Регламент (ЕС) 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор, приет на 14 декември 2022 г. от Европейския парламент и Съвета на ЕС (ОВ, L 333/1 от 27 декември 2022 г.), има за цел предотвратяването и намаляването на риска от киберзаплахи във финансовия сектор. Регламентът, наричан и Акт за цифровата оперативна устойчивост (Digital Operational Resilience Act – DORA), въвежда цялостна рамка за гарантиране на оперативната устойчивост на ключовите за финансовия сектор системи. DORA се прилага от 17 януари 2025 г., като мерки по прилагането му са предвидени в българското законодателство със Закона за пазарите на финансови инструменти с изменения и допълнения, ДВ бр. 54/ 2025 г.
Кой и как трябва да прилага DORA
Организациите, обект на DORA, са: кредитни институции, платежни институции, доставчици на услуги за предоставяне на информация за сметки, институции за електронни пари, инвестиционни посредници, доставчици на услуги за криптоактиви, централни депозитари на ценни книжа. От тези организации се очаква да изпълняват различни действия, за да се съобразят с изискванията на DORA. Ключовите аспекти включват:
1. Рамка за управление на риска от Информационни и комуникационни технологии (ИКТ): създаване и поддържане на обстойна рамка за управление на риска от ИКТ; идентифициране, категоризиране и оценка на рисковете, свързани с ИКТ; въвеждане на защитни и превантивни мерки за намаляване на идентифицираните рискове; редовен преглед и тестване на ефективността на рамката за управление на риска от ИКТ.
2. Докладване на инциденти: установяване на здрави механизми за откриване и управление на инциденти, свързани с ИКТ; докладване на значими инциденти, свързани с ИКТ, до съответните органи по своевременен и ефективен начин.
3. Тестване на цифровата оперативна устойчивост: провеждане на редовни тестове за оценка на устойчивостта на ИКТ системите и процесите; извършване на оценка на уязвимостите, тестване, базирано на сценарии (например, проникване в системата), и установяване на процес за идентифициране и намаляване на уязвимостите.
4. Управление на риска от трети страни в ИКТ: управление и мониторинг на ИКТ риска от трети страни, особено при разчитане на критични доставчици на ИКТ услуги от трети страни; гарантиране, че договорите с доставчици на услуги от трети страни включват здрави клаузи относно нивата на обслужване, защита на данните и права за одит; установяване на механизми за мониторинг на изпълнението и съответствието на доставчиците на услуги от трети страни.
5. Споделяне на информация: ангажиране в споделянето на информация относно ИКТ рискове и инциденти за подобряване на разбирането и управлението на ИКТ заплахите в целия сектор; участие в платформи за споделяне на информация, като се гарантира защитата на чувствителната и конфиденциалната информация.
6. Надзор и съответствие: спазване на рамката за надзор, установена от компетентните органи; редовна оценка на съответствието с DORA и сътрудничество при ревизии и одити от регулаторни органи; въвеждане на корективни действия, както е изискано от регулаторните органи, за адресиране на недостатъци или въпроси на несъответствие.
7. Участие на управителния орган: гарантиране, че управителният орган на организацията е ефективно ангажиран в надзора на рамката за управление на риска от ИКТ; изискване на редовни доклади до управителния орган относно ИКТ рисковете, инцидентите и мерките за устойчивост.
8. Тестване на устойчивостта и киберсигурността: въвеждане на здрава стратегия за киберсигурност за защита срещу кибер заплахи; провеждане на тестване на устойчивостта, включително напреднало тестване за значими субекти, за оценка на способността на организацията да реагира ефективно и да се възстанови от нарушения в ИКТ.
9. Ресурси и експертност: осигуряване на достатъчно ресурси (финансови, човешки, технически) за управление на риска от ИКТ и мерки за оперативна устойчивост; гарантиране, че персоналът е адекватно обучен и поддържа високо ниво на експертност в управлението на риска от ИКТ и оперативната устойчивост.
Отговорност на инвестиционен посредник за вреди в резултат от несъответствия с DORA
Организациите, подлежащи на DORA, са задължени да интегрират тези практики в своите оперативни и стратегии за управление на риска, за да гарантират стабилността и устойчивостта на своите ИКТ системи и по-широката инфраструктура на финансовия пазар. Съответствието с изискванията се следи от съответните органи, и организациите могат да бъдат подложени на одити, оценки и корективни мерки, ако се идентифицират недостатъци.
Какво се случва обаче, ако инвеститор претърпи вреди, тъй като инвестиционен посредник не е съобразил ИКТ системите си с DORA? Дали инвестиционният посредник ще отговаря за непозволено увреждане предстои да реши съдът, сезиран по случая на наш клиент.
Клиентът сключва договор с български инвестиционен посредник, който действа няколко години, докато посредникът по своя инициатива информира клиента, че има промяна на статута му от Неразкрит въвеждащ брокер (Non-Disclosed Introducing Broker) на международна група инвестиционни посредници към Напълно разкрит въвеждащ брокер (Fully- Disclosed Introducing Broker) на групата. Поради съответното мигриране на клиенти, инвестиционната сметка на клиента вече ще бъде на платформата на групата с нови временни потребителско име и парола. Така финансовите активи на клиента преминават в нова сметка, подсметка на/свързана с главната сметка на българския посредник във платформата на групата в качеството му на въвеждащ брокер, а клиентът сключва нов договор с международен посредник от групата. Българският посредник обаче продължава да осъществява цялостното клиентско обслужване и техническа помощ във връзка със сметката, за което клиентът не е бил уведомен и не е давал съгласие.
И така до средата на 2025 г., когато клиентът с изненада открива, че по сметката му има движение: чрез използване на съхраняваните там негови лични данни (включително данни за финансови активи) са наредени поръчки и извършени сделки, за които клиентът не знае, не е нареждал на никого и не се е съгласявал. Противно на волята му клиентът е лишен от притежаваните от него скъпоструващи ценни акции на водеща световна ИТ компания, като вместо това се оказва собственик на многобройни евтини акции на китайска компания.
Тъй като клиентът никога не е искал, не е извършвал и не е възлагал на трето лице да извърши неоторизираните поръчки, започва незабавно интензивна кореспонденция с инвестиционните посредници, за да бъдат отменени неоторизираните поръчки и възстановени по сметката ценните акциите. Оказва се, че е била извършена кибератака, като главната сметка на българския посредник в платформата на групата е била достъпена от неизвестно трето лице и така чрез главната сметка са направени неоторизираните поръчки по сметката на клиента. Едва тогава клиентът разбира, че всъщност българският посредник има достъп чрез главната сметка до сметката му.
След разследване на проникването в сметката се установява, че потребител с основни права по главната сметка е извършил неоторизираните сделки, достъпвайки от IP адрес, намиращ се в Хонконг чрез използвани правилното поверително потребителско име и парола на българския посредник и валидна двуфакторна автентикация (2FA). Основен елемент от защитата на сметките, предлагана от международната група, е Secure Login System (SLS) – процес на влизане, който предотвратява достъпа до клиентска или брокерска сметка без физическо устройство, приложение или SMS код, дори ако потребителското име и паролата са известни. Следователно, достъпът до главната сметка на българския посредник е бил възможен само чрез два фактора за сигурност: нещо, което само той знае – паролата, и нещо, което само той притежава – код, генериран от физическо устройство, мобилно приложение за 2FA или SMS съобщение до телефон. Ако българският посредник не е бил в Хонконг по време на спорната търговска дейност, явно трето лице е успяло да получи достъп до главната сметка и да извърши сделки по сметката на клиента, използвайки поверителните данни за вход и уникалното 2FA устройство, вероятно придобити в резултат на фишинг атака.
Веднага след като е станало възможно, клиентът успява да продаде китайските акции с цел минимализиране на загубите. В крайна сметка клиентът е увреден с близо 750 00 евро, представляващи разликата между цената на акциите на ИТ компанията към деня на киберпробива и цената, получена от продажбата на китайските акции. Клиентът предявява иск срещу българския инвестиционен посредник за непозволено увреждане и плащането на обезщетение за претърпените вреди.
Отговорността на юридическото лице в случая има обезпечително-гаранционна функция. Тя не произтича от вината на лицето, което възлага работата, а настъпва, когато натовареното да извърши определена работа лице причини виновно щетата при и по повод изпълнението на възложената му работа. Противоправно поведение по смисъла на чл. 49, вр. чл. 45 ЗЗД е всяко действие или бездействие /непредприемане на правно изискуемо действие/, обусловено от волята на извършителя, което нарушава установената в цитираната разпоредба обща забрана да не се вреди другиму и накърнява правно защитено имуществено или неимуществено благо на друго лице. Тъй като към датата на киберпробива разпоредбите на ДОРА вече са били задължителни и е следвало да се прилагат от българския инвестиционен посредник, съдът трябва да установи дали са били нарушени нормативни разпоредби от ДОРА, например:
- Чл. 5 и чл. 6 ДОРА: не е установена вътрешна рамка за управление и контрол, която да гарантира ефективно и разумно управление на риска в областта на ИКТ с оглед постигането на високо равнище на оперативна устойчивост на цифровите технологии; ръководният орган на Ответника не е определил, одобрил, упражнил надзор върху изпълнението на всички действия във връзка с рамката за управление на риска в областта на ИКТ;
- Чл. 7 и 9 ДОРА: не са използвани и поддържани адекватни системи и протоколи на ИКТ и основани на ИКТ инструменти, които да се справят с риска в областта на ИКТ.
Решението на съда ще установи прецедент по отношение на прилагането на ДОРА в България и се очаква с голям интерес.
