直接答案：DORA（Regulation (EU) 2022/2554）自 2025-01-17 起适用，覆盖 20 多类金融实体及其 ICT 第三方风险，核心是五件事：ICT 风险管理、ICT 事件报告、数字运营韧性测试、ICT 第三方风险与合同、威胁信息共享，再加上对“关键 ICT 第三方服务提供商”的欧盟层面监督框架。重大 ICT 事件报告时限由 RTS（Commission Delegated Regulation (EU) 2025/301）明确：分类为重大事件后 4 小时内、且知悉后不迟于 24 小时提交初始通知；初始通知后 72 小时内提交中期报告；中期报告后 1 个月内提交最终报告。金融实体还要维护ICT 合同登记册、在合同中写入法定条款，并对关键/重要功能做至少每 3 年一次的 TLPT（威胁导向渗透测试）。
本文面向在欧盟运营的银行、保险、支付、投资、资管、加密资产服务商等金融实体，以及向这些客户提供云、数据中心、SaaS、托管、安全、外包等 ICT 服务的供应商。资料截止 2026-11-07；依据 EUR-Lex DORA 原文、EIOPA/ESMA 的 DORA 页面、Commission Delegated Regulation (EU) 2025/301（事件报告 RTS）。本文把“官方事实”“编辑解读”和“待确认项”分开写，不构成法律意见。
① DORA 已经适用，不是“未来法规”；金融实体对 ICT 第三方风险仍负最终责任，外包不等于转移责任。② 事件报告是“4h/24h/72h/1 个月”的硬时钟：分类后 4 小时内、知悉后不超过 24 小时交初始通知；72 小时内交中期报告；1 个月内交最终报告。③ 合同登记册、合同条款和 TLPT 是监管最容易查的三件事，先做“可核对证据”，再谈工具。
时间表：从立法到 2026 年执行
DORA 于 2022-12-14 通过，2023-01-16 生效，自 2025-01-17 起适用。事件报告的技术标准（RTS）Commission Delegated Regulation (EU) 2025/301 于 2025-02-20 在官方公报公布，明确了初始通知、中期报告和最终报告的时限与内容。2026 年的重点不再是“是否适用”，而是执行：登记册是否完整、合同条款是否补齐、重大事件是否按 4h/24h/72h/1 个月报送、关键/重要功能是否按 TLPT 周期测试，以及关键 ICT 第三方服务提供商的欧盟监督框架如何落地。
| 日期 | 事件 | 对企业含义 |
|---|---|---|
| 2022-12-14 | DORA 通过 | 统一欧盟金融部门数字运营韧性规则 |
| 2023-01-16 | DORA 生效 | 进入实施准备期 |
| 2025-01-17 | DORA 适用 | 金融实体须按 DORA 运行 ICT 风险/第三方/测试/报告 |
| 2025-02-20 | 事件报告 RTS 公布 | 4h/24h/72h/1 个月时限与报告内容明确 |
| 2026 年 | 执行深化 | 登记册、合同、TLPT、关键供应商监督 |
来源：EUR-Lex Regulation (EU) 2022/2554、EIOPA/ESMA DORA 页面、Commission Delegated Regulation (EU) 2025/301（访问 2026-11-07）。具体适用日期、过渡安排和成员国监管实践以官方文本与主管机关要求为准。
五根支柱：DORA 到底管什么
DORA 不是单一“网络安全制度”，而是把金融实体的 ICT 韧性拆成五块：ICT 风险管理（治理、框架、资产/访问、备份与恢复、事件处理）、ICT 事件管理与报告（分类、重大事件报告、自愿威胁通知）、数字运营韧性测试（基础测试 + 高级 TLPT）、ICT 第三方风险管理（尽调、合同、登记册、集中度风险、退出）、威胁信息共享（自愿）。此外，DORA 还建立了对关键 ICT 第三方服务提供商的欧盟监督框架，由 ESAs 指定、Lead Overseer 监督。
| 支柱 | 核心要求 | 关键条款 |
|---|---|---|
| ICT 风险管理 | 治理与框架、资产/访问控制、备份/恢复、事件处理、通信 | 第 5–16 条 |
| 事件管理与报告 | 重大事件分类、初始/中期/最终报告、自愿威胁通知 | 第 17–23 条 |
| 韧性测试 | 基础测试年度覆盖关键系统；TLPT 至少每 3 年 | 第 24–27 条 |
| 第三方风险 | 尽调、合同条款、登记册、集中度、退出策略 | 第 28–30 条 |
| 信息共享 | 金融实体之间自愿共享网络威胁信息 | 第 31–32 条（及第 45 条） |
| 关键供应商监督 | ESAs 指定关键 ICT 第三方、Lead Overseer、欧盟名单 | 第 31–44 条 |
来源：Regulation (EU) 2022/2554（访问 2026-11-07）。表中为编辑归纳；条款范围、比例原则适用和简化框架（第 16 条）以原文为准。
谁在范围内：金融实体与 ICT 供应商
DORA 直接适用于 20 多类金融实体，包括信贷机构、支付机构、电子货币机构、投资公司、加密资产服务提供商、中央证券存管、中央对手方、交易场所、交易报告库、另类投资基金管理人、UCITS 管理公司、保险/再保险 undertaking、保险中介、职业退休机构、信用评级机构、法定审计师、 crowdfunding 服务提供商等。ICT 第三方服务提供商（云、数据中心、SaaS、托管、安全、外包等）不是所有都被直接监管，但金融实体必须通过合同、尽调和登记册管理它们；被 ESAs 指定为“关键 ICT 第三方服务提供商”的，进入欧盟监督框架。小型/非互联实体可适用简化框架（第 16 条），但仍有基础要求。
| 对象 | DORA 下的位置 | 先核对 |
|---|---|---|
| 金融实体 | 直接义务主体：风险/事件/测试/第三方/共享 | 是否属于第 2 条列明类型 |
| ICT 第三方供应商 | 通过合同与尽调受影响；关键者受监督 | 是否支持关键/重要功能 |
| 关键 ICT 第三方 | ESAs 指定，Lead Overseer 监督 | 是否在欧盟关键供应商名单 |
| 小型/非互联实体 | 可适用简化框架（第 16 条） | 是否满足简化条件 |
| 非欧盟供应商 | 服务欧盟金融实体即进入合同/监督视野 | 数据处理地、分包链、欧盟存在 |
来源：Regulation (EU) 2022/2554 第 2、16、28–31 条与 EIOPA/ESMA DORA 页面（访问 2026-11-07）。具体实体类型、简化框架适用和关键供应商指定以原文、ESAs 名单和主管机关要求为准。
第三方风险：登记册与合同条款
DORA 要求金融实体在实体层面（及合并/子合并层面）维护ICT 合同登记册，覆盖所有 ICT 第三方合同，区分是否支持关键/重要功能；至少每年向主管机关报告新增合同数量、供应商类别、合同类型和服务/功能，并按请求提供完整登记册或特定部分。合同必须书面化并包含服务水平，且至少覆盖：服务描述与分包条件、数据处理/存储地点、数据保护与可用性/完整性/保密性、主管机关访问与协助、服务水平与绩效目标、事件报告与支持、终止与退出策略、审计/检查权、培训等。支持关键/重要功能的合同还有更严格的要求。
| 要件 | 登记册要记什么 | 合同要写什么 |
|---|---|---|
| 供应商 | 名称、LEI/识别码、类别、所在国 | 主体、分包链、通知义务 |
| 服务 | 服务/功能、是否关键/重要、ICT 服务类型 | 范围、SLA、绩效目标 |
| 数据 | 数据处理/存储地点、数据敏感度 | 地点变更通知、数据保护 |
| 合同 | 起止、续约、终止、退出 | 终止权、退出策略、过渡协助 |
| 风险 | 集中度、可替代性、分包依赖 | 审计/检查权、监管协助 |
| 事件 | 事件联系人、报告路径 | 事件支持、通知时限 |
来源：Regulation (EU) 2022/2554 第 28–30 条（访问 2026-11-07）。表中为编辑归纳；登记册模板/报送频率以 ESAs 的 ITS 和主管机关要求为准，合同条款需按是否支持关键/重要功能区分。
重大事件报告：4 小时、24 小时、72 小时、1 个月
DORA 第 19 条要求金融实体向主管机关报告重大 ICT 事件；具体时限由 RTS (EU) 2025/301 第 5 条明确：初始通知应尽早提交，且在分类为重大 ICT 事件后 4 小时内、并不迟于知悉事件后 24 小时；中期报告最迟在初始通知提交后 72 小时内提交（即使状态/处理未变化）；最终报告最迟在中期报告（或最近一次更新的中期报告）后 1 个月内提交。若 24 小时内未分类为重大、之后才分类，则从分类时起 4 小时内提交初始通知。无法按时提交的，应在时限前告知主管机关并说明原因。DORA 还允许对重大网络威胁提交自愿通知。
| 节点 | 时限 | 要点 |
|---|---|---|
| 初始通知 | 分类后 ≤4 小时；知悉后 ≤24 小时 | 尽早提交；说明事件基本情况和重大性 |
| 中期报告 | 初始通知后 ≤72 小时 | 即使状态未变化也要交；恢复后可更新 |
| 最终报告 | 中期报告后 ≤1 个月 | 根因、影响、恢复、纠正措施等 |
| 延迟分类 | 分类后 ≤4 小时 | 24 小时后才分类为重大的，从分类时起算 |
| 无法按时 | 时限前告知 | 说明原因，不得默认豁免 |
| 自愿威胁通知 | 自愿 | 重大网络威胁可主动通知 |
来源：Regulation (EU) 2022/2554 第 19 条、Commission Delegated Regulation (EU) 2025/301 第 5 条（访问 2026-11-07）。重大事件判定标准、报告模板/渠道以 RTS/ITS、主管机关和成员国实践为准；本文不构成法律意见。
90 天落地清单
如果 DORA 还没有形成可审计的闭环，建议先用 90 天做“范围与责任 → 登记册 → 合同 → 事件报告 → 测试 → 证据”的闭环。重点不是再买一个工具，而是把监管会问的证据串起来：谁负责、有哪些 ICT 合同、哪些支持关键功能、事件怎么分类和报送、测试覆盖了什么、整改是否闭环。
| 阶段 | 动作 | 产出 |
|---|---|---|
| 第 1–2 周 | 确认实体类型、简化框架适用、主管机关 | 适用范围结论、监管联系人 |
| 第 2–4 周 | 盘点 ICT 合同、供应商、关键/重要功能映射 | 登记册初版、关键功能清单 |
| 第 3–5 周 | 补齐合同法定条款、分包/地点/退出/审计权 | 合同差距清单、补签计划 |
| 第 4–6 周 | 建重大事件分类与 4h/24h/72h/1 个月报告 SOP | 分类矩阵、模板、值班表、演练 |
| 第 6–9 周 | 基础测试年度计划；识别 TLPT 范围 | 测试计划、TLPT 范围与供应商 |
| 第 8–11 周 | 集中度/可替代性/退出风险评估 | 集中度报告、退出预案 |
| 第 10–12 周 | 管理层评审与证据包复核 | 管理评审记录、监管证据索引 |
编辑整理的落地建议，不是官方模板；具体合同条款、登记册模板、测试要求和报告格式以 DORA 原文、RTS/ITS、主管机关和成员国法律为准。
常见问题
DORA 现在适用吗？
适用。DORA 于 2023-01-16 生效，自 2025-01-17 起适用。2026 年的重点是从“准备”转向“执行”：登记册、合同条款、事件报告、测试和关键供应商监督。
哪些实体适用 DORA？
20 多类金融实体，包括信贷机构、支付/电子货币机构、投资公司、加密资产服务提供商、中央证券存管、中央对手方、交易场所、交易报告库、资管/基金管理人、保险/再保险、保险中介、职业退休机构、信用评级机构、法定审计师、crowdfunding 服务提供商等。具体以第 2 条和成员国/主管机关范围为准。
中国 ICT 供应商适用 DORA 吗？
DORA 的直接义务主要落在金融实体；ICT 供应商通过合同、尽调和登记册受影响。被 ESAs 指定为“关键 ICT 第三方服务提供商”的供应商进入欧盟监督框架，可能面临 Lead Overseer 的信息提供、建议和 penalty payments（周期性罚款）等机制。非欧盟供应商服务欧盟金融实体时，应重点准备数据处理地、分包链、审计/检查权、退出与监管协助条款。
重大事件报告的准确时限是什么？
按 RTS (EU) 2025/301：初始通知在分类为重大事件后 4 小时内、且知悉后不迟于 24 小时；中期报告在初始通知后 72 小时内；最终报告在中期报告后 1 个月内。若 24 小时后才分类为重大，从分类时起 4 小时内提交初始通知；无法按时须在时限前告知主管机关并说明原因。
ICT 合同登记册要记什么？
所有 ICT 第三方合同，区分是否支持关键/重要功能；至少记录供应商、服务/功能、合同起止与终止、数据处理/存储地点、分包、集中度/可替代性、事件联系人等。至少每年向主管机关报告新增合同数量、供应商类别、合同类型和服务/功能，并按请求提供完整或部分登记册。
TLPT 多久做一次？
DORA 第 26 条要求被识别的金融实体（不含微型企业和适用简化框架的实体）至少每 3 年做一次 TLPT；主管机关可根据风险状况要求调整频率。TLPT 应覆盖多个或全部关键/重要功能，并使用外部威胁情报。
DORA 的罚款是多少？
DORA 要求成员国设定有效、相称、具有威慑力的行政罚款和补救措施，但未统一规定具体金额；关键 ICT 第三方服务提供商另有 Lead Overseer 的 penalty payments（周期性罚款）机制。具体金额/程序看成员国法律和主管机关实践。
DORA 和 NIS2 是什么关系？
DORA 是金融部门的专门规则，NIS2 是跨行业规则。NIS2 第 4 条允许在行业规则具有等效效果时不适用的机制；实践中金融实体通常按 DORA 及其行业规则处理，但仍需按 NIS2 第 4 条、成员国法律和主管机关要求确认边界，避免漏报或重复建设。
研究方法与局限
本文把“官方事实”和“编辑建议”分开：DORA 的通过/生效/适用日期、20 多类金融实体、五根支柱、第 19 条报告、第 26 条 TLPT 每 3 年、第 28–30 条登记册/合同、关键 ICT 第三方监督，来自 EUR-Lex Regulation (EU) 2022/2554 与 EIOPA/ESMA 的 DORA 页面；4h/24h/72h/1 个月的具体时限来自 Commission Delegated Regulation (EU) 2025/301 第 5 条。90 天清单和“先核对/产出”为编辑整理。
局限有八个：① 本文不是法律意见；② 未逐国核对主管机关实践、罚款金额和简化框架适用；③ 未覆盖所有 RTS/ITS 的技术细节（分类标准、模板、登记册字段）；④ 关键 ICT 第三方名单和监督决定会更新；⑤ 未展开 DORA 与 NIS2/CRA/GDPR 的逐条映射；⑥ 未提供完整合同模板或测试方案；⑦ 非欧盟供应商的“欧盟存在”要求需按具体监督/法律文本确认；⑧ 政策与监管实践可能更新，发布前应复核官方页面。
数据来源与口径
- EUR-Lex, Regulation (EU) 2022/2554（DORA）：eur-lex.europa.eu/eli/reg/2022/2554/oj。第 2 条范围、第 5–16 条 ICT 风险管理、第 17–23 条事件、第 24–27 条测试、第 28–30 条第三方、第 31–44 条关键供应商监督、第 50 条罚款。访问 2026-11-07。
- EIOPA, Digital Operational Resilience Act (DORA)：eiopa.europa.eu/digital-operational-resilience-act-dora_en。DORA 自 2025-01-17 适用；20 类金融实体；ICT 风险/第三方/测试/事件/共享/关键供应商监督。访问 2026-11-07。
- ESMA, Digital Operational Resilience Act (DORA)：esma.europa.eu/.../digital-operational-resilience-act-dora。DORA 2023-01-16 生效、2025-01-17 适用；20 多类实体、12 类在 ESMA 范围。访问 2026-11-07。
- EUR-Lex, Commission Delegated Regulation (EU) 2025/301：eur-lex.europa.eu/eli/reg_del/2025/301/oj。第 5 条：初始通知 4h/24h、中期 72h、最终 1 个月；延迟分类与无法按时告知。访问 2026-11-07。
资料截止 2026-11-07；本文依据官方文本与监管页面整理，不构成法律意见；具体义务以 DORA、RTS/ITS、主管机关和成员国法律为准。