DORA и трети страни доставчици на ИКТ услуги: какво очакват финансовите субекти от доставчиците си

01Докъде е стигнал DORA през есента на 2026 г.

Регламентът относно оперативната устойчивост на цифровите технологии във финансовия сектор (отваря външен сайт), Регламент (ЕС) 2022/2554, се прилага от 17 януари 2025 г. Като регламент той се прилага пряко във всяка държава членка; националното право основно определя компетентните органи и санкциите. Подробностите са в техническите стандарти, приети от Комисията, за рамката за управление на риска в областта на ИКТ, класифицирането и докладването на инциденти, регистъра с информация, политиките за договорите, подизпълнителите и тестването за проникване, основано на заплахи.

За финансовите субекти DORA е секторният акт, който замества правилата на NIS2 за управлението на риска в областта на ИКТ, докладването на инциденти и надзора. На 18 ноември 2025 г. трите европейски надзорни органа (ЕБО, ЕОЗППО и ЕОЦКП) публикуваха (отваря външен сайт) първия списък на критичните трети страни доставчици на ИКТ услуги, върху които упражняват пряк надзор.

02Финансовите субекти и техните доставчици на ИКТ услуги

DORA обхваща двадесет вида финансови субекти: от кредитните институции, платежните институции, дружествата за електронни пари и инвестиционните посредници до доставчиците на услуги за криптоактиви, местата за търговия, управителите на фондове, застрахователите, застрахователните посредници, институциите за професионално пенсионно осигуряване, агенциите за кредитен рейтинг и платформите за колективно финансиране. Пропорционалността е вградена: член 4 съобразява изискванията с размера, рисковия профил и сложността, а член 16 предвижда опростена рамка за някои по-малки субекти.

Трета страна доставчик на услуги в областта на ИКТ е всяко предприятие, което предоставя ИКТ услуги, а DORA ги определя широко: цифрови услуги и услуги за данни, предоставяни непрекъснато чрез системите на ИКТ на вътрешни или външни ползватели. Хостингът, управляваните услуги, софтуерът като услуга, поддръжката на приложения и услугите за данни обикновено попадат тук. Доставчиците не са под надзор по DORA, освен ако не бъдат определени като критични, но клиентите им пренасят задълженията във всеки договор. Това важи и за българските софтуерни компании, които работят за банки, застрахователи и пенсионноосигурителни дружества.

03Ръководният орган носи риска в областта на ИКТ

Член 5 възлага на ръководния орган крайната отговорност за риска в областта на ИКТ. Той определя, одобрява и наблюдава рамката за управление на този риск, определя стратегията за цифрова оперативна устойчивост и допустимия риск, одобрява политиката за непрекъснатост на дейността и плановете за реакция и възстановяване, както и одобрява и преразглежда политиката за използване на ИКТ услуги от трети страни доставчици. Членовете му трябва да поддържат знанията си актуални, включително с редовно обучение.

04Съществени инциденти: 4 часа, 72 часа, един месец

Финансовите субекти класифицират инцидентите, свързани с ИКТ, по критериите на член 18, конкретизирани в Делегиран регламент (ЕС) 2024/1772 (отваря външен сайт): засегнати клиенти и операции, продължителност и време на прекъсване, географски обхват, загуба на данни, значимост на засегнатите услуги и икономическо въздействие. Съществен инцидент се докладва на компетентния орган на три стъпки, със срокове, определени в Делегиран регламент (ЕС) 2025/301 (отваря външен сайт):

Клиентите, чиито финансови интереси са засегнати, трябва да бъдат информирани без неоправдано забавяне. Финансовият субект може да възложи самото докладване на трета страна, но остава изцяло отговорен за него (член 19, параграф 5).

За доставчиците това е съвсем конкретно. Всеки договор за ИКТ услуги трябва да включва задължението на доставчика да оказва помощ при инцидент, свързан с неговата услуга, без допълнителни разходи или срещу предварително договорена цена (член 30, параграф 2, буква е)). Четиричасовият срок на клиента е изпълним само ако наблюдението, записите и контактите на доставчика са налице преди инцидента.

05Тестване, до тестове за проникване, основани на заплахи

Член 24 изисква програма за тестване според риска, изпълнявана от независими вътрешни или външни тестери, с подходящи тестове поне веднъж годишно на всички ИКТ системи и приложения, които поддържат критични или важни функции. Субектите, определени от компетентния им орган, трябва освен това поне веднъж на три години да провеждат тестване за проникване, основано на заплахи, върху действащите производствени системи, съгласно Делегиран регламент (ЕС) 2025/1190 (отваря външен сайт), който следва рамката TIBER-EU.

Когато услугите на доставчик попадат в обхвата на TLPT, финансовият субект трябва да осигури участието на доставчика (член 26, параграф 3), а договорите за критични или важни функции трябва да съдържат това задължение (член 30, параграф 3, буква г)). Ако участието на доставчика може да навреди на другите му клиенти, DORA допуска обединено тестване, при което доставчикът сам възлага на външен тестер тестването от името на няколко финансови субекта (член 26, параграф 4).

06Риск от трети страни: стратегия, регистър и изход

Член 28 включва риска от трети страни в областта на ИКТ в рамката за управление на риска, а финансовият субект остава изцяло отговорен за спазването на изискванията, независимо какво възлага на външни доставчици. Основните задължения:

• Стратегия за риска от трети страни в областта на ИКТ, включително политика за ИКТ услугите, които поддържат критични или важни функции, преглеждана редовно от ръководния орган.
• Регистър с информация за всички договорни споразумения за ИКТ услуги, на ниво субект и на ниво група, в който се отличават споразуменията за критични или важни функции. Образците са определени в Регламент за изпълнение (ЕС) 2024/2956 (отваря външен сайт). Субектите докладват за регистъра на компетентния си орган поне веднъж годишно и предоставят целия регистър при поискване.
• Предварителна проверка преди подписване: дали услугата поддържа критична или важна функция, рисковете, включително риска от концентрация, годността на доставчика и евентуалните конфликти на интереси. Доставчиците трябва да прилагат подходящи стандарти за информационна сигурност, а за критични или важни функции най-актуалните стандарти с най-високо качество.
• Право на прекратяване, наред с другото при съществено нарушение от доставчика, доказани слабости в управлението на риска му в областта на ИКТ или обстоятелства, които пречат на ефективния надзор.
• Изходни стратегии за ИКТ услугите, които поддържат критични или важни функции, документирани и тествани, така че субектът да може да смени доставчика, без да наруши дейността си, да ограничи спазването на изискванията или да навреди на услугите за клиентите си.

Какво трябва да съдържа договорът

Член 30 определя минималните договорни клаузи. Всеки договор за ИКТ услуги трябва да е в писмена форма, в един документ, който включва и нивата на обслужване, и да урежда поне:

• пълно описание на функциите и услугите и дали и при какви условия се допуска възлагане на подизпълнители;
• местата, където се предоставят услугите и където се обработват и съхраняват данните, с предварително уведомяване при промяна;
• наличността, автентичността, целостта и поверителността на данните, включително на личните данни;
• достъпа до данните, възстановяването и връщането им в лесно достъпен формат при несъстоятелност, преустановяване или прекратяване;
• описание на нивата на обслужване;
• помощ при инциденти, свързани с ИКТ и с услугата, без допълнителни разходи или срещу предварително договорена цена;
• пълно сътрудничество с компетентните органи и с органите за преструктуриране;
• правата на прекратяване и минималните срокове на предизвестие;
• участие в програмите на субекта за осведоменост по сигурността на ИКТ и в обученията по оперативна устойчивост.

За услугите, които поддържат критични или важни функции, член 30, параграф 3 добавя точни количествени и качествени цели за изпълнението, задължения за уведомяване и докладване, планове за действие при извънредни ситуации, които доставчикът прилага и тества, участие в TLPT, неограничени права на достъп, проверка и одит за субекта и за надзорния му орган, както и изходна стратегия със задължителен преходен период. Делегиран регламент (ЕС) 2025/532 (отваря външен сайт) уточнява какво трябва да прецени субектът, когато такива услуги се възлагат на подизпълнители.

07Критичните трети страни доставчици на ИКТ услуги

Съгласно член 31 европейските надзорни органи определят доставчиците на ИКТ услуги, които са критични за финансовия сектор, въз основа на системното им въздействие, значението на финансовите субекти, които разчитат на тях, ролята им в критични или важни функции и това колко лесно могат да бъдат заменени. За всеки критичен доставчик се определя водещ надзорник, един от трите органа, който може да изисква информация, да провежда разследвания и проверки и да отправя препоръки.

Първият списък (отваря външен сайт), публикуван на 18 ноември 2025 г., определя 19 доставчици: от оператори на облачни услуги и центрове за данни до телекомуникационни компании, ИТ услуги, пазарни данни и корпоративен софтуер. Определянето не снема нито едно задължение от финансовия субект: той продължава да води регистъра, да спазва договорните клаузи и да има изходна стратегия за всеки от тези доставчици.

08Какво трябва да има готово доставчикът на ИКТ услуги

Повечето доставчици на финансови субекти никога няма да бъдат определени като критични, но всички те срещат DORA чрез договорите, предварителните проверки и одитите. Доставчик, който има следното, съкращава процедурата по възлагане и улеснява диалога на клиента си с надзорния орган:

• Данни за регистъра. Това, от което клиентът се нуждае за регистъра си с информация: юридическото лице и идентификаторите му, предоставяните услуги и функциите, които те поддържат, местата и подизпълнителите във веригата.
• Договорни клаузи, съобразени с член 30. В идеалния случай стандартно допълнително споразумение по DORA, което покрива и двата списъка, вместо всяка клауза да се договаря от нулата.
• Доказателства при инциденти. Наблюдение, записи с надеждни времеви отпечатъци и процедура за уведомяване, която позволява на клиента да класифицира и докладва в рамките на часове.
• Тествана непрекъснатост. Планове за действие при извънредни ситуации и тестове за възстановяване, с дати и резултати.
• Сигурност, която може да се докаже. Стандарти за информационна сигурност, контрол на достъпа, сигурен жизнен цикъл на разработката и обработка на уязвимости, с независими доказателства, където е възможно.
• Готовност за одити и тестове. Работещ начин за провеждане на одити и проверки и за участие в TLPT, включително в обединено тестване, където е уместно.
• Изходен план. Връщане на данните в използваеми формати, документация и помощ при прехода за договорен период.

Така работим като доставчик на ИКТ услуги за финансови субекти: договаряме клаузите, които DORA изисква, уведомяваме за инциденти по договорения канал, документираме изходните планове, участваме в тестването на устойчивостта и предоставяме информацията, от която се нуждае Вашият регистър. Страницата ни Доверие и съответствие описва как работим, включително системата ни за управление на информационната сигурност, сертифицирана по ISO/IEC 27001.

09Практичен план за двете страни

1. 01Попълнете регистъра. Свържете всеки договор за ИКТ услуги с функциите, които поддържа, и отбележете критичните или важните.
2. 02Затворете празнотите в договорите. Сравнете всеки договор с член 30 и договорете допълнително споразумение там, където липсват клаузи.
3. 03Съгласувайте работата при инциденти. Договорете с всеки критичен доставчик данните за класифициране, контактите и сроковете за уведомяване и ги тествайте.
4. 04Планирайте тестовете с доставчиците. Включете ги в програмата за тестване и, където е уместно, в определянето на обхвата на TLPT.
5. 05Напишете и тествайте изходните стратегии. За всяка критична или важна функция: алтернативи, връщане на данните и преходен период.
6. 06Следете концентрацията. Няколко критични функции при един и същ доставчик са риск, който трябва да се документира и управлява (член 29).

10Вашият компетентен орган

DORA е един и същ текст навсякъде, но надзорът върху повечето финансови субекти е национален: централната банка, пруденциалният надзорен орган или органът за надзор на пазарите, според вида на субекта, а ЕЦБ за значимите банки в еврозоната. В България надзорът следва секторното разпределение: Българската народна банка (БНБ) за банките и платежните институции, Комисията за финансов надзор (КФН) за застрахователите, инвестиционните посредници и пенсионноосигурителните дружества. Форматът и каналът за регистъра с информация и за докладите за инциденти, както и органът, отговорен за TLPT, се определят на национално ниво. От 1 януари 2026 г. България е в еврозоната и системите, договорите и докладите вече работят в евро. Проверете указанията на собствения си орган.

11Какво да следите през следващите месеци

• Надзорните приоритети и констатациите на компетентния Ви орган, БНБ или КФН, относно регистъра с информация и докладването на инциденти.
• Надзора на водещите надзорници върху критичните трети страни доставчици на ИКТ услуги и препоръките, които засягат използвани от Вас услуги.
• Предложението на Комисията за сборен пакет от мерки в областта на цифровите технологии (отваря външен сайт), COM(2025) 837, според което докладите за съществени инциденти по DORA ще минават през единна входяща точка, поддържана от ENISA. През октомври 2026 г. то все още се разглеждаше от Европейския парламент; докато не бъде прието и не започне да се прилага, остават сегашните канали и срокове.

Организациите извън финансовия сектор имат сходни задължения по веригата на доставки съгласно NIS2; вижте статията ни NIS2 и доставчиците на софтуер. Европейските надзорни органи поддържат преглед на техническите стандарти и на рамката за надзор на своите страници за DORA (отваря външен сайт).