DORA в България: Регистърът на информация за ИКТ доставчици и срокът 23 март 2026

Какво е DORA и защо засяга българските финансови институции

Регламент (ЕС) 2022/2554 относно цифровата оперативна устойчивост на финансовия сектор, познат като DORA, е задължителен за прилагане в целия Европейски съюз от 17 януари 2025 г. За разлика от NIS2, който покрива широк кръг критични сектори, DORA е насочен изрично към финансовите субекти: банки, платежни институции, дружества за електронни пари, инвестиционни посредници, застрахователи и презастрахователи, пенсионноосигурителни дружества, управляващи дружества и доставчици на услуги, свързани с криптоактиви. В България надзорът се разпределя между Българската народна банка (за банковия сектор) и Комисията за финансов надзор, КФН (за небанковия финансов сектор).

Регламентът въвежда пряко приложими правила за управление на риска от информационни и комуникационни технологии, тестване на оперативната устойчивост, докладване на значими ИКТ инциденти и, най-вече за целите на документооборота, надзор върху договорните отношения с трети страни, доставчици на ИКТ услуги.

Регистърът на информация: нов документ, който трябва да се поддържа постоянно

Едно от централните изисквания на DORA е поддържането на така наречения регистър на информация, register of information (RoI). Това е структуриран документ, в който всеки финансов субект описва всички свои договорни отношения с доставчици на ИКТ услуги: кой доставчик, каква услуга предоставя, дали услугата е критична за дейността, кой носи отговорност вътрешно в организацията, какви са клаузите за одит, излизане от договора и делегиране на подизпълнители.

Регистърът не е еднократен документ. Той трябва да се актуализира при всяка съществена промяна в договорните отношения и да се подава ежегодно към надзорния орган в стандартизиран формат. Именно тази комбинация от постоянна актуалност и структурирано архивиране прави регистъра практическо предизвикателство за екипите по съответствие, тъй като изходните данни обичайно се пазят разпръснато, в договори, приложения, вътрешна поща и таблици, поддържани от различни отдели.

Сроковете за 2026 г.

Съгласно указанията на КФН, публикувани за поднадзорните ѝ финансови субекти, средата за подаване на регистрите на информация към европейските надзорни органи, ЕНО, работи от 25 февруари до 31 март 2026 г., като подаванията след тази дата не се приемат. Крайният срок, в който самите финансови субекти трябва да предоставят попълнения регистър на КФН, е 23 март 2026 г. След получаването на регистрите ЕНО извършват допълнителна проверка и очакват да изпратят на КФН файлове с идентифицирани грешки в началото на месец април 2026 г. Финансовите субекти трябва да са в готовност да коригират данните бързо, тъй като КФН е длъжна да изпрати редактираните регистри обратно към ЕНО до 30 април 2026 г.

Тази верига от кратки срокове, по-малко от пет седмици между първоначалното подаване и крайната корекция, означава, че организация, която не поддържа регистъра си в актуален и лесно проверим вид през цялата година, рискува да не успее да отстрани грешки навреме.

Кой точно е в обхвата

Задължени субекти по DORA в България са всички лицензирани и поднадзорни на БНБ и КФН финансови институции, включително по-малките инвестиционни посредници и застрахователни агенти, доколкото регламентът предвижда само ограничени облекчения за микропредприятия при определени изисквания, не и пълно изключение от задължението за поддържане на регистър. Отделно от финансовите субекти, в обхвата на надзора попадат и така наречените критични доставчици на ИКТ услуги на трети страни, тоест доставчиците на облачни услуги, центровете за данни и софтуерните партньори, чиито услуги се използват масово от финансовия сектор, могат да бъдат определени за пряк надзор от европейските надзорни органи.

Практически последици за документооборота

За екипите по правно съответствие и вътрешен одит регистърът на информация на практика означава ново, постоянно поддържано хранилище от документи: договори с ИКТ доставчици, приложения и анекси, оценки на риска на всеки доставчик, кореспонденция относно инциденти и доказателства за проведени тестове на оперативната устойчивост. Тези документи трябва да са лесно проследими във времето, тъй като при проверка КФН или БНБ могат да поискат обосновка защо даден доставчик е класифициран като критичен или некритичен, както и историята на промените в договора.

Организациите, които вече архивират своите договори и вътрешна документация в структурирана дигитална система с ясна версия, дати и отговорни лица, изпитват значително по-малко напрежение при годишното подаване на регистъра, тъй като информацията вече съществува в проверим вид, вместо да се събира ръчно в последния момент преди 23 март.

Какво да направи финансовият субект още сега

Практически препоръчителните стъпки включват: съставяне на пълен списък на всички действащи договори с ИКТ доставчици, класифициране на всеки договор по критичност, определяне на вътрешно отговорно лице за всеки доставчик, и въвеждане на процес за незабавно архивиране на всяка промяна в договорните условия. Организациите, за които 2026 г. е първата година на подаване на регистъра, следва да не изчакват до февруари, тъй като събирането и проверката на разпръснатите данни отнема значително повече време, отколкото самото подаване в системата на КФН.