Операционная устойчивость по DORA для поставщиков услуг в сфере криптоактивов, авторизованных по MiCA

Действующее право

Регламент (ЕС) 2022/2554 применяется с 17 января 2025 г., и поставщики услуг в сфере криптоактивов, авторизованные по MiCA, входят в его перечень финансовых организаций наряду с банками, платежными учреждениями и инвестиционными фирмами. Архитектура состоит из пяти блоков: документированная система управления ИКТ-рисками с прямо закрепленной ответственностью органа управления; гармонизированная классификация инцидентов, связанных с ИКТ, и отчетность о крупных инцидентах; тестирование цифровой операционной устойчивости, пропорциональное размеру и профилю риска организации; управление ИКТ-рисками третьих сторон, включая обязательные договорные положения и реестр информации, охватывающий все договорные отношения в сфере ИКТ; и добровольный обмен сведениями об угрозах. Реестр не является разовой задачей: европейские надзорные органы (ESAs) начали собирать реестры информации через национальные органы в апреле 2025 года, и ESAs определяют критически важных сторонних поставщиков ИКТ-услуг для прямого наблюдения (oversight) на уровне ЕС. Все это уже сегодня применяется к авторизованному CASP.

Почему блок о третьих сторонах сильнее всего затрагивает CASP

Банки тоже активно пользуются аутсорсингом: в анализе Европейского центрального банка (ECB) 2025 года, посвященном реестрам аутсорсинга поднадзорных банков, сообщается, что почти у всех есть договоры на облачные услуги для критически важных функций и что большинство критически важных функций, переданных на аутсорсинг внешним поставщикам, было бы трудно заменить. Для типичного CASP отличие состоит в исходной базе. Сам рабочий стек закупается на стороне — облачная инфраструктура, доступ к узлам блокчейна и RPC, технология хранения, инфраструктура кошельков, инструменты скрининга и ленты рыночных данных, — причем часто у небольшого круга поставщиков, общих для всей отрасли, а собственного унаследованного ядра вокруг него у фирмы нет. Надзорный брифинг (supervisory briefing) Европейского управления по ценным бумагам и рынкам (ESMA) об авторизации CASP рассматривает аутсорсинг ключевых функций и ИКТ-инфраструктуры как основание для повышенного внимания и отсылает национальные органы к DORA при его оценке.

В рамках блока DORA о третьих сторонах из этого вытекают три следствия. Реестр информации фактически становится картой всего бизнеса, и его первое полное составление показывает, сколько в бизнесе единых точек отказа. Далее следует приведение договоров в соответствие: DORA предписывает для каждого соглашения об ИКТ-услугах минимальное содержание договора, которое охватывает описание услуги, местонахождение и защиту данных, возврат данных при несостоятельности или расторжении, описание уровней обслуживания, содействие при инцидентах, сотрудничество с органами власти и права на расторжение, а также второй уровень для услуг, поддерживающих критически важные или важные функции, который добавляет полные количественные показатели уровня обслуживания, права доступа, инспекции и аудита, тестирование планов на случай чрезвычайных ситуаций и положения о выходе; для этого второго уровня обязательны стратегии выхода. Значительная часть рынка вендоров для криптоотрасли по-прежнему оформляет отношения на типичных для стартапов условиях, которые этим требованиям не отвечают. Анализ концентрации становится предметным, когда ваша технология хранения, ваш доступ к узлам и ваше облако сводятся к зависимостям, которые могут отказать одновременно. Если поставщик признан критически важным на уровне ЕС, наблюдение ведется за поставщиком, но практический эффект доходит до вас через переоформленные договоры и изменившиеся условия.

Пропорциональность внутри системы

Требования DORA зависят от масштаба. Система управления рисками, программа тестирования и документация прямо привязаны к размеру, профилю риска и критичности поддерживаемых функций, и от CASP из десяти человек не ожидают программы устойчивости глобального банка. Регламент также освобождает микропредприятия (менее десяти сотрудников и не более 2 млн евро оборота или итога баланса) от отдельных обязанностей: комплексной программы тестирования и ее ежегодного минимума, тестирования на проникновение на основе анализа угроз (threat-led penetration testing), сценариев кибератак при тестировании непрерывности деятельности и агрегирования повторяющихся инцидентов, но по-прежнему требует риск-ориентированного тестирования и соблюдения остальной части системы. В остальном пропорциональность — это аргумент, который вы приводите внутри системы. Совет директоров по-прежнему отвечает за ИКТ-риски; каждый инцидент регистрируется и классифицируется, а о крупных — тех, которые затрагивают критически важные услуги и превышают пороги существенности в стандарте классификации Европейской комиссии, — сообщается в сроки, установленные этим стандартом; реестр по-прежнему ведется и по-прежнему собирается. В надзорной практике пропорциональная программа с пробелами оборачивается замечанием; отсутствие программы — это проблема лицензирования, а в отношении заявителей ESMA отсылает национальные органы к DORA, когда они оценивают ИКТ-аутсорсинг при рассмотрении заявки на авторизацию.

План работ

Пять пунктов охватывают большую часть работы. Выстройте реестр информации как постоянно поддерживаемый процесс с ответственным лицом, чтобы реестр оставался актуальным и между сроками. Приведите договоры в соответствие с обязательными положениями DORA, начиная с вендоров, поддерживающих критически важные функции, и примите как данность, что на некоторых вендоров из криптоотрасли придется надавить или их придется заменить. Напишите процедуру на случай инцидентов: регистрация каждого инцидента; классификация по критериям и порогам существенности Делегированного регламента (ЕС) 2024/1772, от которых зависит, является ли инцидент крупным; для крупных инцидентов — сроки по Делегированному регламенту (ЕС) 2025/301: первоначальное уведомление в течение четырех часов после классификации и не позднее 24 часов с момента, когда об инциденте стало известно, промежуточный отчет в течение 72 часов, итоговый отчет в течение месяца; внутренняя эскалация и канал связи с надзорным органом, один раз проверенный до того, как он понадобится.

Составьте календарь тестирования, соразмерный вашему профилю и учитывающий установленный законом минимум: если вы не являетесь микропредприятием, каждая ИКТ-система, поддерживающая критически важную или важную функцию, тестируется как минимум ежегодно; задокументируйте также, почему остальная часть календаря соразмерна. И подготовьте стратегии выхода для зависимостей, потерю которых вы не можете себе позволить, потому что облачная миграция становится планом только тогда, когда у нее есть шаги, ответственные и проверенная резервная копия.

Замечание о Швейцарии для групп: в Швейцарии нет прямо эквивалентного общеприменимого закона об устойчивости (циркуляр FINMA 2023/1 об операционных рисках и устойчивости устанавливает требования к устойчивости для банков и других учреждений, которые поднадзорны FINMA — Швейцарской службе по надзору за финансовым рынком — и входят в сферу его действия), поэтому компании швейцарской группы в ЕС исполняют DORA самостоятельно, а групповым ИКТ-договоренностям, которые проходят через швейцарскую материнскую компанию, место в реестре и договорах компании в ЕС.

Что это означает для вас

• Заявителям: заложите DORA в бюджет получения лицензии. Готовность по операционной устойчивости входит в обсуждение авторизации, а доработка задним числом обходится дороже, чем учет этих требований с самого начала.
• Составьте реестр полностью, затем переоформите договоры с критически важными вендорами. Реестр покажет ваш риск концентрации, и вам следует увидеть его раньше, чем надзорный орган; затем идут положения о доступе, аудите, выходе и уровне обслуживания по стандарту DORA, начиная с тех участков, где отказ обходится дороже всего.
• Один раз проверьте всю цепочку действий при инциденте. Пробный прогон классификации, эскалации и отчетности выявляет пробелы, которых не видно в тексте внутренней политики.
• Сделайте пропорциональность документированным аргументом. Размер определяет масштаб программы, а от отдельных обязанностей освобождено только микропредприятие; запишите, почему ваша программа соответствует вашему риску.

Isak Legal консультирует поставщиков услуг в сфере криптоактивов и финтех-компании по вопросам подготовки к DORA, приведения ИКТ-договоров в соответствие и взаимодействия обязанностей по MiCA, противодействию отмыванию денег (AML) и устойчивости в рамках одной программы. Подробнее на наших страницах Цифровые активы и Финансовое регулирование, или свяжитесь с нами.

Настоящий обзор предназначен исключительно для общего ознакомления, отражает положение дел по состоянию на 26 сентября 2026 г., не является юридической консультацией и не создает отношений между юристом и клиентом. Технические стандарты и надзорные ожидания в рамках DORA продолжают развиваться; прежде чем действовать, проверьте актуальные тексты по официальным источникам, ссылки на которые приведены выше. Для получения консультации по конкретному вопросу свяжитесь с нами.