- 23 сентября 2026 г.
OpenZeppelin
Получение авторизации в рамках Регламента о рынках криптоактивов (MiCA) доминирует в обсуждениях вопросов комплаенса для поставщиков услуг криптоактивов (CASP), работающих в ЕС. Но авторизация — это лишь часть картины. Как только компания получает лицензию CASP, она автоматически подпадает под действие второго, отдельного режима регулирования: Закона о цифровой операционной устойчивости (DORA).
DORA применяется к CASP с 17 января 2025 года — с той же даты, когда она вступила в силу для банков, страховщиков и управляющих активами по всему ЕС, без какого-либо переходного периода, на который можно было бы рассчитывать при планировании. MiCA определяет, может ли компания предлагать услуги с криптоактивами. DORA определяет, достаточно ли устойчив технологический стек этой компании, чтобы ей можно было доверить эти услуги. Оба обязательства действуют одновременно, и выполнение одного не отменяет другое.
Почему авторизация по MiCA не заменяет DORA
DORA, официально Регламент (ЕС) 2022/2554, определяет CASP, авторизованных в соответствии с MiCA, как финансовые организации согласно статье 2(1)(s). Именно этот единственный пункт распространяет весь свод правил DORA на криптокомпании: хранение и администрирование криптоактивов, управление торговой платформой, обменные услуги, исполнение ордеров, размещение и управление портфелем — все эти виды деятельности подпадают под регулирование. Эмитенты токенов, привязанных к активам, и токенов электронных денег подпадают под действие DORA отдельно как финансовые организации сами по себе, в дополнение к специфическим для MiCA требованиям к резервам и операционной деятельности, которые уже применяются к ним.
Сама MiCA накладывает определенные операционные ожидания. Статья 68 посвящена системам и протоколам доступа к безопасности, статья 75 охватывает безопасное хранение, а базовые обязательства по непрерывности бизнеса присутствуют на протяжении всего документа. DORA дополняет эти обязательства: это межотраслевой стандарт, который углубляет и гармонизирует аспекты ИКТ-рисков бизнеса, применяясь соразмерно в соответствии со статьей 4, поэтому небольшой CASP, занимающийся управлением портфелем, сталкивается с меньшими требованиями, чем крупная многопрофильная биржа. Ни один CASP не освобождается от основных требований в отношении управления ИКТ-рисками, отчетности об инцидентах и надзора за третьими сторонами, независимо от его размера.
Что требует DORA
Для CASP соблюдение требований DORA затрагивает несколько различных сфер бизнеса:
- Система управления ИКТ-рисками. Компаниям необходимо иметь документированное управление технологическими рисками с подотчетностью на уровне совета директоров, а не просто политику, лежащую в папке с комплаенсом.
- Отчетность об инцидентах. Серьезные инциденты, связанные с ИКТ, должны классифицироваться и сообщаться регуляторам в установленные сроки, что требует инфраструктуры, способной быстро обнаруживать проблемы и эскалировать их.
- Тестирование цифровой операционной устойчивости. Более крупные или критически важные компании подпадают под требования тестирования на проникновение на основе угроз (TLPT), которые выходят за рамки стандартного аудита безопасности и симулируют реальные условия противодействия со стороны злоумышленников против производственных систем.
- Управление рисками третьих сторон. DORA требует надзора за критически важными ИКТ-поставщиками третьих сторон, включая облачную инфраструктуру, технологии хранения и, для многих CASP, смарт-контракты и библиотеки, на которых построены их продукты.
Именно этот последний пункт делает пересечение с технической основой компании наиболее осязаемым. Реестр рисков CASP в рамках DORA должен учитывать уровень безопасности протоколов, смарт-контрактов и фреймворков, на которые он опирается, а не только его внутренние системы.
Где вступают в силу стандарты безопасности
Самое распространенное заблуждение, с которым сталкиваются компании — это предположение, что готовый пакет документов для авторизации по MiCA с его политиками, средствами контроля и раскрытием информации уже удовлетворяет требованиям DORA. Это не так. Эти два режима пересекаются по своему замыслу, но оцениваются отдельно, с различными ожиданиями в отношении доказательств и разными регуляторами, задающими разные вопросы.
Практическим решением является создание единой доказательной базы, которая одновременно отвечает обоим режимам: набора средств контроля для авторизации и поведения, а также уровня устойчивости и управления рисками, который напрямую соотносится с требованиями DORA в отношении ИКТ. Аудиты смарт-контрактов и аудиты безопасности входят в эту доказательную базу в качестве постоянного доказательства управления ИКТ-рисками и надзора за третьими сторонами, которых DORA ожидает на регулярной основе.
Именно для такой среды созданы аудиты безопасности OpenZeppelin: более 900 завершенных аудитов безопасности с 2016 года и обеспечение безопасности активов на сумму 250 миллиардов долларов. По мере того как финансовая инфраструктура перемещается в блокчейн, стандарты безопасности институционального уровня для смарт-контрактов и протоколов становятся документированной, проверяемой частью регуляторного файла компании. OpenZeppelin — это стандарт безопасности, на котором строится блокчейн-финансы, и этот стандарт все больше нуждается в одновременном удовлетворении как специфических для криптовалют правил, таких как MiCA, так и межотраслевых фреймворков, таких как DORA.
Главный вывод
Любая компания, авторизованная как CASP в соответствии с MiCA, по определению является регулируемой DORA финансовой организацией. После получения этой авторизации не существует отдельного периода для внедрения комплаенса. Компания, получившая авторизацию в 2026 году, должна быть операционно устойчивой с первого дня своей работы, обладая теми же обязательствами по управлению ИКТ-рисками, отчетности об инцидентах и тестированию, масштабированными в соответствии с ее размером и профилем рисков в рамках применимых регламентов и принципа пропорциональности DORA. Рассмотрение аудитов безопасности, аудитов смарт-контрактов и оценок рисков третьих сторон как непрерывной функции комплаенса, а не как задачи перед запуском, позволяет устранить разрыв между двумя режимами.
Часто задаваемые вопросы
Означает ли автоматически авторизация по MiCA, что CASP соответствует требованиям DORA?
Нет. MiCA и DORA — это отдельные режимы, которые оцениваются независимо. Авторизация по MiCA охватывает доступ на рынок и поведение; DORA регулирует управление ИКТ-рисками, отчетность об инцидентах и тестирование операционной устойчивости.
С какого момента DORA применяется к поставщикам услуг криптоактивов?
DORA применяется к CASP с 17 января 2025 года на тех же условиях, что и к банкам и другим финансовым организациям.
Какие виды деятельности CASP подпадают под действие DORA?
Хранение и администрирование криптоактивов, управление торговой платформой, обменные услуги, исполнение и передача ордеров, размещение, консультирование и управление портфелем — все они подпадают под действие статьи 2(1)(s) DORA.
Подчиняются ли эмитенты токенов, привязанных к активам, и токенов электронных денег также требованиям DORA?
Да. Эмитенты ART и EMT названы финансовыми организациями в рамках DORA отдельно, в дополнение к специфическим требованиям MiCA к резервам и операционной деятельности.
Какую роль играют аудиты безопасности в соблюдении требований DORA?
Аудиты безопасности и аудиты смарт-контракты предоставляют постоянные доказательства выполнения обязательств по управлению ИКТ-рисками и надзору за третьими сторонами, требуемых DORA, поддерживая реестр рисков компании и документацию о готовности к инцидентам.
Мнения, заявления и оценки в этой статье не являются юридическими, налоговыми, регуляторными или любыми другими профессиональными консультациями. Учитывая присущую информации в этой статье природу, ее содержание основано на сведениях, собранных и понятых на момент ее создания. Она может быть изменена. Информация предоставляется на условиях «как есть», без каких-либо заявлений или гарантий, и компания не несет ответственности за любые действия или бездействие, предпринятые в ответ на информацию, содержащуюся или упоминаемую в этой статье.
