλλων στρατηγικών παρόχων βρίσκονται εντός ή κοντά στην περίμετρο καθορισμού. Ο καθορισμός ενεργοποιεί άμεση εποπτεία από τις ESAs, συμπεριλαμβανομένου του δικαιώματος αιτημάτων πληροφοριών, επιτόπιων επιθεωρήσεων και εποπτικών συστάσεων. Η συνέπεια για τις τράπεζες tier-1: η συγκέντρωση παρόχων cloud είναι πλέον ρυθμιζόμενη εποπτική μετρική, όχι απλώς εσωτερική ανησυχία διαχείρισης κινδύνων.

Αρχιτεκτονική του EU AI Act για Τραπεζικά Συστήματα Υψηλού Κινδύνου

Το χρονοδιάγραμμα σταδιακής εφαρμογής:

Ημερομηνία	Διατάξεις	Τραπεζική συνέπεια
1 Αυγούστου 2024	Έναρξη ισχύος	Ξεκινά το ρολόι μέτρησης
2 Φεβρουαρίου 2025	Απαγορευμένες πρακτικές (Άρθρο 5)	Απαγόρευση συστημάτων τύπου κοινωνικής βαθμολόγησης
2 Αυγούστου 2025	Υποχρεώσεις AI γενικού σκοπού (Κεφάλαιο V)	Οι πάροχοι μοντέλων GPAI υπόκεινται σε υποχρεώσεις τεκμηρίωσης και πνευματικών δικαιωμάτων
2 Αυγούστου 2026	Υποχρεώσεις συστημάτων υψηλού κινδύνου (Άρθρα 16-29)	Τα συστήματα του Παραρτήματος III πρέπει να πληρούν πλήρες πλαίσιο συμμόρφωσης
2 Αυγούστου 2027	Συστήματα υψηλού κινδύνου ενσωματωμένα με άλλα ρυθμιζόμενα προϊόντα	Τραπεζικά συστήματα ενσωματωμένα με τα καθεστώτα ασφάλειας προϊόντων του Παραρτήματος I

Οι διατάξεις του Παραρτήματος III που πλήττουν πιο σκληρά τις τράπεζες:

Παράρτημα III Σημείο 1 — Βιομετρική ταυτοποίηση και κατηγοριοποίηση. Η βιομετρική αντιστοίχιση κατά την εγγραφή πελατών (π.χ. ανίχνευση ζωντάνιας συν αντιστοίχιση με τη φωτογραφία εγγράφου) εμπίπτει στον υψηλό κίνδυνο εάν χρησιμοποιείται για ταυτοποίηση αντί για επαλήθευση ενός μεμονωμένου προσώπου έναντι ενός ισχυρισμού. Η διάκριση έχει λειτουργικό νόημα: η αντιστοίχιση έναντι μιας μόνο δηλωμένης ταυτότητας είναι επαλήθευση· η αντιστοίχιση έναντι μιας βάσης δεδομένων είναι ταυτοποίηση.
Παράρτημα III Σημείο 5(β) — Αξιολόγηση πιστοληπτικής ικανότητας. Οποιοδήποτε σύστημα χρησιμοποιείται για την αξιολόγηση της πιστοληπτικής ικανότητας φυσικών προσώπων ή τον καθορισμό της πιστωτικής τους βαθμολογίας εμπίπτει στο πεδίο εφαρμογής. Αυτό καλύπτει τη βαθμολόγηση πιστωτικών καρτών λιανικής, τη βαθμολόγηση χορήγησης στεγαστικών δανείων, την αναδοχή BNPL, και τη λήψη αποφάσεων πίστωσης ΜΜΕ όπου το αντικείμενο είναι φυσικά πρόσωπα. Εξαιρεί τα συστήματα ανίχνευσης χρηματοοικονομικής απάτης (Αιτιολογική Σκέψη 58).
Παράρτημα III Σημείο 5(γ) — Αξιολόγηση κινδύνου και τιμολόγηση σε ασφαλίσεις ζωής και υγείας. Οι κλάδοι bancassurance που εκτελούν μοντέλα αναδοχής σε προϊόντα ζωής ή υγείας εμπίπτουν σε αυτό το σημείο ακόμη και αν η δραστηριότητα πίστωσης λιανικής της μητρικής τράπεζας εμπίπτει επίσης στο πεδίο εφαρμογής βάσει του Σημείου 5(β).
Παράρτημα III Σημείο 7 — Απονομή δικαιοσύνης και δημοκρατικές διαδικασίες. Κανονικά δεν σχετίζεται με τις τράπεζες, αλλά αξίζει να επιβεβαιωθεί για ιδρύματα που παρέχουν υπηρεσίες δικαστικών πληρωμών ή δικαστικών λογαριασμών.

Οι υποχρεώσεις των Άρθρων 16-29 συνοπτικά:

Σύστημα διαχείρισης κινδύνων (Άρθρο 9). Συνεχής επαναληπτική διαδικασία σε όλον τον κύκλο ζωής του συστήματος, τεκμηριωμένη γραπτώς.
Δεδομένα και διακυβέρνηση δεδομένων (Άρθρο 10). Τα δεδομένα εκπαίδευσης, επικύρωσης και δοκιμών υπόκεινται σε πρακτικές διακυβέρνησης και διαχείρισης δεδομένων, συμπεριλαμβανομένων της συνάφειας, της αντιπροσωπευτικότητας, της πληρότητας και της αξιολόγησης για μεροληψίες.
Τεχνική τεκμηρίωση (Άρθρο 11) και τήρηση αρχείων (Άρθρο 12). Αυτόματη καταγραφή συμβάντων από το ίδιο το σύστημα, που διατηρείται για περιόδους κατάλληλες για τον σκοπό του συστήματος.
Διαφάνεια προς τους φορείς εγκατάστασης (Άρθρο 13). Οδηγίες χρήσης που επιτρέπουν στους φορείς εγκατάστασης να ερμηνεύουν την έξοδο του συστήματος.
Ανθρώπινη εποπτεία (Άρθρο 14). Ενσωματωμένα εκ σχεδιασμού μέτρα που επιτρέπουν σε φυσικά πρόσωπα να εποπτεύουν, συμπεριλαμβανομένης της δυνατότητας παράκαμψης ή διακοπής του συστήματος.
Ακρίβεια, ευρωστία, κυβερνοασφάλεια (Άρθρο 15). Μετρικές επιδόσεων δημοσιευμένες στις οδηγίες χρήσης· ανθεκτικότητα σε εχθρικές εισόδους· διόρθωση μεροληψίας κατά τη λειτουργία.

Το εποπτικό ερώτημα για τον Αύγουστο του 2026: μπορεί η τράπεζα να παράγει Αξιολόγηση Συμμόρφωσης βάσει του Παραρτήματος VI για κάθε σύστημα του Παραρτήματος III σε παραγωγή; Τα ιδρύματα που έχτισαν πλαίσια διαχείρισης κινδύνου μοντέλων ευθυγραμμισμένα με το SR 11-7 / SS1/23 έχουν ήδη τις περισσότερες εισροές· η εργασία είναι η αντιστοίχιση των υφιστάμενων ελέγχων με τις κατηγορίες αποδεικτικών στοιχείων των Άρθρων 9-15 του AI Act.

Η Κυριαρχία Δεδομένων ως Μηχανική Πειθαρχία

Το λειτουργικό μοντέλο κυριαρχίας δεδομένων το 2026:

Τυποποιημένες Συμβατικές Ρήτρες (Ενότητα 2 ή 3 κατά περίπτωση). Οι επικαιροποιημένες SCCs που υιοθετήθηκαν με την Απόφαση (ΕΕ) 2021/914 της Επιτροπής είναι η βάση. Οι προ-2021 SCCs είχαν περίοδο χάριτος· η χρήση τους το 2026 αποτελεί πόρισμα.

Αξιολόγηση Επιπτώσεων Μεταφοράς. Για κάθε μεταφορά προς μη επαρκή τρίτη χώρα, τεκμηριώστε: τους νόμους και τις πρακτικές στη χώρα του αποδέκτη που σχετίζονται με την προστασία δεδομένων· εάν αυτοί οι νόμοι επιτρέπουν πρόσβαση από δημόσιες αρχές που υπερβαίνει ό,τι είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία· τα συγκεκριμένα δεδομένα που μεταφέρονται· τα τεχνικά και οργανωτικά συμπληρωματικά μέτρα που εφαρμόζονται. Οι Συστάσεις 01/2020 ⧉ του EDPB παρέχουν το πλαίσιο.

Έλεγχος πιστοποίησης EU-US Data Privacy Framework. Οι πιστοποιημένοι κατά DPF αμερικανικοί αποδέκτες επιτρέπουν τη μεταφορά βάσει της απόφασης επάρκειας χωρίς SCCs + TIA. Επαλήθευση: η σελίδα πιστοποίησης DPF ⧉ του αποδέκτη συν ένα εσωτερικό αρχείο της ημερομηνίας επαλήθευσης. Το DPF επιβίωσε της πρώτης ετήσιας αναθεώρησής του το 2024· η μακροπρόθεσμη ανθεκτικότητά του παραμένει ανοιχτό ερώτημα.

Συμπληρωματικά μέτρα όπου η TIA δείχνει ότι χρειάζονται. Ψευδωνυμοποίηση πριν από τη μεταφορά, κρυπτογράφηση με κλειδιά που τηρούνται στην ΕΕ, διαχωρισμένη επεξεργασία, ή μεταφορά μετά από συγκέντρωση. Το μοτίβο επιβολής του 2025: τα πορίσματα της CNIL για το Microsoft 365 στις γαλλικές διοικήσεις επικεντρώθηκαν στο εάν η απενεργοποίηση των Connected Experiences και η διαμόρφωση της τοποθέτησης tenant στο EU Data Boundary συνιστούσαν επαρκή συμπληρωματικά μέτρα.

Μηχανισμοί EU Data Boundary των παρόχων cloud. Το AWS European Sovereign Cloud, το Microsoft EU Data Boundary, το πακέτο κυριαρχίας Google Cloud EU, καθώς και οι συνεργασίες κυρίαρχου cloud (Bleu / Capgemini-Orange, Delos Cloud, Oracle EU Sovereign Cloud) επιχειρούν όλα να σχεδιάσουν εγγυήσεις κυριαρχίας δεδομένων σε επίπεδο πλατφόρμας. Κανένα από αυτά δεν εξαλείφει την απαίτηση SCC + TIA· μειώνουν την επιφάνεια υπολειπόμενου κινδύνου της TIA.

Συγκέντρωση Cloud υπό το DORA και τις Κατευθυντήριες Γραμμές Εξωτερικής Ανάθεσης της EBA

Το καθεστώς CTPP του DORA και οι κατευθυντήριες γραμμές εξωτερικής ανάθεσης της EBA επικαλύπτονται:

Η παράγραφος 64 της EBA/GL/2019/02 ⧉ απαιτεί από τα ιδρύματα να διασφαλίζουν ότι οι κρίσιμες ή σημαντικές ρυθμίσεις εξωτερικής ανάθεσης δεν υπονομεύουν την ουσιαστική παρουσία του ιδρύματος στην ΕΕ, την εποπτεία από τη διοίκηση, ή την ικανότητα λήψης αποφάσεων για την εξωτερικά ανατεθειμένη λειτουργία. Η παράγραφος 81 απαιτεί αξιολογήσεις υποκαταστασιμότητας. Οι παράγραφοι 113-117 καλύπτουν την τεκμηρίωση στρατηγικής εξόδου που πραγματικά ελέγχουν οι εποπτικές αρχές.

Το Άρθρο 28 του DORA προσθέτει τις απαιτήσεις συμβατικού περιεχομένου για ρυθμίσεις ICT τρίτων μερών που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες: προσβασιμότητα δεδομένων, ασφάλεια δεδομένων, τόπος διαμονής δεδομένων, δικαιώματα ελέγχου, στρατηγικές εξόδου, και διατάξεις συνέχειας.

Το καθεστώς CTPP βρίσκεται στη συνέχεια πάνω και από τα δύο: εάν ένας τρίτος διασχίσει το κατώφλι καθορισμού, οι ESAs αποκτούν άμεση εποπτική εξουσία. Οι μηχανικές συνέπειες αφορούν γεωγραφικές και αρχιτεκτονικές επιλογές σχεδιασμού: multi-region active-active για κρίσιμες υπηρεσίες· τεκμηριωμένα σχέδια εξόδου με περιοδικές δοκιμές εκτέλεσης (όχι απλώς ασκήσεις επιτραπέζιου τύπου)· μητρώα ICT τρίτων μερών που συμφωνούν με το ίδιο το απόθεμα υπηρεσιών του παρόχου cloud.

Τι Σημαίνει Αυτό ανά Τύπο Τράπεζας

Παγκόσμια Συστημικά Σημαντικές Τράπεζες

Η περίμετρος συμμόρφωσης είναι πλέον ένα αρχιτεκτονικό πρόβλημα. Η επένδυση δεν είναι άλλη μία ανανέωση πολιτικών — είναι η πλατφόρμα πολιτικής-ως-κώδικα που ενσωματώνει τους κανόνες που προκύπτουν από το DORA στη ροή CI/CD, η απογραφή συστημάτων AI που αναδεικνύει την ταξινόμηση του Παραρτήματος III κατά τον χρόνο ανάπτυξης, το μητρώο ICT τρίτων μερών που συμφωνεί αυτόματα με τα συστήματα προμηθειών και το bill-of-materials του cloud, και το αμετάβλητο αρχείο ελέγχου που παράγει αποδεικτικά στοιχεία του μητρώου του Άρθρου 8 κατόπιν αιτήματος της εποπτικής αρχής. Χτίστε την πλατφόρμα· ο ρυθμιστικός κύκλος που ακολουθεί τον υψηλό κίνδυνο του AI Act (πιθανώς μια επέκταση βάσει του Κώδικα Πρακτικής για την AI Γενικού Σκοπού) κληρονομεί την υποδομή.

Καθολικές και Μεσαίου Μεγέθους Τράπεζες

Η πραγματιστική στάση είναι η αυστηρή απογραφή του Παραρτήματος III. Οι περισσότερες καθολικές τράπεζες έχουν ένα ή δύο συστήματα σαφώς εντός του πεδίου εφαρμογής (πιστωτική βαθμολόγηση, χορήγηση στεγαστικών δανείων, βιομετρικά προς τον πελάτη) και μια μακριά ουρά οριακών περιπτώσεων. Το να αφιερώσετε τρεις μήνες στο πρώτο εξάμηνο του 2026 παράγοντας μια υπερασπίσιμη ταξινόμηση κατά το Παράρτημα III ανά σύστημα AI σε παραγωγή — με γραπτό σκεπτικό που αντέχει σε εξωτερικό έλεγχο — έχει μεγαλύτερη αξία από άλλη μία ανανέωση πλαισίου ελέγχων. Η εργασία ταξινόμησης λειτουργεί ταυτόχρονα ως αποδεικτικό στοιχείο διαχείρισης κινδύνων ICT του Άρθρου 6 του DORA για συστήματα που φέρουν AI.

Μικρότερες Τράπεζες και Στεγαστικοί Οργανισμοί

Η στρατηγική απάντηση είναι η δέουσα επιμέλεια προμηθευτών αντί της εσωτερικής κατασκευής. Επιλέξτε προμηθευτές AI που δημοσιεύουν τεκμηρίωση αξιολόγησης συμμόρφωσης κατά το Παράρτημα III, που δεσμεύονται για υποστήριξη αποδεικτικών στοιχείων των Άρθρων 9-15 στα συμβόλαιά τους, και των οποίων οι πιστοποιήσεις ασφάλειας τρίτων μερών ευθυγραμμίζονται με τις απαιτήσεις του Άρθρου 28 του DORA. Επικυρώστε τους ισχυρισμούς των προμηθευτών μέσω της διαδικασίας MRM σας. Το εσωτερικό πεδίο είναι η ενσωμάτωση, η διαμόρφωση και η λειτουργική εποπτεία — όχι η κατασκευή πλαισίου.

Ασφαλιστές και Κλάδοι Bancassurance

Το Σημείο 5(γ) του Παραρτήματος III για την αξιολόγηση κινδύνου ασφαλίσεων ζωής και υγείας τοποθετεί τους ασφαλιστικούς κλάδους εντός της περιμέτρου υψηλού κινδύνου ανεξάρτητα από την έκθεση της μητρικής τράπεζας. Η προθεσμία του Αυγούστου 2026 ισχύει. Συντονιστείτε με τη λειτουργία συμμόρφωσης AI Act της μητρικής τράπεζας — το μεγαλύτερο μέρος της υποκείμενης εργασίας απογραφής και αποδεικτικών στοιχείων είναι κοινό, και η ρυθμιστική έκθεση είναι ειδική ανά γραμμή δραστηριότητας.

Fintechs, PSPs και Regtechs

Το ερώτημα προϊόντος για προμηθευτές που πωλούν σε τράπεζες της ΕΕ το 2026 δεν είναι πλέον «συμμορφώνεται η πλατφόρμα σας με το DORA / AI Act». Είναι «παράγει η πλατφόρμα σας την τεκμηρίωση που χρειάζεται η λειτουργία συμμόρφωσης μιας τράπεζας tier-1 για να αποδείξει τη δική της συμμόρφωση». Εισροές μητρώου του Άρθρου 8 του DORA, πρότυπα τεχνικής τεκμηρίωσης του Άρθρου 11 του AI Act, τυποποιημένο κείμενο SCC + TIA για οποιαδήποτε ρύθμιση μεταφοράς δεδομένων. Οι προμηθευτές που απαντούν με χρησιμοποιήσιμα πρότυπα κλείνουν εταιρικές συμφωνίες· οι προμηθευτές που απαντούν με PDF χάνουν έναντι ανταγωνιστών που δεν το κάνουν.

Μηχανική του Λειτουργικού Μοντέλου

Το στοιχείο διαφοροποίησης του 2026 είναι η πολιτική-ως-κώδικας ενσωματωμένη στον χρόνο εκτέλεσης.

Open Policy Agent στην πύλη ανάπτυξης. Κάθε ανάπτυξη παραγωγής περνά από αξιολόγηση OPA έναντι πολιτικής που προκύπτει από το DORA. Παραδείγματα: κάθε υπηρεσία που αγγίζει δεδομένα πελατών πρέπει να έχει τεκμηριωμένη εγγραφή στο μητρώο του Άρθρου 8· κάθε σύστημα AI του Παραρτήματος III πρέπει να έχει αποδεικτικά στοιχεία Αξιολόγησης Συμμόρφωσης συνδεδεμένα από το μανιφέστο ανάπτυξης· κάθε υπηρεσία ICT τρίτου μέρους πρέπει να έχει αξιολόγηση υποκαταστασιμότητας εντός ισχύος. Το μητρώο πολιτικών είναι εκδοσιολογημένο σε Git· οι απορριφθείσες αναπτύξεις παράγουν σκεπτικά που μπορούν να αναθεωρηθούν.

Αμετάβλητη καταγραφή ελέγχου που τροφοδοτεί τα αποδεικτικά στοιχεία του Άρθρου 8. Συμβάντα ανάπτυξης, διαμόρφωσης και πρόσβασης αποθηκευμένα σε WORM που συμφωνούν με το μητρώο ICT τρίτων μερών. Οι εποπτικές αρχές που ρωτούν «δείξτε μου τους ελέγχους για την υπηρεσία X την ημερομηνία Y» λαμβάνουν αποτέλεσμα ερωτήματος, όχι ένα έργο συναρμολόγησης εγγράφων.

Απογραφή συστημάτων AI με ταξινόμηση κατά το Παράρτημα III αναδεικνυόμενη στο CI/CD. Κάθε σύστημα AI στην απογραφή του ιδρύματος φέρει μια ταξινόμηση κατά το Παράρτημα III (Σημείο 1, 5(α), 5(β), 5(γ), 6, 7 ή κανένα). Η ταξινόμηση αναθεωρείται όταν το σύστημα αλλάζει· η ανάπτυξη στην παραγωγή ελέγχει ότι η ταξινόμηση είναι επίκαιρη. Οι κατηγορίες αποδεικτικών στοιχείων των Άρθρων 9-15 αντιστοιχίζονται σε πεδία της απογραφής και η ροή CI/CD γράφει τεχνουργήματα αποδεικτικών στοιχείων ως μέρος κάθε κυκλοφορίας.

Δοκιμές διείσδυσης βάσει απειλών ενσωματωμένες στο SDLC. Το εύρος TLPT προκύπτει από την απογραφή κρίσιμων και σημαντικών λειτουργιών του ιδρύματος· το πρόγραμμα δοκιμών εκτελείται συνεχώς αντί ως διακριτό συμβάν κάθε τρία χρόνια. Τα πορίσματα τροφοδοτούν πίσω στο μητρώο πολιτικών OPA· τα κλειστά πορίσματα παράγουν πακέτα αποδεικτικών στοιχείων έτοιμα για εποπτεία.

Τα ιδρύματα που παράγουν αποδεικτικά στοιχεία με την ταχύτητα της ροής εργασίας περνούν τις εξετάσεις. Τα ιδρύματα που παράγουν πακέτα τεκμηρίωσης ως απάντηση σε αιτήματα δεδομένων δεν τις περνούν.

Συχνές Ερωτήσεις

Βρίσκεται το DORA ακόμη σε φάση «προετοιμασίας» το 2026;

Όχι. Το DORA βρίσκεται σε ενεργή επιβολή από τις 17 Ιανουαρίου 2025. Τα Άρθρα 6, 8, 18 και 26 είναι όλα σε ισχύ· το καθεστώς καθορισμού CTPP ανοίγει καθ' όλη τη διάρκεια του 2025 και 2026· τα εποπτικά πορίσματα από το πρώτο κύμα εξετάσεων κατέφθασαν το Δ' τρίμηνο του 2025. Η πλαισίωση περί «προετοιμασίας» απέχει δύο ρυθμιστικούς κύκλους από την πραγματικότητα.

Ποια είναι η προθεσμία του EU AI Act που έχει σημασία για τις τράπεζες;

Η 2 Αυγούστου 2026 — η ημερομηνία που οι υποχρεώσεις των Άρθρων 16-29 εφαρμόζονται στα συστήματα υψηλού κινδύνου του Παραρτήματος III. Το Σημείο 5(β) του Παραρτήματος III για την αξιολόγηση πιστοληπτικής ικανότητας, το Σημείο 1 για τη βιομετρική ταυτοποίηση κατά την εγγραφή, και το Σημείο 5(γ) για την αξιολόγηση κινδύνου ασφαλίσεων ζωής και υγείας είναι οι κατηγορίες που σχετίζονται με τις τράπεζες. Οι περισσότερες τράπεζες tier-1 έχουν τουλάχιστον ένα σύστημα του Παραρτήματος III σε παραγωγή.

Εξαλείφει το Data Privacy Framework την ανάγκη για SCCs;

Μόνο για τους πιστοποιημένους κατά DPF αμερικανικούς αποδέκτες. Απαιτείται επαλήθευση της πιστοποίησης κατά τη στιγμή της μεταφοράς, συν ένα εσωτερικό αρχείο. Όλα τα υπόλοιπα εξακολουθούν να απαιτούν SCCs μαζί με τεκμηριωμένη Αξιολόγηση Επιπτώσεων Μεταφοράς.

Ποιο είναι το μηχανικό παραδοτέο που αποδεικνύει τη συμμόρφωση με το DORA σε μια εξέταση;

Πολιτική-ως-κώδικας που ελέγχει τις αναπτύξεις παραγωγής έναντι κανόνων που προκύπτουν από το DORA, αμετάβλητα αρχεία ελέγχου που τροφοδοτούν τα αποδεικτικά στοιχεία του μητρώου του Άρθρου 8, μια απογραφή συστημάτων AI με ταξινόμηση κατά το Παράρτημα III αναδεικνυόμενη κατά τον χρόνο ανάπτυξης, και ένα πρόγραμμα TLPT με εύρος καθορισμένο έναντι της απογραφής κρίσιμων και σημαντικών λειτουργιών. Αποδεικτικά στοιχεία με την ταχύτητα της ροής εργασίας.

Ρυθμίζονται οι πάροχοι cloud υπό το DORA;

Ναι — βάσει των Άρθρων 28-44. Το καθεστώς καθορισμού CTPP δίνει στις Ευρωπαϊκές Εποπτικές Αρχές άμεση εποπτεία των καθορισμένων κρίσιμων τρίτων παρόχων. Η AWS, η Microsoft (Azure), η Google (GCP) και η Salesforce βρίσκονται όλες εντός ή κοντά στην περίμετρο καθορισμού.

Παραπομπές

European Union, (2022). Regulation (EU) 2022/2554 — Digital Operational Resilience Act (DORA) ⧉.
European Union, (2024). Regulation (EU) 2024/1689 — Artificial Intelligence Act ⧉.
European Banking Authority, (2019). EBA/GL/2019/02 — Guidelines on outsourcing arrangements ⧉.
European Supervisory Authorities, (2024). Final Report on the ITS on the Register of Information under DORA ⧉.
European Central Bank, (2024). TIBER-EU framework ⧉.
European Data Protection Board, (2020). Recommendations 01/2020 on supplementary measures ⧉.
US Department of Commerce, (2023). EU-US Data Privacy Framework ⧉.
European Commission, (2021). Commission Implementing Decision (EU) 2021/914 — Standard Contractual Clauses ⧉.

Τελευταία αναθεώρηση 2026-07-17.

Αναδημοσίευση αυτού του άρθρου

DORA, EU AI Act και Κυριαρχία Δεδομένων: Η Στοίβα Συμμόρφωσης 2026 για Τράπεζες — Sebastien Rousseau

Το DORA, το EU AI Act, ο GDPR, ο κίνδυνος συγκέντρωσης cloud και η κυριαρχία δεδομένων συγκλίνουν σε μία ενιαία στοίβα συμμόρφωσης 2026 για τις τράπεζες.

Αυτό το άρθρο διατίθεται με άδεια Creative Commons Attribution 4.0 International. Η αναδημοσίευση απαιτεί αναφορά στην κανονική διεύθυνση URL.

DORA, EU AI Act και Κυριαρχία Δεδομένων: Η Στοίβα Συμμόρφωσης 2026 για Τράπεζες — Sebastien Rousseau

Το DORA, το EU AI Act, ο GDPR, ο κίνδυνος συγκέντρωσης cloud και η κυριαρχία δεδομένων συγκλίνουν σε μία ενιαία στοίβα συμμόρφωσης 2026 για τις τράπεζες.

Originally published at https://sebastienrousseau.com/el/2026-05-28-dora-ai-act-data-sovereignty-banking-compliance-stack-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER