Поки український фінансовий сектор відбиває щомісячні тисячі кібератак кремлівських хакерів, Європа вирішила, що найкращий захист – це новий регламент. Знайомтесь: DORA (Regulation (EU) 2022/2554), яка з січня 2025 року стала залізобетонним правилом для фінансових установ ЄС.
Як каже наше улюблене прислів’я, «не всі сини однакові». От і з кібербезпекою так: довоєнних паперових інструкцій НБУ та сертифікатів ISO більше недостатньо. DORA – це еволюційний зсув регуляторної філософії. Тепер європейців цікавить не те, скільки у вас капіталу в сейфі, а чи впаде ваш додаток, якщо в сервер прилетить деструктивний вайпер типу NotPetya або HermeticWiper.
DORA діє як lex specialis, б’ючи по п’яти стовпах стійкості: від управління ІКТ-ризиками до жорстких вимог повідомляти про інциденти (іноді – за 24 години, а не «колись після перемоги»). Особлива любов регламенту – це ваші підрядники. Якщо ви банк чи платіжка, яка залучає хмари чи IT-аутсорс, готуйтеся до картування четвертих сторін. Тобто ви маєте знати навіть субпідрядника вашого субпідрядника в обличчя. Якщо ні – штраф до 2% річного обороту або персональне попередження керівництву.
Для українських банків, які вже працюють в умовах реальної кібервійни, DORA – це і виклик, і джекпот. З одного боку, наші команди захисту щодня тренуються на атаках державного рівня, що дає фору перед європейськими колегами. З іншого – наше законодавство все ще децентралізоване, і без адаптації контрактів та інтеграції розвідданих від СБУ чи НБУ втиснутися в єдиний єдиний ринок ЄС не вийде.
Можна, звісно, діяти за принципом «ми краще знаємо» і чекати, поки іноземні партнери просто відмовляться від співпраці через токсичність комплаєнсу. Або – провести професійний аудит ІКТ-процесів.
Тож не намагайтеся самотужки розібратися в хитросплетіннях RTS та ITS технічних стандартів Брюсселя. Залиште цю роботу професіоналам Dynasty Law & Investment. Ми допоможемо побудувати непроникну фінансову фортецю, щоб ви інвестували час у святкування бізнес-перемог, а не в оплату мільйонних штрафів.
