DORA за финансовия сектор — цифрова оперативна устойчивост

Регламент (ЕС) 2022/2554 (DORA) се прилага изцяло от 17 януари 2025 г. и обхваща над 20 категории финансови субекти. Ако вашата организация попада във финансовия сектор — от банки и застрахователи до крипто-доставчици и облачни платформи — DORA вече е задължителен. Глобите достигат 2% от глобалния оборот. Това ръководство покрива всички ключови изисквания.

Какво е DORA

DORA (Digital Operational Resilience Act) е Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно цифровата оперативна устойчивост на финансовия сектор. Регламентът влиза в сила на 16 януари 2023 г., а се прилага изцяло от 17 януари 2025 г.

Като регламент (за разлика от директива), DORA се прилага директно във всички държави членки на ЕС, включително България — без нужда от транспониране в националното законодателство. Това означава, че задълженията вече са в сила и подлежат на прилагане от компетентните органи.

DORA обхваща пет основни стълба:

1. Управление на ИКТ рисковете
2. Докладване на ИКТ инциденти
3. Тестване на цифровата оперативна устойчивост
4. Управление на рисковете от ИКТ доставчици трети страни
5. Споделяне на информация за киберзаплахи

Кого засяга DORA

DORA обхваща над 20 категории финансови субекти, както и критичните ИКТ доставчици, които ги обслужват. Ето пълният списък:

ИКТ Risk Management (чл. 6–16)

Членове 6 до 16 от DORA изискват всяка финансова институция да създаде цялостна рамка за управление на ИКТ рисковете. Рамката подлежи на документиране и независим одит, с минимум един преглед годишно.

Изисквания към рамката

• Идентификация — пълен инвентаризационен регистър на всички ИКТ активи, системи и зависимости
• Защита и превенция — политики за сигурност, контрол на достъпа, криптиране, управление на софтуерни актуализации (patch management)
• Откриване — мониторинг на аномалии, системи за ранно предупреждение
• Реагиране и възстановяване — планове за непрекъсваемост (BCP), планове за възстановяване при бедствие (DRP)
• Обучение — задължителни програми за повишаване на осведомеността на персонала по ИКТ сигурност
• Комуникация — планове за кризисна комуникация, включително с компетентните органи и обществеността

Управителният орган (борд на директорите) носи крайна отговорност за рамката за управление на ИКТ рисковете. Той трябва да одобрява стратегията, да определя толерантността към рискове и да получава редовни доклади.

Годишен преглед и одит

ИКТ рамката подлежи на преглед поне веднъж годишно, както и след всеки значителен ИКТ инцидент. Вътрешният одит (или независим външен одит) трябва да оценява ефективността на рамката. Резултатите се докладват на управителния орган.

Докладване на ИКТ инциденти

DORA въвежда стандартизирана тристепенна процедура за докладване на значителни ИКТ инциденти. Тя е по-детайлна и по-кратка от сроковете по GDPR и NIS2.

Трите фази на докладване

Сравнение на сроковете за докладване

Тестване на цифровата устойчивост (чл. 24–27)

DORA въвежда задължително тестване на цифровата устойчивост на две нива: базово тестване (ежегодно) и напреднало тестване — Threat-Led Penetration Testing (TLPT) на всеки 3 години.

Базово тестване (ежегодно)

• Оценки на уязвимостите и мрежови сканирания
• Тестове на софтуерна сигурност (включително open source)
• Gap анализ спрямо рамката по чл. 6–15
• Тестове за съвместимост и performance
• Тестове на физическата сигурност
• Прегледи на изходен код (при наличие)
• Сценарийни тестове (включително DDoS симулации)

TLPT — напреднало тестване (на всеки 3 години)

Системно важните финансови институции трябва да провеждат Threat-Led Penetration Testing (TLPT) на всеки три години. Това е тестване от тип „червен екип“, базирано на реалистични сценарии за заплахи.

Изисквания към външния тестващ екип

• Независимост от тестваната организация
• Доказан опит в TLPT и тестове от тип „червен екип“
• Професионална застраховка
• Акредитация или сертификация (CREST, TIBER-EU, или еквивалент)
• Строги NDA и етични правила

Управление на ИКТ доставчици (чл. 28–44)

Членове 28–44 от DORA въвеждат най-детайлните изисквания в ЕС за управление на рисковете от ИКТ доставчици трети страни. Те надхвърлят значително изискванията на чл. 28 от GDPR за договори за обработка на лични данни.

Договорни изисквания

Всеки договор с ИКТ доставчик трета страна трябва да съдържа минимум:

• Ясно описание на предоставяните услуги и SLA (service level agreements)
• Локации за обработка на данни — къде се съхраняват и обработват данните
• Достъп и одитни права — право на финансовата институция да провежда одити (включително on-site)
• Подизпълнители — изисквания за одобрение при промяна на подизпълнители
• Стратегия за прекратяване (exit strategy) — преходни периоди и съдействие при прекратяване на договора
• Задължения при инциденти — уведомяване, съдействие, достъп до логове
• Непрекъсваемост — гаранции за непрекъсваемост на услугата и възстановяване след бедствие (disaster recovery)

Сравнение: DORA чл. 28–44 vs GDPR чл. 28

Критични ИКТ доставчици (CTPP)

Европейските надзорни органи (EBA, ESMA, EIOPA) могат да определят даден ИКТ доставчик като критичен (CTPP), ако той обслужва голям брой финансови институции или предоставя трудно заменими услуги. Критичните доставчици подлежат на пряк надзор от ЕС, включително инспекции на място и задължителни препоръки.

Регистър на ИКТ доставчиците

Всяка финансова институция е длъжна да поддържа пълен регистър на всички договорни отношения с ИКТ доставчици. Регистърът се подава до компетентния орган (БНБ или КФН) и трябва да включва информация за критичността на услугите, зависимостите и концентрационния риск.

DORA vs NIS2 vs GDPR

DORA, NIS2 и GDPR имат различен фокус, но се припокриват в редица области. Ключовият принцип е, че DORA е специален закон (lex specialis) за финансовия сектор — когато DORA и NIS2 се припокриват, DORA има предимство.

DORA в България

Макар DORA да не изисква транспониране, България прие на 8 юли 2025 г. допълнителен закон, който определя националните компетентни органи и специфичните процедури за прилагане.

Компетентни органи

Персонална отговорност на ръководството

Националният закон предвижда персонална отговорност на членовете на управителните органи при неспазване на DORA. Това включва:

• Административни глоби на физически лица от ръководството
• Временно отстраняване от управленска позиция (до 1 година)
• Публично оповестяване на имената на отговорните лица
• Забрана за заемане на ръководна длъжност във финансова институция

Глоби и санкции

DORA предвижда строг санкционен режим, който варира в зависимост от типа субект:

За финансови институции

• Санкции се определят от националното право (чл. 50-52 DORA) (или до 1% от дневния оборот за всеки ден на продължаващо нарушение — дневни глоби)
• За физически лица от ръководството — до 1 000 000 EUR
• Публично оповестяване на нарушенията (публично порицаване)
• Временна забрана за извършване на определени дейности

За критични ИКТ доставчици (CTPP)

• До 5 000 000 EUR (или 1% от среднодневния глобален оборот за всеки ден на нарушение)
• Задължителни препоръки за отстраняване на нарушения
• Временна забрана за предоставяне на услуги на финансови институции в ЕС
• Публично оповестяване

Фактори за определяне на глобата

„DORA превръща ИКТ устойчивостта от технически въпрос в стратегически приоритет на борда на директорите. Персоналната отговорност на ръководството е сигнал, че ЕС не приема оправдания от типа «IT отделът се занимава с това».“

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.