Операційна стійкість за DORA для постачальників послуг у сфері криптоактивів, авторизованих за MiCA

Чинне право

Регламент (ЄС) 2022/2554 застосовується з 17 січня 2025 р., і постачальники послуг у сфері криптоактивів, авторизовані за MiCA, входять до його переліку фінансових суб’єктів поряд із банками, платіжними установами та інвестиційними фірмами. Архітектура спирається на п’ять блоків: документована система управління ІКТ-ризиками з прямо закріпленою відповідальністю органу управління; гармонізована класифікація ІКТ-інцидентів і звітування про серйозні з них; тестування цифрової операційної стійкості, пропорційне розміру та профілю ризику суб’єкта; управління ІКТ-ризиком третіх сторін, включно з обов’язковими договірними положеннями та реєстром інформації, що охоплює всі договірні домовленості щодо ІКТ-послуг; і добровільний обмін інформацією про загрози. Реєстр — не разове завдання: європейські наглядові органи (ESAs) почали збирати реєстри інформації через національні органи у квітні 2025 року, і ESAs визначають критичних сторонніх постачальників ІКТ-послуг для прямого оверсайту (oversight) на рівні ЄС. Усе це вже сьогодні застосовується до авторизованого CASP.

Чому блок про треті сторони найбільше зачіпає CASP

Банки теж активно користуються аутсорсингом: в аналізі Європейського центрального банку (ЄЦБ, ECB) 2025 року, присвяченому реєстрам аутсорсингу піднаглядних банків, зазначено, що майже всі вони мають договори про хмарні послуги для критичних функцій і що більшість критичних функцій, переданих на аутсорсинг зовнішнім постачальникам, було б важко замінити. Для типового CASP відмінність полягає у вихідній базі. Сам робочий стек купують на стороні — хмарна інфраструктура, доступ до вузлів блокчейну та RPC, технологія зберігання, інфраструктура гаманців, інструменти скринінгу й потоки ринкових даних, — причому часто в невеликого кола постачальників, спільних для всієї галузі, а власного успадкованого ядра навколо нього фірма не має. Наглядовий брифінг (supervisory briefing) Європейського органу з цінних паперів та ринків (ESMA) щодо авторизації CASP розглядає аутсорсинг ключових функцій та ІКТ-інфраструктури як підставу для посиленої уваги і скеровує національні органи до DORA, коли вони його оцінюють.

У межах блоку DORA про треті сторони це має три наслідки. Реєстр інформації фактично стає картою всього бізнесу, і його перше повне складання показує, скільки в бізнесі єдиних точок відмови. Далі йде приведення договорів у відповідність: DORA приписує мінімальний зміст договору для кожної домовленості про ІКТ-послуги, що охоплює опис послуги, місце розташування та захист даних, повернення даних у разі неплатоспроможності або розірвання договору, опис рівнів обслуговування, допомогу в разі інцидентів, співпрацю з органами влади та права на розірвання договору, а також другий рівень для послуг, які підтримують критичні або важливі функції: він додає повні кількісні показники рівня обслуговування, права доступу, інспектування та аудиту, тестування планів на випадок надзвичайних ситуацій і положення про вихід (exit); для цього другого рівня стратегії виходу є обов’язковими. Значна частина ринку вендорів для криптогалузі досі оформлює відносини на умовах, типових для стартапів, які цим вимогам не відповідають. Аналіз концентрації стає предметним, коли ваша технологія зберігання, ваш доступ до вузлів і ваша хмара зводяться до залежностей, які можуть відмовити одночасно. Якщо постачальника визначено критичним на рівні ЄС, оверсайт здійснюється щодо постачальника, але практичний ефект доходить до вас через переоформлені договори та змінені умови.

Пропорційність усередині системи

DORA враховує масштаб. Систему управління ризиками, програму тестування та документацію прямо прив’язано до розміру, профілю ризику та критичності підтримуваних функцій, і від CASP із десяти осіб не очікують програми стійкості глобального банку. Регламент також звільняє мікропідприємства (менше десяти працівників і не більше 2 млн євро обороту або підсумку балансу) від окремих обов’язків: комплексної програми тестування та її щорічного мінімуму, тестування на проникнення на основі аналізу загроз (threat-led penetration testing), сценаріїв кібератак під час тестування безперервності діяльності та агрегування повторюваних інцидентів, але й далі вимагає ризик-орієнтованого тестування та дотримання решти системи. Поза цим пропорційність — це аргумент, який ви наводите всередині системи. Рада директорів і далі відповідає за ІКТ-ризик; кожен інцидент реєструють і класифікують, а про серйозні — ті, що зачіпають критичні послуги й перевищують пороги суттєвості у стандарті класифікації Комісії, — повідомляють у строки, встановлені цим стандартом; реєстр і далі існує, і його й далі збирають. У наглядовій практиці пропорційна програма з прогалинами закінчується зауваженням наглядового органу; відсутність програми — це проблема ліцензування, а щодо заявників ESMA скеровує національні органи до DORA, коли вони оцінюють ІКТ-аутсорсинг у межах оцінки для авторизації.

Перелік завдань

П’ять пунктів охоплюють більшу частину роботи. Побудуйте реєстр інформації як постійний процес із відповідальною особою, щоб він залишався актуальним і між кінцевими термінами. Приведіть договори у відповідність до обов’язкових договірних положень DORA, починаючи з вендорів, які підтримують критичні функції, і будьте готові до того, що на деяких вендорів із криптогалузі доведеться тиснути або їх доведеться замінити. Напишіть процедуру реагування на інциденти: реєстрація кожного інциденту; класифікація за критеріями та порогами суттєвості Делегованого регламенту (ЄС) 2024/1772, від яких залежить, чи є інцидент серйозним; для серйозних інцидентів — строки за Делегованим регламентом (ЄС) 2025/301: первинне повідомлення протягом чотирьох годин після класифікації і не пізніше ніж через 24 години після того, як про інцидент стало відомо, проміжний звіт протягом 72 годин, остаточний звіт протягом місяця; внутрішня ескалація та канал зв’язку з наглядовим органом, один раз перевірений до того, як він знадобиться.

Складіть календар тестування, пропорційний вашому профілю, і врахуйте в ньому встановлений законом мінімум: якщо ви не є мікропідприємством, кожну ІКТ-систему, яка підтримує критичну або важливу функцію, тестують щонайменше раз на рік; задокументуйте, чому решта календаря є пропорційною. І підготуйте стратегії виходу для залежностей, втрату яких ви не можете собі дозволити, адже хмарна міграція стає планом лише тоді, коли має кроки, відповідальних і перевірену резервну копію.

Зауваження про Швейцарію для груп: у Швейцарії немає прямо еквівалентного закону про стійкість загального застосування (циркуляр FINMA 2023/1 про операційні ризики та стійкість установлює вимоги щодо стійкості для банків та інших установ, які перебувають під наглядом FINMA — Швейцарської служби з нагляду за фінансовим ринком — і належать до сфери його застосування), тому компанії швейцарської групи в ЄС виконують DORA самостійно, а груповим ІКТ-домовленостям, які проходять через швейцарську материнську компанію, місце в реєстрі та договорах компанії в ЄС.

Що це означає для вас

• Заявникам: закладіть DORA в бюджет отримання ліцензії. Готовність щодо операційної стійкості є частиною розмови про авторизацію, а доопрацювання згодом обходиться дорожче, ніж урахування цих вимог від початку.
• Складіть реєстр повністю, потім переоформте договори з критичними вендорами. Реєстр покаже ваш ризик концентрації, і вам слід побачити його раніше, ніж наглядовий орган; далі йдуть положення про доступ, аудит, вихід і рівень обслуговування за стандартом DORA, починаючи з тих ділянок, де відмова завдає найбільшої шкоди.
• Один раз перевірте весь ланцюг дій у разі інциденту. Пробний прогін класифікації, ескалації та звітування виявляє прогалини, яких не видно в тексті внутрішньої політики.
• Зробіть пропорційність документованим аргументом. Розмір визначає масштаб програми, а від окремих обов’язків звільнено лише мікропідприємство; запишіть, чому ваша програма відповідає вашому ризику.

Isak Legal консультує постачальників послуг у сфері криптоактивів і фінтех-компанії з питань підготовки до DORA, приведення ІКТ-договорів у відповідність і взаємодії обов’язків за MiCA, у сфері протидії відмиванню коштів (AML) та щодо стійкості в межах однієї програми. Докладніше на наших сторінках Цифрові активи і Фінансове регулювання, або зв’яжіться з нами.

Цей огляд призначений виключно для загального ознайомлення, відображає стан справ на 26 вересня 2026 р., не є юридичною консультацією та не створює відносин між юристом і клієнтом. Технічні стандарти та наглядові очікування за DORA й далі розвиваються; перш ніж діяти, перевірте актуальні тексти за офіційними джерелами, посилання на які наведено вище. Щоб отримати консультацію щодо конкретного питання, зв’яжіться з нами.