DORA регулация и финтех сектора в София – оперативна устойчивост на практика
DORA, или Digital Operational Resilience Act, е европейски регламент, който променя начина, по който финансовият сектор управлява технологичния риск. Регламентът се прилага от 17 януари 2025 г. и има за цел финансовите организации да могат да устояват, реагират и се възстановяват при ICT смущения, кибератаки, сривове на системи или проблеми с външни доставчици. За финтех сектора в София това е важно, защото градът концентрира компании, които разработват платежни решения, SaaS продукти за финанси, regtech инструменти, системи за идентификация и интеграции с банки и застрахователи.
DORA засяга пряко широк кръг финансови субекти, включително банки, платежни институции, инвестиционни посредници, застрахователи, крипто доставчици и други регулирани участници. За софийските финтех компании обаче значението му е по-широко. Дори когато една компания не е директно регулиран финансов субект, тя може да бъде засегната като ICT доставчик на банка, платежна институция, застраховател или инвестиционна компания. Това означава, че изискванията на DORA ще навлязат в договорите, одитите и техническите изисквания към финтех партньорите.
Основната логика на DORA е, че финансовата услуга вече зависи толкова силно от технологията, че технологичният срив може да се превърне във финансов риск. Затова регламентът поставя акцент върху пет практически области: управление на ICT риска, докладване на сериозни инциденти, тестване на оперативната устойчивост, управление на риска от външни ICT доставчици и обмен на информация за киберзаплахи. За софийските финтех екипи това означава, че сигурността трябва да бъде част от архитектурата, инфраструктурата, договорите и ежедневния operational model.
Първата практическа стъпка е изграждането на ясна рамка за ICT risk management. Финтех компанията трябва да знае кои системи са критични, какви данни обработва, кои процеси не могат да спират, какви външни услуги използва и как ще възстанови дейността си при инцидент. Това включва backup, disaster recovery, monitoring, контрол на достъпа, управление на уязвимости и редовно тестване на плановете.
Втората ключова тема са външните доставчици. DORA отделя сериозно внимание на зависимостта на финансовия сектор от cloud платформи, data centers, software vendors и други ICT услуги. През ноември 2025 г. европейските надзорни органи публикуваха първия списък с критични ICT доставчици по DORA, включително големи cloud и технологични компании. Това показва, че регулаторите вече гледат не само към банките и финтех компаниите, а към цялата технологична верига.
Третата важна област е incident reporting. Финтех компаниите трябва да могат бързо да разпознават сериозен ICT инцидент, да оценяват влиянието му и да подготвят информация за клиенти, партньори и компетентни органи. Това изисква предварително разписани роли: кой взема решение, кой комуникира с клиента, кой събира техническите данни и кой координира възстановяването.
За София DORA може да бъде и възможност. Компаниите, които изградят зрели практики за оперативна устойчивост, ще бъдат по-конкурентни при работа с банки, платежни институции, застрахователи и международни финансови групи. Освен това регламентът отваря пазар за услуги като compliance автоматизация, управление на доставчици, cloud security, log management, incident response и resilience testing.
В практически план DORA поставя нов стандарт: финтех продуктът трябва да бъде не само удобен и бърз, а устойчив при реални технологични сътресения. За компаниите в София това означава по-сериозно управление на риска, по-добри договори с доставчици и по-доказуема сигурност. В дългосрочен план регулацията може да повиши доверието към финтех решенията, създавани в София.
