DORA program pod nadzorom BaFin-a
Cjelovit program usklađivanja s DORA-om uz trajni vCISO paušal: okvir ICT rizika, registar imovine, registar trećih strana, proces za incidente testiran na roku od 72 sata.
Lockpoint Kibernetička sigurnost & IT inženjering · DACH / Jadran / UK
Nešto u vašem IT-u ne štima. U pravu ste.
Osjećate to pri svakom sporom onboardingu, neočekivanom računu za cloud i neodgovorenom klijentskom upitniku, čak i kad nitko ne zna imenovati uzrok. Mi znamo. Petnaest godina vođenja burzovne infrastrukture u Frankfurtu, Zürichu i New Yorku naučilo nas je kako izgleda dobro projektiran sustav. Gradimo ga za tvrtke od 30 do 500 ljudi, a zatim ga i vodimo.
Lockpoint / registar2026
- Internih specijalista
- 18
- Provjerena mreža stručnjaka
- ~40
- Burzovne operacije
- 15 god.
- Lokacije
- FRA · SPU · BEG
- Radni jezici
- EN · DE · HR
- Vendorska partnerstva
- 0, namjerno
- DORA · primjenjuje se od 17. siječnja 2025.
- NIS2 · na snazi u cijelom EU-u
- ISO 27001 · SOC 2
- Prijava incidenata u 72 sata
- Klijentski DDQ-ovi sada odlučuju o ugovorima
- ≈30% IT troška je rasipanje
- EU AI Act · obveze stupaju na snagu postupno
Osjećaj, imenovan
Ne možete pokazati prstom. Ali stalno to slušate.
Svaki novi zaposlenik danima čeka pristupe. Nitko ne zna reći zašto.
Čuli smo od COO-aRačun za cloud udvostručio se u godinu dana. Nitko ne zna reći koja polovica uopće nečemu služi.
Čuli smo od CFO-aJedan administrator zna kako sve to skupa stoji. Trenutno je na godišnjem.
Čuli smo od CEO-aDijagram arhitekture je iz 2021. Već je 2021. bio pogrešan.
Čuli smo od CTO-aKlijent je poslao sigurnosni DDQ s dvjesto pitanja. U sobi je zavladala tišina.
Čuli smo od voditelja prodajeProšli smo reviziju. Revizoru svejedno nisam znao objasniti vlastiti sustav.
Čuli smo od direktoraAko vam tri od ovih zvuče poznato, nemate IT problem. Imate dizajnerski dug: sustav koji je narastao slučajno i sada vodi vašu tvrtku. Precizno imenovati što ne štima, i to vašim jezikom, prva je stvar koju radimo.
Pogledajte Clarity AssessmentZašto sada
„Mi nismo banka“ prestalo je biti obrana.
Regulativa je nekad bila tuđi problem. Sada do vas dolazi na jedan od tri načina, a dva od njih vrijede i za tvrtke koje nikad nisu razgovarale s regulatorom.
Pozicija 1 · Izravno regulirani
Regulator vam piše izravno.
Banke, platne institucije, upravitelji imovinom, osiguratelji, fintech, kripto. DORA se primjenjuje od siječnja 2025., s ICT registrima, nadzorom trećih strana i rokom od 72 sata za incidente. Mnogi subjekti još nisu usklađeni i pod aktivnim su nadzorom.
Pozicija 2 · U opsegu, a da to ne znate
Zakon seže dalje nego što mislite.
NIS2 ide daleko izvan financija: zdravstvo, logistika, proizvodnja, energetika, digitalni pružatelji. Postupci se otvaraju protiv tisuća subjekata diljem Njemačke, Austrije i EU-a, a mnoge srednje velike tvrtke u opsegu su i nisu to ni provjerile.
Pozicija 3 · U lancu dobave
Vaš najveći klijent nasljeđuje vas kao rizik.
Niste regulirani? Ako prodajete banci ili velikoj korporaciji, njihove se obveze slijevaju niz lanac eksternalizacije ravno u vaš ugovor. Većina korporativnih incidenata počinje kod dobavljača, pa SOC 2, ISO 27001 i DORA upitnici za treće strane danas odlučuju tko zadržava posao.
DORA-in rok od 72 sata ne pita koji je od vaša tri dobavljača odgovoran. U kojoj god poziciji sjedili, pritisak stiže na isti način: upitnik, dopis, rok. Jedan odgovorni partner znači jedan broj telefona kad stigne.
Problem s konzultantima
Konzultanti vam predaju registrator. Mi vam predajemo sustav koji radi.
Uobičajeni odgovor na regulatorni pritisak je konzultantska kuća koja proizvede papirologiju i napusti zgradu. Uobičajeni odgovor na IT pritisak je MSSP koji preporučuje ono što i preprodaje. Lockpoint stavlja obje polovice u jedan tim: inženjere koji isporučuju infrastrukturu i GRC praktičare koji znaju kako će DDQ vašeg klijenta biti bodovan. Odgovaramo na njih red po red, a vaše možemo nositi umjesto vas.
Konzultantski obrazac
- Registrator politika koje nitko ne provodi
- Nalazi bez popravaka. Popravak je drugi angažman.
- Juniori koji uče na vaš trošak
- Preporuke oblikovane maržama na preprodaji
- Nestanu onog dana kad izvještaj stigne
Lockpointov obrazac
- Sustavi koji rade plus dokazi koje generiraju svaki dan
- Mi gradimo popravak: MDM, SCIM, PAM, MDR, u produkciji
- Praktičari iz burzovnih operacija na vašem angažmanu
- Nula partnerskih statusa, nula preprodanih licenci, namjerno
- Dežurni, na paušalu ili vodimo cijelu okolinu umjesto vas
Pitanje internog tima
„Već imamo IT ljude.“ Odlično. Zadržite ih.
Vaš tim je građen za operativu: tiketi, dostupnost, danas. Preprojektiranje identiteta, endpointa i clouda drugačiji je posao koji dolazi jednom u nekoliko godina, a raditi ga dobro znači da ste ga već radili mnogo puta. Mi jesmo. Ciljno stanje projektiramo s vašim timom u sobi, automatiziramo repetitivni posao iz njihova radnog dana i ostajemo dežurni iza njih.
Ovo je poštena podjela posla: vaš tim poznaje vaš posao; mi znamo kako ova transformacija izgleda, jer smo je već proveli. Većina internih timova nikad je ne odradi dvaput. Naš od toga živi.
Nakon precrtavanja vaši ljudi upravljaju sustavom koji sam sebe objašnjava: pristupi iz HR podataka, uređaji koji se sami konfiguriraju, dokazi koji se izvoze na zahtjev. Posao zbog kojeg je IT bio nezahvalan upravo je posao koji automatiziramo. Pogledajte kako stajemo uz tim →
Po mjeri, ne po šabloni
Najbolje prakse ulaze. Izlazi vaša arhitektura.
Dolazimo s nacrtima: obrascima dokazanima ondje gdje kvar završi na naslovnicama, usidrenima u međunarodne standarde poput CIS Benchmarks i ISO 27001. Ali nijedne dvije tvrtke ne dobivaju istu izvedbu. Nacrt se prilagođava vašem poslu, vašim alatima i vašim obvezama, nikad obrnuto.
- Projektirano s vama, a ne isporučeno vama. Vaš tim je u sobi, svaka odluka je objašnjena, a završni dijagram je onaj koji biste i sami mogli nacrtati na ploči. Razumijevanje je isporuka; vlasništvo je rezultat.
- Nema univerzalnog stacka za sve. Nemamo vendorskih partnerstava i ništa ne preprodajemo, pa dizajn odgovara vašoj okolini i vašem budžetu, a ne preprodavačevu cjeniku.
- Ostaje vaše. Dokumentacija, runbookovi, registri i dijagrami predaju se u hodu. Da sutra nestanemo, vaš sustav ne bi.
Većina pružatelja ostavi vas s više. Naši angažmani obično završe s manje.
Manje alata
Duplicirani softver pronađen, konsolidiran i otkazan. U tipičnom angažmanu 20 do 40% SaaS licenci ne preživi prvi pregled.
Niži trošak
Cloud okoline na AWS-u, GCP-u i Azureu svedene na pravu mjeru i počišćene. Računi u pravilu ispadnu 25 do 35% lakši kad workloadi odgovaraju stvarnoj upotrebi.
Jedan standard
Infrastruktura, operativa i upravljanje standardizirani na CIS Benchmarks i ISO 27001, pa je svaki odgovor revizoru isti odgovor.
„Vaš IT nije zakazao. Nikad nije bio projektiran. Mi ga projektiramo, a zatim automatiziramo.“
Lockpointova metoda, u jednoj rečeniciKako radimo
Jasnoća, pa automatizacija, pa sigurnost. Točno tim redom.
Većina pružatelja prvo prodaje sigurnost, jer je to stavka koju ćete najbrže odobriti. Na nedokumentiranoj okolini ona pada. Mi je stavljamo na kraj, jer tada radi.
KORAK 1
Jasnoća
Mapiramo svaki alat, račun i dobavljača koji stvarno koristite, izradimo stvarni dijagram arhitekture i režemo višak. Oko 30% onoga što većina tvrtki troši na IT je rasipanje. Mi ga nađemo i uklonimo. Ista mapa služi i kao vaš DORA registar ICT imovine.
Mapa imovineInventar pristupaRegistar dobavljačaAnaliza rasipanja
KORAK 2
Automatizacija
Zero-touch postavljanje uređaja kroz MDM. SCIM dodjela i ukidanje pristupa povezani s vašim HR sustavom. Upravljanje privilegiranim pristupom s revizijskim tragom. Offboarding koji se izvodi sam. Kad netko ode, koliko traje dok mu pristup nije u potpunosti ukinut? Većina tvrtki ne zna. Naši klijenti odgovaraju u minutama.
MDMSCIMPAMAutomatski offboarding
KORAK 3
Sigurnost
Na čistoj, dokumentiranoj okolini detekcija i odgovor stvarno rade. Upravljana detekcija i odgovor preko endpointa, identiteta i clouda, s dokazima usklađenosti koji ispadaju iz dnevne operative umjesto iz godišnje panike.
HardeningMDRDokazi usklađenosti
Što se stvarno mijenja
Jedan proces, prije i poslije.
Offboarding je mjesto gdje neprojektirani IT postaje skup. Ovako izgleda u tipičnom angažmanu, prije nego što ga dotaknemo i nakon što faza automatizacije bude isporučena.
Prije / neprojektirano
- Laptopi se pripremaju ručno, danima prije nego što novi zaposlenik postane produktivan
- Pristup se dodjeljuje tiketom, a ukida po sjećanju
- Nitko nije vlasnik popisa dobavljača niti zna koliko sve to košta
- Administratorska prava dijele se i nikad ne preispituju
- Revizijski dokazi skupljaju se u panici, jednom godišnje
Poslije / projektirano
- Zero-touch MDM upis: laptop se konfigurira sam, ravno iz kutije
- SCIM otvara i uklanja račune izravno iz HR sustava
- Jedan registar dobavljača s vlasnicima, troškovima i datumima ugovora
- Privilegirani pristup ograničen, vremenski oročen i logiran
- Dokazi se izvoze na zahtjev, mapirani na DORA-u, ISO 27001, SOC 2
Kako se uklapamo
Uz vaš tim, ili umjesto njega.
Po mjeri vrijedi i za odnos. Neki klijenti žele partnera koji sjedi uz njihov interni IT. Neki žele da im se vodi cijela okolina. I jedni i drugi dobivaju iste inženjere i istu odgovornost.
Model A · Zajedničko upravljanje
Sjedimo uz vaš interni tim.
Vaši ljudi zadržavaju ključeve i uče dizajn. Mi donosimo nacrte, izgradnju i zaleđe.
- Arhitektura i nacrti, projektirani s vašim timom u sobi
- Implementacije i automatizacija: MDM, SCIM, PAM, hardening
- Dežurstvo i eskalacija iza vaše prve linije
- Podrška za revizije i DDQ-ove, odgovaramo zajedno, red po red
Model B · Potpuno upravljano · €100–250 po korisniku / mjesečno
Mi to vodimo, održavamo i operiramo umjesto vas.
Zaposlite pedeset ljudi. IT tim nemojte. Jedan ugovor, jedna odgovorna strana.
- Kompletna IT operativa: životni ciklus uređaja, identitet, helpdesk
- Upravljana detekcija i odgovor preko endpointa, identiteta i clouda
- Dokazi usklađenosti koje generira dnevna operativa
- Upravljanje dobavljačima i troškovima, s izrezanih ~30% rasipanja
Iz prakse
Angažmani upravo u onim tvrtkama koje regulatori gledaju.
ISO 27001 na okolini s AWS-om i Google Workspaceom
Čišćenje arhitekture i implementacija ISO 27001 oblikovana prema očekivanjima FINMA-e, na cloud stacku koji tvrtka stvarno koristi, a ne onom koji je dobavljač htio prodati.
Preživjeti bankarske upitnike
DORA spremnost za treće strane, SOC 2 program i penetracijsko testiranje za platformu čiji bankarski klijenti danas revidiraju svoje dobavljače jednako oštro kao što regulatori revidiraju njih.
Puni MSP i MSSP pod jednim ugovorom
Kompletna IT operativa plus upravljana sigurnost: životni ciklus uređaja, identitet, helpdesk, hardening te detekcija i odgovor, s jednom stranom odgovornom za sve.
DORA i ISO 27001 uz rok Series B runde
Usklađenost građena brzinom prikupljanja kapitala: usklađivanje s DORA-om i ISO 27001 isporučeni dok je investitorski due diligence već bio u tijeku.
Regulirani, dobavljač reguliranima ili jednostavno siti nereda?
Financijski subjekti i dobavljači koji ih opslužuju naša su jezgra. U opsegu su i zdravstvo, logistika i proizvodnja pod NIS2.
Profili su anonimizirani angažmani. Radimo za regulirane tvrtke; njihova imena ne objavljujemo.
Kako započeti
Počnite malim korakom, s fiksnom cijenom, korisnim sam po sebi.
Bez discovery teatra, bez konzaltinga otvorenog kraja. Prvi korak ima cijenu, opseg i isporuku koja ostaje vaša, razgovarali mi ikad više ili ne.
Clarity Assessment za IT i sigurnost
Ulazna točka. Mapiramo vašu okolinu, nađemo rasipanje i izloženost te vam predamo rangirani izvještaj o rizicima s troškovno procijenjenim planom sanacije. Mapa imovine ujedno je i vaš DORA ICT registar. Vaše je da zadržite, naše da izvedemo — ili ne.
€4,000–6,000 fiksna cijena
Programi usklađenosti
DORA, NIS2, ISO 27001, SOC 2 i klijentski DDQ-ovi. Od gap analize do dokaza spremnih za reviziju, uz dostupan vCISO paušal za trajno vlasništvo i komunikaciju s regulatorom.
Po opsegu po programu
Sve-u-jednom IT + sigurnost
Puni MSP, MSSP ili oboje pod jednim ugovorom: životni ciklus uređaja, identitet, helpdesk, hardening te upravljana detekcija i odgovor.
€100–250 po korisniku / mjesečno
Izravni projekti
Posao jasnog opsega bez programa: penetracijski test, implementacija MDM / SCIM / PAM, hardening sprint ili definirani paušal.
Po opsegu fiksna ponuda
Prigovori, s odgovorima
Što kupci pitaju prije potpisa.
Nismo regulirani. Zašto bi se išta od ovoga odnosilo na nas?
Dva razloga. NIS2 seže daleko izvan financija, u zdravstvo, logistiku, proizvodnju, energetiku i digitalne usluge, a mnoge su srednje velike tvrtke u opsegu, a da to nisu ni provjerile. A čak i ako vas nijedan zakon ne imenuje, obveze vašeg najvećeg klijenta slijevaju se niz njegov lanac eksternalizacije u vaš ugovor. Sigurnosni upitnik koji odlučuje o produljenju vašeg ugovora jest regulativa, samo je dostavlja nabava umjesto regulatora.
Po čemu se razlikujete od konzultantske kuće?
Po rezultatu. Isporuka konzultantske kuće je dokument; naša je sustav koji radi i dokazi koje on generira. Isti tim koji piše vaš okvir ICT rizika implementira MDM, spaja SCIM životni ciklus i s vama odgovara na klijentski DDQ red po red. Papirologija bez funkcionalne infrastrukture prije ili kasnije pada na reviziji. Infrastruktura bez papirologije pada odmah. Trebate oboje, od jednog tima.
Zašto nemate vendorska partnerstva ili certifikate Microsofta, Googlea ili AWS-a?
Namjerno. Partnerski status dolazi s ciljevima preprodaje, a ciljevi preprodaje iskrivljuju preporuke. Imamo duboku radnu ekspertizu u Microsoft Entra, Defenderu i M365, Google Workspaceu i AWS-u, ali ne prodajemo licence i ne uzimamo provizije. Kad vam kažemo da izbacite neki proizvod, taj nas savjet ne košta ništa, a vama štedi novac.
Mi smo regulirani. Može li tvrtka vaše veličine nositi tu odgovornost?
Nošenje odgovornosti i jest smisao modela. Vaša ugovorna strana je Lockpoint d.o.o., tvrtka registrirana u Splitu, Hrvatska (EU), koju vodi direktorica Antonela Lukač. Ljudi koji rade posao proveli su godine vodeći IT i sigurnost unutar burzi, okolina u kojima je ispad vijest s naslovnice, a regulator je uvijek u sobi. A budući da jezgru od 18 ljudi podupire provjerena mreža od oko 40 specijalista, dobivate pokrivenost velike prakse bez juniorske klupe.
Imamo interni IT tim. Hoće li im ovo stati na žulj?
Model zajedničkog upravljanja postoji upravo zbog toga. Projektiramo s vašim timom u sobi, predajemo dokumentaciju dok gradimo i preuzimamo dežurstva i specijalistički teret koji ne bi smjeli nositi sami. Vaši ljudi na kraju vode bolji sustav, a ne natječu se s nama za njega.
Koliko košta?
Clarity Assessment stoji €4,000–6,000, fiksno. Sve-u-jednom IT i sigurnost izlazi otprilike €100–250 po korisniku mjesečno, ovisno o veličini okoline i obvezama. Programi i projekti nude se prema pisanom opsegu prije početka bilo kakvog posla.
Možemo li kupiti samo penetracijski test?
Da. Posao jasnog opsega, uključujući pentestove, implementacije i paušale, može se ugovoriti izravno, bez prethodne procjene.
Sljedeći korak
Trideset minuta s inženjerom, a ne s prodavačem.
Donesite svoj rok, svoj upitnik ili osjećaj da nešto ne štima. Otići ćete s izravnom procjenom gdje stojite i što bismo mi napravili prvo.