Європейські фінансові установи повідомили про 3 383 масштабні інциденти, пов’язані з ІКТ, протягом 2025 року в межах Закону про цифрову операційну стійкість (Digital Operational Resilience Act, DORA), йдеться в спільному звіті Європейського банківського управління, Європейського управління з цінних паперів і ринків та Європейського управління з страхування і професійних пенсій. Отримані результати є одним із перших великомасштабних масивів даних, які показують, як операційні збої, збої систем і кіберінциденти поширювалися у фінансовому секторі Європи в рамках нової звітної моделі DORA. Регулятори заявили, що ці дані свідчать про все більшу залежність фінансової системи від спільної інфраструктури, зовнішніх технологічних провайдерів і взаємопов’язаних цифрових послуг: DORA набрав чинності у січні 2025 року, щоб запровадити узгоджені вимоги до звітування про ризики ІКТ у всій європейській фінансовій системі.
Кредитні установи становили понад 60% повідомлених інцидентів ІКТ
Кредитні установи відповідали більш ніж за 60% усіх повідомлених інцидентів, тоді як платіжні компанії становили ще 16%. Регулятори заявили, що така концентрація не обов’язково вказує на структурну слабкість банківського або платіжного сектору, а радше відображає надзвичайно цифровий характер цих сфер і орієнтацію на клієнта, а також наявні до цього звітні зобов’язання за PSD2.
Третина інцидентів поширювалася за межі країни походження
Дані показали, що операційні збої стають дедалі більш транскордонними. Близько третини інцидентів поширилися за межі країни, де вони почалися, тоді як приблизно 8% вплинули більш ніж на 10 країн одночасно. Регулятори пов’язали цю тенденцію зі зростаючою залежністю від спільних технологічних провайдерів, спільної інфраструктури та багатонаціональних бізнес-моделей. Звіт з’являється на тлі того, що європейські регулятори посилюють перевірки операційної стійкості після кількох гучних збоїв у сфері платежів, торгової інфраструктури та банківських систем протягом останніх двох років.
Збої систем становили 51% усіх повідомлених випадків
Збої систем були найбільшою категорією інцидентів і становили 51% усіх повідомлених випадків. Зовнішні події становили ще 27%, а інциденти, пов’язані з платежами, сягнули 18%. Інциденти, пов’язані з кібербезпекою, становили 10% від загального обсягу. Регулятори заявили, що відносно низька частка інцидентів з кібербезпеки може свідчити про те, що наявні запобіжники та системи виявлення обмежують успішність атак. Водночас у звіті застерегли, що дедалі досконаліші кіберінструменти, керовані ШІ, можуть змінити ландшафт загроз у найближчі роки.
Серед кіберінцидентів атаки типу Distributed Denial of Service становили 33% від повідомлених подій, тоді як ексфільтрація та маніпуляції з даними — 31%. Кредитні установи мали найвищу концентрацію цих атак через їхню роль у платежах, цифровому банкінгу та обробці великих масивів клієнтських даних.
Збої провайдерів третьої сторони походили з 29% основних інцидентів
Майже 29% основних інцидентів починалися зі збоїв за участі провайдерів третьої сторони, включно з ІКТ-вендорами, операторами інфраструктури та аутсорсинговими постачальниками послуг. Регулятори заявили, що результати підкреслюють, як операційні збої в одного провайдера можуть швидко поширюватися на кілька фінансових установ і юрисдикцій. У звіті зазначено, що багато фінансових установ покладаються на спільну інфраструктуру для платежів, основного банкінгу та сервісів підключення. У деяких випадках один збій формував десятки окремих звітів про інциденти, оскільки кілька установ залежали від одного й того самого провайдера.
Збій TARGET2 та «чорна імпланта» на Піренах порушили роботу у 2025 році
Операційні відключення протягом 2025 року включали кілька великомасштабних подій, які спричинили стрибки обсягів звітності. Звіт зокрема посилався на збій TARGET2 у лютому 2025 року, який порушив процеси розрахунків із цінними паперами та обробку платежів протягом кількох годин, а також на відключення в Іберійському півострові у квітні 2025 року, що вплинуло на роботу в кількох секторах.
Дві третини інцидентів спричинили обмежені збої для клієнтів
Попри кількість інцидентів, регулятори заявили, що більшість збоїв спричинили обмежену шкоду «вниз за ланцюгом». Близько двох третин інцидентів або не спричинили збоїв для клієнтів і транзакцій, або вплинули на менше ніж 1 000 клієнтів чи транзакцій. Лише 1% інцидентів вплинув на понад один мільйон транзакцій. У звіті зазначено, що швидке виявлення та заходи локалізації відіграли ключову роль у обмеженні ефектів «розтікання». Як правило, установи стабілізували інциденти завдяки негайним технічним втручанням перед упровадженням довгострокових коригувальних заходів, зокрема оновлень моніторингу, покращень тестування та змін конфігурації системи.
Також партнери за фінансовими операціями виявилися відносно захищеними від більшості інцидентів. Менше ніж 18% інцидентів вплинули на інші фінансові установи, попри зростаючу взаємопов’язаність фінансової системи Європи. Регулятори пояснили це частково тим, що вже впроваджені в установах та операторах інфраструктури запобіжники.
Регулятори виявили розбіжності у звітності під час першого року DORA
Звіт підкреслив розбіжності в практиках звітування між секторами та юрисдикціями протягом першого року реалізації DORA. Близько 15% інцидентів, про які повідомили у 2025 році, не включили в аналіз, оскільки фінальні звіти ще не було подано до дедлайну станом на лютий 2026 року. Водночас приблизно 93% подань пройшли перевірки якості та потрапили до фінальної бази даних. ESAs заявили, що подальша наглядова координація та стандартизація звітності залишатимуться пріоритетом, коли реалізація DORA зрітатиме. Регулятори планують і надалі вдосконалювати аналіз інцидентів та покращувати зіставність даних у фінансовій системі Європи.
Виявлені дані з’являються в момент, коли операційна стійкість стає однією з ключових тем регуляторної політики на глобальних фінансових ринках. Протягом останніх двох років регулятори в Європі, Великій Британії та США дедалі більше зосереджувалися на ризику концентрації інфраструктури, залежності від хмарних сервісів, кіберстійкості та технологічному управлінні. Великі фінансові установи нині працюють у середовищі, де збої можуть швидко поширюватися через кордони, партнерів і платіжні системи за лічені хвилини. Набір даних DORA свідчить, що європейські регулятори дедалі частіше розглядають операційну стійкість не як вузьке питання кібербезпеки, а як ширший системний виклик стабільності, пов’язаний із проєктуванням інфраструктури, концентрацією аутсорсингу та цифровою взаємозалежністю.
Звіт також демонструє, як операційний ризик еволюціонує разом із модернізацією фінансових послуг. Мобільний банкінг, миттєві платежі, алгоритмічний трейдинг, цифрові активи та вбудовані фінанси продовжують нарощувати обсяги транзакцій і складність інфраструктури в усьому секторі. Це зростання підвищує імовірність того, що операційні збої відбуватимуться навіть тоді, коли установи підтримують високі стандарти кібербезпеки. Для фінансових компаній ці результати можуть посилити тиск на посилення нагляду за третіми сторонами, диверсифікацію критично важливих провайдерів і вдосконалення спроможностей із локалізації інцидентів. Для регуляторів звіт дає ранній орієнтир для вимірювання того, як фінансовий сектор Європи адаптується до рамок операційної стійкості DORA в найближчі роки.
FAQ
Що європейські фінансові установи повідомили за DORA у 2025 році?
Європейські фінансові установи повідомили про 3 383 масштабні інциденти, пов’язані з ІКТ, протягом 2025 року в межах Закону про цифрову операційну стійкість, згідно зі спільним звітом Європейського банківського управління, Європейського управління з цінних паперів і ринків та Європейського управління з страхування і професійних пенсій.
Який відсоток інцидентів ІКТ походив від збоїв у провайдерів третьої сторони?
Майже 29% основних інцидентів походили зі збоїв за участі провайдерів третьої сторони, включно з ІКТ-вендорами, операторами інфраструктури та аутсорсинговими постачальниками послуг, йдеться у звіті регуляторів.
Які основні операційні відключення відбулися в Європі у 2025 році?
Звіт зокрема посилався на збій TARGET2 у лютому 2025 року, який порушив процеси розрахунків із цінними паперами та обробку платежів протягом кількох годин, а також на відключення в Іберійському півострові у квітні 2025 року, що вплинуло на роботу в кількох секторах.
