# DORA คืออะไร? คู่มือ Digital Operational Resilience Act สำหรับ FinTech ส่งออก EU ไทย 2026
ถ้าธุรกิจของคุณให้บริการทางการเงินหรือเทคโนโลยีที่เกี่ยวข้องกับลูกค้าในยุโรป ปี 2026 เป็นปีที่ต้อง "ผ่าน DORA ให้ได้" ไม่เช่นนั้นอาจถูกสั่งระงับการให้บริการ คณะกรรมาธิการยุโรปบังคับใช้ Digital Operational Resilience Act (DORA) ตั้งแต่ 17 มกราคม 2025 และปี 2026 เป็นช่วงที่หน่วยงานกำกับเริ่มตรวจสอบอย่างจริงจัง
DORA คือกฎหมายที่ออกแบบมาเพื่อให้ภาคการเงินของยุโรปสามารถทนทานต่อการโจมตีทางไซเบอร์และความเสียหายระบบ ICT ได้ ขอบเขตครอบคลุม Bank, Insurance, Payment Service, Crypto Exchange รวมถึง ICT Third-Party Provider ที่ให้บริการกับองค์กรเหล่านี้ — และนี่คือจุดที่ SME ไทยหลายรายโดนเต็มๆ
บทความนี้จะสรุปข้อกำหนดหลัก 5 ด้าน พร้อมแผนการเตรียมตัวที่ใช้ได้จริงสำหรับผู้ส่งออก EU จากประเทศไทยในปี 2026
DORA คืออะไร และใครต้องปฏิบัติ
DORA (Regulation EU 2022/2554) เป็นกฎหมายที่ออกแบบมาเพื่อ harmonize กฎระเบียบด้าน ICT risk ของภาคการเงินทั่วยุโรป โดยแทนที่ระเบียบกระจัดกระจายของแต่ละประเทศสมาชิก EU ด้วยมาตรฐานเดียวที่เข้มงวดกว่า
ประเภทองค์กรที่อยู่ภายใต้ DORA:
สำหรับบริษัทไทย DORA จะเกี่ยวข้องเมื่อคุณให้บริการ SaaS, Cloud, AI, Data Analytics แก่สถาบันการเงินในยุโรป หรือเมื่อคุณเป็น Thai FinTech ที่มี EU clients แม้ไม่ได้จดทะเบียนในยุโรปก็ตาม — หน่วยงานกำกับในยุโรปสามารถสั่งลูกค้า EU ให้หยุดใช้บริการคุณได้
5 Pillars ของ DORA
DORA แบ่งข้อกำหนดเป็น 5 เสาหลักที่ทุกองค์กรต้องปฏิบัติตาม
| Pillar | สาระสำคัญ | ตัวอย่างงานที่ต้องทำ |
|--------|-----------|----------------------|
| 1. ICT Risk Management | กรอบบริหารความเสี่ยง ICT | จัดทำ ICT Risk Framework, Business Impact Analysis |
| 2. ICT Incident Reporting | รายงาน Major Incident ภายใน 4 ชั่วโมง | Incident Classification Matrix, Reporting Playbook |
| 3. Digital Operational Resilience Testing | ทดสอบระบบด้วย TLPT อย่างน้อยทุก 3 ปี | Penetration Test, Red Team Exercise |
| 4. ICT Third-Party Risk | บริหารความเสี่ยง vendor และ sub-contractor | Register of Information, Contract Review |
| 5. Information Sharing | แลกเปลี่ยนข้อมูล Cyber Threat | เข้าร่วม ISAC, ใช้ STIX/TAXII |
ทั้ง 5 เสาต้อง integrate กัน ไม่สามารถเลือกทำเฉพาะบางข้อได้ และต้องส่งเอกสาร Register of Information (RoI) ให้หน่วยงานกำกับทุกปี
ข้อกำหนดสำคัญที่ SME ไทยมักมองข้าม
จากการตรวจสอบจริงในปี 2025 พบว่าบริษัทไทยที่ให้บริการ EU financial clients มักสะดุดกับ 5 จุดนี้
หลาย SME ไทยคิดว่า ISO 27001 เพียงพอ แต่ DORA ครอบคลุมลึกกว่ามาก โดยเฉพาะเรื่อง operational resilience testing และ third-party chain monitoring
แผน 6 เดือนสู่ DORA Compliance
ถ้าคุณเพิ่งเริ่มต้น นี่คือ roadmap ที่ทดสอบแล้วว่าใช้ได้จริง
องค์กรที่ scale ใหญ่ควรเตรียม budget €200,000-€500,000 สำหรับโปรเจ็กต์แรก ส่วน SME ขนาดกลางสามารถทำได้ในงบ €50,000-€150,000 โดยใช้ outsource expertise
DORA vs NIS2 vs ISO 27001 — ใช้ร่วมกันอย่างไร
หลายคนสับสนว่าต้องเลือกกฎหมายไหน จริงๆ แล้วทั้งสามมัก complement กัน
| ด้าน | DORA | NIS2 | ISO 27001 |
|------|------|------|-----------|
| Scope | Financial Sector only | Essential + Important | Any organization |
| บังคับใช้ | 17 ม.ค. 2025 | 18 ต.ค. 2024 | Voluntary |
| ICT Third-Party Focus | สูงมาก | ปานกลาง | ต่ำ |
| Incident Reporting | 4 ชม. + 72 ชม. + 1 เดือน | 24 ชม. + 72 ชม. + 1 เดือน | ไม่บังคับ |
| Testing Requirement | TLPT บังคับ | Recommended | ขึ้นกับ scope |
| ปรับ (Penalty) | 1% ของรายได้ต่อวัน | 2% ของรายได้ | ไม่มี |
สำหรับบริษัทไทยส่วนใหญ่ แนะนำเริ่มจาก ISO 27001 เป็น base จากนั้น overlay DORA requirements สำหรับ financial clients และ NIS2 สำหรับ essential service providers
ความเสี่ยงและโทษ
การไม่ปฏิบัติตาม DORA มีผลหนักกว่าที่คิด
สรุปและขั้นตอนถัดไป
DORA ไม่ใช่กฎหมาย compliance ธรรมดา แต่เป็น strategic imperative สำหรับทุกองค์กรที่แตะวงการการเงินยุโรป 5 Pillars — ICT Risk, Incident Reporting, Resilience Testing, Third-Party Risk, Information Sharing — ต้องถูก integrate เข้า operation ประจำวัน ไม่ใช่เอกสารที่วางไว้บนชั้น
สิ่งที่ควรทำทันทีในปี 2026:
สนใจให้ ADS FIT ช่วยทำ DORA Gap Analysis, ติดตั้งระบบ ICT Risk Management หรือออกแบบ Register of Information ที่ใช้งานได้จริง? ติดต่อทีมที่ปรึกษาด้าน Compliance ของเราได้ทันที หรืออ่านบทความเพิ่มเติมเกี่ยวกับ NIS2, ISO 27001, และ Cyber Resilience Act ในหมวด Compliance ของบล็อกเรา