DORA за финансовия сектор — дигитална оперативна устойчивост

Регламент (ЕС) 2022/2554 (DORA) се прилага изцяло от 17 януари 2025 г. и обхваща над 20 категории финансови субекти. Ако вашата организация попада във финансовия сектор — от банки и застрахователи до крипто-доставчици и облачни платформи — DORA вече е задължителен. Глобите достигат 2% от глобалния оборот. Това ръководство покрива всички ключови изисквания.

Какво е DORA

DORA (Digital Operational Resilience Act) е Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно дигиталната оперативна устойчивост на финансовия сектор. Регламентът влиза в сила на 16 януари 2023 г., а се прилага изцяло от 17 януари 2025 г.

Като регламент (за разлика от директива), DORA се прилага директно във всички държави-членки на ЕС, включително България — без нужда от транспониране в националното законодателство. Това означава, че задълженията вече са в сила и подлежат на прилагане от компетентните органи.

DORA обхваща пет основни стълба:

1. Управление на ICT рисковете
2. Докладване на ICT инциденти
3. Тестване на дигиталната оперативна устойчивост
4. Управление на рисковете от ICT доставчици трети страни
5. Споделяне на информация за киберзаплахи

Кого засяга DORA

DORA обхваща над 20 категории финансови субекти, както и критичните ICT доставчици, които ги обслужват. Ето пълният списък:

ICT Risk Management (чл. 6–16)

Членове 6 до 16 от DORA изискват всяка финансова институция да създаде цялостна рамка за управление на ICT рисковете. Рамката трябва да бъде документирана, одитирана и преглеждана поне веднъж годишно.

Изисквания към рамката

• Идентификация — пълен инвентаризационен регистър на всички ICT активи, системи и зависимости
• Защита и превенция — политики за сигурност, контрол на достъпа, криптиране, patch management
• Откриване — мониторинг на аномалии, системи за ранно предупреждение
• Реагиране и възстановяване — планове за непрекъсваемост (BCP), планове за възстановяване при бедствие (DRP)
• Обучение — задължителни програми за повишаване на осведомеността на персонала по ICT сигурност
• Комуникация — планове за кризисна комуникация, включително с компетентните органи и обществеността

Управителният орган (борд на директорите) носи крайна отговорност за рамката за управление на ICT рисковете. Той трябва да одобрява стратегията, да определя толерантността към рискове и да получава редовни доклади.

Годишен преглед и одит

ICT рамката подлежи на преглед поне веднъж годишно, както и след всеки значителен ICT инцидент. Вътрешният одит (или независим външен одит) трябва да оценява ефективността на рамката. Резултатите се докладват на управителния орган.

Докладване на ICT инциденти

DORA въвежда стандартизирана тристепенна процедура за докладване на значителни ICT инциденти. Тя е по-детайлна и по-кратка от сроковете по GDPR и NIS2.

Трите фази на докладване

Сравнение на сроковете за докладване

Тестване на дигиталната устойчивост (чл. 24–27)

DORA въвежда задължително тестване на дигиталната устойчивост на две нива: базово тестване (ежегодно) и напреднало тестване — Threat-Led Penetration Testing (TLPT) на всеки 3 години.

Базово тестване (ежегодно)

• Vulnerability assessments и мрежови сканирания
• Тестове на софтуерна сигурност (включително open source)
• Gap анализ спрямо рамката по чл. 6–15
• Тестове за съвместимост и performance
• Тестове на физическата сигурност
• Прегледи на source code (при наличие)
• Scenario-based тестове (включително DDoS симулации)

TLPT — напреднало тестване (на всеки 3 години)

Системно важните финансови институции трябва да провеждат Threat-Led Penetration Testing (TLPT) на всеки три години. Това е red team тестване, базирано на реалистични сценарии за заплахи.

Изисквания към външния тестващ екип

• Независимост от тестваната организация
• Доказан опит в TLPT / red teaming
• Професионална застраховка
• Акредитация или сертификация (CREST, TIBER-EU, или еквивалент)
• Строги NDA и етични правила

Управление на ICT доставчици (чл. 28–44)

Членове 28–44 от DORA въвеждат най-детайлните изисквания в ЕС за управление на рисковете от ICT доставчици трети страни. Те надхвърлят значително изискванията на чл. 28 от GDPR за договори за обработка на лични данни.

Договорни изисквания

Всеки договор с ICT доставчик трета страна трябва да съдържа минимум:

• Ясно описание на предоставяните услуги и SLA (service level agreements)
• Локации за обработка на данни — къде се съхраняват и обработват данните
• Достъп и одитни права — право на финансовата институция да провежда одити (включително on-site)
• Подизпълнители — изисквания за одобрение при промяна на подизпълнители
• Exit стратегия — преходни периоди и съдействие при прекратяване на договора
• Задължения при инциденти — уведомяване, съдействие, достъп до логове
• Непрекъсваемост — гаранции за непрекъсваемост на услугата и disaster recovery

Сравнение: DORA чл. 28–44 vs GDPR чл. 28

Критични ICT доставчици (CTPP)

Европейските надзорни органи (EBA, ESMA, EIOPA) могат да определят даден ICT доставчик като критичен (CTPP), ако той обслужва голям брой финансови институции или предоставя трудно заменими услуги. Критичните доставчици подлежат на пряк надзор от ЕС, включително инспекции на място и задължителни препоръки.

Регистър на ICT доставчиците

Всяка финансова институция е длъжна да поддържа пълен регистър на всички договорни отношения с ICT доставчици. Регистърът се подава до компетентния орган (БНБ или КФН) и трябва да включва информация за критичността на услугите, зависимостите и концентрационния риск.

DORA vs NIS2 vs GDPR

DORA, NIS2 и GDPR имат различен фокус, но се припокриват в редица области. Ключовият принцип е, че DORA е lex specialis за финансовия сектор — когато DORA и NIS2 се припокриват, DORA има предимство.

DORA в България

Макар DORA да не изисква транспониране, България прие на 8 юли 2025 г. допълнителен закон, който определя националните компетентни органи и специфичните процедури за прилагане.

Компетентни органи

Персонална отговорност на ръководството

Националният закон предвижда персонална отговорност на членовете на управителните органи при неспазване на DORA. Това включва:

• Административни глоби на физически лица от ръководството
• Временно отстраняване от управленска позиция (до 1 година)
• Публично оповестяване на имената на отговорните лица
• Забрана за заемане на ръководна длъжност във финансова институция

Глоби и санкции

DORA предвижда строг санкционен режим, който варира в зависимост от типа субект:

За финансови институции

• До 2% от общия годишен глобален оборот (или до 1% от дневния оборот за всеки ден на продължаващо нарушение — дневни глоби)
• За физически лица от ръководството — до 1 000 000 EUR
• Публично оповестяване на нарушенията (naming and shaming)
• Временна забрана за извършване на определени дейности

За критични ICT доставчици (CTPP)

• До 5 000 000 EUR (или 1% от среднодневния глобален оборот за всеки ден на нарушение)
• Задължителни препоръки за отстраняване на нарушения
• Временна забрана за предоставяне на услуги на финансови институции в ЕС
• Публично оповестяване

Фактори за определяне на глобата

„DORA превръща ICT устойчивостта от технически въпрос в стратегически приоритет на борда на директорите. Персоналната отговорност на ръководството е сигнал, че ЕС не приема оправдания от типа «IT отделът се занимава с това».“

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.