DORA для электронно-денежных и платёжных организаций: ИКТ-риски под контролем

Статья 2(1) перечисляет финансовые организации, на которые распространяется DORA; для платёжного рынка важны пункты (b) платёжные организации, (c) поставщики услуг информирования о счёте, (d) электронно-денежные организации и (f) поставщики криптоуслуг. Освобождение от лицензии по PSD2 или по директиве об электронных деньгах от DORA само по себе не освобождает.

Упрощённая система для малых

Статья 16 снимает со статей 5–15 освобождённые платёжные и электронно-денежные организации и ряд других малых субъектов. Взамен они ведут задокументированную систему управления ИКТ-рисками, непрерывно наблюдают за системами, выявляют зависимости от ИКТ-поставщиков, держат планы непрерывности с резервным копированием и восстановлением и регулярно их тестируют. Детали упрощённой системы задаёт Делегированный регламент (ЕС) 2024/1774.

Статья 6 требует надёжной, полной и задокументированной системы управления ИКТ-рисками в составе общей системы управления рисками (ст. 6(1)). Пересмотр проходит не реже раза в год (у микропредприятий периодически), после крупных ИКТ-инцидентов и по указанию надзора; отчёт о пересмотре передают органу по запросу (ст. 6(5)). Кроме микропредприятий, организация назначает независимую контрольную функцию по ИКТ-рискам (ст. 6(4)) и подвергает систему регулярному внутреннему аудиту (ст. 6(6)).

Ответственность органа управления

По статье 5(2) орган управления определяет, утверждает и контролирует все меры системы и несёт окончательную ответственность за ИКТ-риск. Это значит, что политики утверждает правление и что его члены должны понимать, что именно они утвердили.

Резервные копии и восстановление

Статья 12 требует задокументированных политик резервного копирования с объёмом и минимальной частотой копирования по критичности данных, а также процедур восстановления. Мы проверяем их восстановлением на практике.

Порядок задаёт статья 19(4) DORA, а сроки устанавливает Делегированный регламент (ЕС) 2025/301:

• первичное уведомление в течение 4 часов после классификации и не позднее 24 часов с момента осведомлённости;
• промежуточный отчёт не позднее 72 часов после первичного уведомления, даже если статус инцидента не изменился;
• итоговый отчёт не позднее месяца после последнего промежуточного.

Если крупный инцидент затрагивает финансовые интересы клиентов, организация без неоправданной задержки сообщает им об инциденте и принятых мерах (ст. 19(3)). Мы готовим процедуру классификации, распределение ролей, шаблоны и проводим учебный разбор, чтобы часы не начали тикать для команды впервые в день реального инцидента.

Реестр ведётся на уровне организации и группы (ст. 28(3)). До заключения договора организация оценивает, поддерживает ли услуга критичную или важную функцию, выявляет риски, включая риск концентрации, и проверяет поставщика (ст. 28(4)). Обязательные условия договора перечислены в статье 30(2): описание услуг и субподряда, места обработки данных, защита данных, уровни сервиса, помощь при ИКТ-инциденте.

Что это значит на практике

У типичной EMI в реестре оказываются облачная платформа, процессинг, KYC-провайдер, почта, CRM и бухгалтерия. Мы составляем реестр, сверяем договоры с перечнем статьи 30 и готовим список договоров, которые нужно дополнить.

Статья 5(1)(j) PSD2 требует от заявителя документ о политике безопасности: подробную оценку рисков по платёжным услугам и описание мер контроля и снижения рисков. Статья 62(2)(j) MiCA требует техническую документацию ИКТ-систем и мер безопасности и её описание нетехническим языком. Мы готовим этот раздел так, чтобы он совпадал с вашей системой управления ИКТ-рисками по DORA. Лицензию в целом ведёт наша практика лицензирования.