Регламентът DORA — Експертни консултантски услуги за финансови субекти в цяла Европа

Регламентът относно цифровата оперативна устойчивост (DORA), Регламент (ЕС) 2022/2554, е правнообвързващ регламент на ЕС, който установява единни изисквания за сигурността и устойчивостта на ИКТ системите в целия финансов сектор. Целта му е да гарантира, че финансовите субекти и техните критични технологични партньори могат да устоят, да реагират и да се възстановят от ИКТ инциденти, включително кибератаки и системни сривове. Тъй като е регламент (а не директива), той се прилага пряко във всички 27 държави членки на ЕС, без да се изисква транспониране в националното законодателство.

DORA обхваща над 20 категории финансови субекти, включително банки, инвестиционни посредници, платежни институции, дружества за електронни пари, застрахователни и презастрахователни дружества, доставчици на услуги за криптоактиви, централни депозитари на ценни книжа, централни контрагенти, места на търговия, агенции за кредитен рейтинг и доставчици на услуги за колективно финансиране. Регламентът се прилага и за ИКТ доставчиците трети страни, които обслужват тези субекти. DORA има екстратериториален обхват: прилага се въз основа на това къде се предоставят услугите на финансовите субекти в ЕС, независимо от това къде е седалището на доставчика.

DORA влезе в сила на 16 януари 2023 г. и се прилага изцяло от 17 януари 2025 г. Всички обхванати субекти са задължени да бъдат в съответствие от тази дата. Европейските надзорни органи (ЕНО) публикуваха регулаторните технически стандарти (RTS) и техническите стандарти за изпълнение (ITS), които конкретизират детайлните изисквания за регулаторно съответствие.

Рамката за санкции на DORA функционира на две нива. За финансовите субекти член 50 изисква всяка държава членка да установи свои собствени административни санкции за нарушения на DORA. Те варират значително в рамките на ЕС. Анализ на DLA Piper от октомври 2025 г. установи, че таваните на санкциите, базирани на оборота, варират от 5% от годишния оборот (Испания) до 10% (Швеция), докато абсолютните тавани варират от 2 млн. евро (Чехия) до 20 млн. евро (Италия). Могат да бъдат налагани и санкции на отделни членове на управителния орган, като таваните варират от 100 000 евро (Финландия) до 5 млн. евро (Германия). За критичните ИКТ доставчици трети страни (CTPP) санкциите се определят директно от самата DORA: член 35 овластява Водещия надзорен орган (един от трите ЕНО) да налага периодични имуществени санкции в размер до 1% от средния дневен световен оборот на доставчика, прилагани ежедневно за период до шест месеца, до постигане на съответствие. Освен финансовите санкции, регулаторите могат да издават задължителни препоръки, да изискват възстановителни действия, да възлагат одити за сметка на субекта и, в тежки случаи, да изискват от финансовите субекти да преустановят или прекратят договори с ИКТ доставчици, които не отговарят на изискванията.

ИКТ доставчиците са засегнати по два начина. Непряко — всички доставчици, обслужващи финансовия сектор, са изправени пред засилен договорен контрол, тъй като техните клиенти (финансовите субекти) са задължени по DORA да включват специфични задължителни клаузи в договорите си, да провеждат задълбочена предварителна проверка (due diligence) и да упражняват одитни права. Пряко — доставчиците, определени като „критични" от ЕНО, са обект на Рамката за надзор на DORA, която дава на Водещия надзорен орган правомощия да изисква информация, да провежда разследвания и проверки на място, да издава препоръки и да налага имуществени санкции. През ноември 2025 г. ЕНО публикуваха първия списък с 19 определени критични ИКТ доставчици трети страни (CTPP). Доставчиците извън ЕС, определени като критични, трябва да създадат дъщерно дружество в ЕС в рамките на 12 месеца след определянето им.

За финансовия сектор DORA е специален закон (lex specialis) по отношение на Директивата NIS 2. Това означава, че макар финансовите субекти технически да попадат в обхвата на NIS 2, те трябва да спазват по-специфичните и по-строги изисквания на DORA. В областите, където разпоредбите на NIS 2 са по-специфични от тези на DORA, NIS 2 се прилага допълващо.

DORA и ISO 27001 служат за различни цели, но се допълват изключително добре. ISO 27001 предоставя рамка за изграждане на Система за управление на сигурността на информацията (ISMS), докато DORA определя правнообвързващи изисквания конкретно за цифровата оперативна устойчивост във финансовия сектор. Една организация, която вече притежава сертификат по ISO 27001, ще установи, че голяма част от основополагащите контроли за управление на риска, управление на инциденти и корпоративно управление се припокриват с изискванията на DORA, което може значително да намали усилията, необходими за постигане на регулаторно съответствие. Въпреки това, DORA въвежда изисквания, които надхвърлят ISO 27001, особено по отношение на TLPT, надзора на трети страни със задължителни договорни клаузи, специфични срокове за докладване на ИКТ инциденти и пряката отговорност на управителния орган.

Целенасоченото тестване за проникване — пентестване (TLPT) е напреднала форма на тестване на сигурността, изисквана от DORA за финансовите субекти, определени като значими от техните компетентни органи. За разлика от стандартното тестване за проникване, TLPT симулира тактиките, техниките и процедурите на реални кибернападатели срещу живи продукционни системи. То трябва да се провежда поне веднъж на три години от квалифицирани външни тестери, следвайки рамката TIBER-EU. Обхватът и провеждането на всяко TLPT упражнение трябва да бъдат координирани със съответния компетентен орган.

Да. DORA включва принцип на пропорционалност, което означава, че изискванията трябва да се прилагат пропорционално на размера, рисковия профил и сложността на дейността на субекта. Микропредприятията (по-малко от 10 служители, оборот или балансово число под 2 млн. евро) са обект на опростена рамка. Някои субекти са напълно освободени, включително лица, управляващи алтернативни инвестиционни фондове под определени прагове на активите, и малки застрахователни дружества. Въпреки това, дори освободените субекти или тези с опростена рамка трябва внимателно да оценят позицията си, тъй като техните договорни отношения с по-големи финансови субекти все пак могат да бъдат засегнати от изискванията на DORA за ИКТ риск от трети страни.

Започнете с оценка на обхвата, за да потвърдите дали и как DORA се отнася за вашата организация, като вземете предвид принципа на пропорционалност. След това осигурете официална подкрепа от борда на директорите и съответния бюджет. DORA изрично изисква участието на управителния орган, така че това не е по избор. Направете детайлен анализ на пропуските (gap анализ), сравнявайки вашата съществуваща рамка за управление на ИКТ риска, процедурите за докладване на инциденти, програмата за тестване и договорите с трети страни срещу всичките пет стълба на DORA. Разработете приоритизиран план за отстраняване на уязвимостите с ясни отговорности и срокове. Прегледайте и предоговорете договорите с трети страни, за да включите задължителните клаузи на DORA. Накрая, формализирайте структурите за корпоративно управление за текущ надзор на ИКТ риска и планирайте непрекъснатото подобрение, което DORA изисква.