DORA
DORA встановлює правила цифрової операційної стійкості фінансового сектору ЄС: керування ІКТ-ризиками, реагування на інциденти, тестування, робота з постачальниками та обмін інформацією про загрози.
Огляд DORA
DORA — Регламент (ЄС) 2022/2554 про цифрову операційну стійкість фінансового сектору. Його мета — щоб фінансові послуги могли витримувати збої інформаційно-комунікаційних технологій (ІКТ), а установи вміли реагувати й відновлювати роботу.
Регламент охоплює і кібератаки, і звичайні технічні збої. Його п’ять основних напрямів — ІКТ-ризики, інциденти, тестування стійкості, ризики постачальників та обмін інформацією. Сертифікат системи управління сам по собі не підтверджує виконання DORA.
Для кого призначений регламент
Основні обов’язки адресовані фінансовим установам, переліченим у статті 2. Усередині організації потрібна спільна робота керівного органу, ІТ, кібербезпеки, ризик-менеджменту, комплаєнсу, закупівель та внутрішнього аудиту.
Постачальники ІКТ-послуг мають розуміти договірні вимоги фінансових клієнтів. Окремий європейський нагляд поширюється на постачальників, яких EBA, ESMA та EIOPA визначили як критичних; цей статус не виникає автоматично в кожної ІТ-компанії.
Галузі та межі застосування
DORA охоплює, зокрема, банки, платіжні установи, установи електронних грошей, інвестиційні компанії, страховиків, управителів фондів, ринкову інфраструктуру та визначених постачальників послуг з криптоактивами. Сфера дії залежить від юридичної категорії установи й передбачених винятків.
Це регламент ЄС, а не універсальна вимога для всіх галузей України. Для української організації значення можуть мати її діяльність у ЄС, місце в міжнародній групі або договори з фінансовими клієнтами ЄС; власні українські регуляторні обов’язки перевіряють окремо.
ІКТ-ризики та відповідальність керівництва
Керівний орган відповідає за систему керування ІКТ-ризиками: затверджує підхід, ролі, ресурси та контролює виконання. Команди визначають критичні або важливі функції, пов’язані системи, дані та залежності й планують захист, виявлення збоїв і відновлення.
Заходи мають відповідати розміру, ризикам і складності діяльності. Спрощена система передбачена лише для визначених категорій установ; невеликий розмір сам по собі не звільняє від DORA.
Інциденти: від виявлення до звітності
Установа реєструє й класифікує ІКТ-інциденти, визначає вплив на клієнтів, послуги та дані, усуває причину і документує висновки. Про значні ІКТ-інциденти повідомляють компетентний орган; для суттєвих кіберзагроз передбачене добровільне повідомлення.
Потрібен відпрацьований процес початкового повідомлення, проміжного та підсумкового звітів. Критерії, форми й строки уточнюють технічні акти; не слід автоматично переносити строки повідомлення про порушення персональних даних із GDPR.
Тестування цифрової стійкості
Програма тестування перевіряє, чи працюють засоби захисту, резервування та відновлення. До неї можуть входити аналіз уразливостей, сценарні перевірки й тестування проникнення; виявлені недоліки потрібно усувати та перевіряти повторно.
Поглиблене тестування на основі загроз — TLPT — обов’язкове для установ, визначених за регуляторними критеріями, а не для кожного учасника. Базова періодичність для них — щонайменше раз на 3 роки; компетентний орган може її змінювати.
Постачальники ІКТ-послуг
Фінансова установа зберігає відповідальність за виконання DORA, навіть коли передає ІКТ-послуги підряднику. Вона веде реєстр договірних домовленостей, оцінює залежність і концентрацію, перевіряє постачальника та передбачає потрібні права доступу, аудиту й припинення договору.
Для послуг, що підтримують критичні або важливі функції, діють додаткові вимоги та потрібні стратегії виходу. Окремо ESAs здійснюють нагляд за визначеними критичними постачальниками; він доповнює, але не замінює контроль установи над власним договором.
Обмін інформацією про загрози
Стаття 45 дозволяє фінансовим установам обмінюватися інформацією про кіберзагрози в довірених спільнотах. Це може допомогти раніше виявити спільну кампанію, уразливість або залежність від ураженого постачальника.
Участь добровільна, але домовленість має визначати правила захисту інформації, конфіденційності та поводження з персональними даними. Такий обмін не замінює обов’язкового повідомлення регулятору про значний інцидент.
Як перейти від вимог до роботи
Почніть з однієї важливої фінансової послуги, наприклад виконання платежів. Пов’яжіть її з системами, командами й постачальниками; перевірте сценарій відмови, порядок повідомлення та можливість відновлення. Результат — відповідальні особи, докази перевірки й перелік виправлень.
Основний регламент потрібно читати разом із застосовними делегованими та імплементаційними актами. Вони деталізують вимоги; наглядові заяви пояснюють очікування, але їх не слід називати новою редакцією DORA.
Кому це буде корисно
Картки показують користь DORA для кожної групи, теми для вивчення та практичний приклад. Прямі регуляторні обов’язки залежать від сфери діяльності.
Для навчальних закладів
Практична користь. Дає викладачам приклад зв’язку фінансової послуги, кібербезпеки та правової відповідальності.
Що вивчити насамперед. Сфера дії, критичні функції, керування інцидентами й докази стійкості.
Приклад застосування. Провести заняття про відмову платіжного сервісу з ролями правління, ІТ та регулятора.
Більше про напрям для цієї групиДля студентів
Практична користь. Допомагає зрозуміти, як технічний збій стає операційним ризиком для клієнтів.
Що вивчити насамперед. ІКТ-інцидент, критична функція, постачальник, відновлення та TLPT.
Приклад застосування. Побудувати схему залежностей уявного онлайн-банку та запропонувати перевірку відновлення.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Фінансовим установам допомагає організувати виконання вимог; ІКТ-компаніям — підготуватися до перевірок і договорів клієнтів.
Що вивчити насамперед. Застосовність, реєстр договорів, права аудиту, відновлення та звітність про інциденти.
Приклад застосування. Перевірити договір хмарної послуги для платіжної системи й відпрацювати вихід від постачальника.
Більше про напрям для цієї групиДля державних установ
Практична користь. Дає регуляторам і державним командам орієнтир для узгодження підходів до стійкості фінансових послуг.
Що вивчити насамперед. Повноваження нагляду, пропорційність, міжвідомча взаємодія та межі національного законодавства.
Приклад застосування. Зіставити процес повідомлення про збій державної фінансової установи з чинними місцевими вимогами.
Більше про напрям для цієї групиДля військових
Практична користь. Корисний як цивільний приклад керування залежностями; сам статус військової організації не робить її адресатом DORA.
Що вивчити насамперед. Доступність дозволених цивільних платіжних процесів, постачальники та сценарії відмови.
Приклад застосування. Оцінити залежність цивільної виплати від одного платіжного провайдера без розкриття службових даних.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає оцінити залежність збору й виплати коштів від фінансових сервісів; не створює загального обов’язку для всіх ГО.
Що вивчити насамперед. Резервний порядок платежів, контакти провайдерів та комунікація під час збою.
Приклад застосування. Спланувати виплати отримувачам допомоги на випадок недоступності основного платіжного сервісу.
Більше про напрям для цієї групиДля громадян
Практична користь. Пояснює, чому банк має готуватися до технічних збоїв і підтримувати відновлення послуг.
Що вивчити насамперед. Надійність цифрових послуг і повідомлення клієнтів; DORA не гарантує повної відсутності збоїв.
Приклад застосування. Розібрати повідомлення банку про недоступність застосунку та офіційні способи отримати допомогу.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Допомагає авторам стандартів і методик узгодити заходи безпеки з фінансовими регуляторними вимогами.
Що вивчити насамперед. Відповідність контролів вимогам, межі зіставлення та окремі обов’язки звітності й нагляду.
Приклад застосування. Зіставити контроль постачальників з ISO/IEC 27001 та DORA й позначити непокриті юридичні вимоги.
Більше про напрям для цієї групиІсторія DORA
Від законодавчої пропозиції до застосування, нагляду за постачальниками й нових роз’яснень. Події відрізняють чинні акти, звіти та наглядові заяви; перевірено станом на 8 вересня 2026 року.
Пропозиція у пакеті цифрових фінансів
Європейська комісія запропонувала DORA у складі пакета цифрових фінансів. Ініціатива мала узгодити розрізнені вимоги до ІКТ-ризиків у фінансовому секторі.
Ухвалений текст DORA
Регламент (ЄС) 2022/2554 датований 14 грудня 2022 року; його опублікували в Офіційному віснику 27 грудня 2022 року. Закріплено спільну основу стійкості та нагляду за критичними ІКТ-постачальниками.
Набрання чинності
DORA набрав чинності 16 січня 2023 року. Початок виконання основних вимог був відкладений до 17 січня 2025 року, щоб установи та наглядові органи підготувалися.
Опубліковано критерії класифікації інцидентів
Опублікували Делегований регламент (ЄС) 2024/1772, ухвалений 13 березня 2024 року. Він деталізує оцінку інцидентів, пороги суттєвості та кіберзагрози для застосування DORA.
Початок застосування
DORA почав застосовуватися до установ у визначеній сфері. Практична робота охоплює керування ризиками, інциденти, тестування та договірні залежності; виконання деталізують відповідні технічні акти.
Визначено критичних ІКТ-постачальників
EBA, ESMA та EIOPA оприлюднили перелік визначених критичних ІКТ-постачальників. Визначення спиралося на реєстри установ і оцінку системної важливості, критичних функцій та замінності послуг.
Перший огляд інцидентів за рік застосування
ESAs опублікували звіт про значні ІКТ-інциденти за 2025 рік. Аналіз підкреслює роль технічних збоїв, зовнішніх залежностей і транскордонного впливу; звіт оцінює практику, а не змінює вимоги регламенту.
Наглядова заява про ризики передових моделей ШІ
ESAs пояснили, як чинні вимоги DORA допомагають реагувати на кіберризики передових моделей ШІ. Запропоновані приклади запобігання, виявлення та керування ризиком є орієнтирами для пропорційних заходів; додаток не встановлює нових вимог.