Lietuva per pastarąjį dešimtmetį tapo viena ryškiausių fintech ekosistemų Europos Sąjungoje. Vilniuje susitelkusi elektroninių pinigų ir mokėjimo įstaigų koncentracija, Lietuvos banko atvirumas naujiems rinkos dalyviams ir tiesioginė prieiga prie SEPA per CENTROlink infrastruktūrą pavertė šalį patogia vartų anga į visą bendrąją rinką. Tačiau kartu su galimybėmis atėjo ir atsakomybė: mokėjimų srautai, klientų tapatybės duomenys ir atvirosios bankininkystės sąsajos yra vienas patraukliausių taikinių kibernetiniams nusikaltėliams visame regione.
Reguliacinis spaudimas šiemet didesnis nei bet kada. PSD2 jau įtvirtino stiprų kliento tapatybės patvirtinimą ir atvirosios bankininkystės API, o horizonte ryškėja PSD3 kartu su lydinčiu Mokėjimo paslaugų reglamentu (PSR). Prisideda DORA reglamentas dėl skaitmeninio veiklos atsparumo, NIS2 direktyva ir nuolat galiojantis BDAR (Bendrasis duomenų apsaugos reglamentas). Baltijos fintech bendrovėms tai reiškia paprastą, bet nepatogią tiesą: saugumas nebėra atskira techninė funkcija — tai licencijos sąlyga ir konkurencinis pranašumas vienu metu.
Nuo PSD2 prie PSD3 ir PSR: kas iš tiesų keičiasi
PSD2 tapo lūžiu, nes įpareigojo bankus atverti sąskaitų duomenis licencijuotiems tretiesiems teikėjams ir įdiegti stiprų kliento autentiškumo patvirtinimą (SCA). Praktikoje tai reiškė daugiaveiksmį prisijungimą ir sandorių patvirtinimą, kuris smarkiai apsunkino paskyrų užgrobimą. PSD3 ir PSR paketas šios logikos neatmeta — jis ją tikslina, sugriežtina priežiūrą ir dalį reikalavimų perkelia iš direktyvos į tiesiogiai taikomą reglamentą, kad taisyklės būtų vienodesnės visose valstybėse narėse.
- ▸Aiškesnės SCA taisyklės: mažiau nenuoseklių išimčių ir geresnė pusiausvyra tarp saugumo ir vartotojo patirties.
- ▸Griežtesnė sukčiavimo prevencija: didesnis dėmesys dalijimuisi sukčiavimo požymiais tarp rinkos dalyvių, o momentinių mokėjimų kontekste — mokėjimo gavėjo patvirtinimui (Verification of Payee).
- ▸Kokybiškesnės atvirosios bankininkystės sąsajos: aukštesni prieinamumo, stabilumo ir dokumentavimo standartai API teikėjams.
- ▸Aiškesnis atsakomybės balansas: tikslesnės nuostatos dėl klientų kompensavimo tam tikrais sukčiavimo atvejais.
Baltijos rinkoje veikiančiai įmonei esminė išvada tokia: architektūra turi būti pritaikoma keičiantis reikalavimams, o ne perrašoma iš naujo kas kelerius metus. Modulinės autentiškumo ir mokėjimų iniciavimo paslaugos leidžia prisitaikyti prie PSD3 be brangaus perprojektavimo.
DORA ir NIS2: atsparumas tampa teisiniu reikalavimu
DORA (Skaitmeninio veiklos atsparumo aktas) finansų subjektams ir jų kritiniams informacinių ir ryšių technologijų (IRT) paslaugų teikėjams taikomas nuo 2025 metų. Skirtingai nei ankstesnės gairės, jis nustato privalomus, patikrinamus reikalavimus, o priežiūros institucijos gali vertinti jų laikymąsi. Fintech bendrovei tai reiškia, kad ne tik jos pačios sistemos, bet ir visa tiekimo grandinė patenka į reguliacijos akiratį.
- ▸IRT rizikos valdymas: dokumentuotos politikos, nuolatinis grėsmių vertinimas ir atkūrimo planai.
- ▸Incidentų registravimas ir pranešimas: standartizuotas rimtų incidentų klasifikavimas bei pranešimas nustatytais terminais.
- ▸Atsparumo testavimas: reguliarūs patikrinimai, o didesniems subjektams — grėsmėmis grįsti įsilaužimo testai.
- ▸Trečiųjų šalių rizika: rangovų, debesijos ir programinės įrangos teikėjų sutartys turi atitikti aiškius atsparumo ir audito reikalavimus.
NIS2 (Tinklų ir informacinių sistemų saugumo direktyva) papildo šį vaizdą, išplėsdama kibernetinio saugumo prievoles daugeliui sektorių ir įtvirtindama vadovybės asmeninę atsakomybę. Kartu DORA ir NIS2 aiškiai signalizuoja: rangovo pasirinkimas nebėra vien kaštų klausimas — tai atitikties klausimas.
Saugumo architektūra: Zero Trust, šifravimas ir BDAR
Reguliaciniai reikalavimai virsta prasme tik tada, kai juos atspindi realioje architektūroje. Šiuolaikinei mokėjimų platformai tvirtas pagrindas apima kelis vienas kitą papildančius sluoksnius, kurie apsaugo duomenis net ir tada, kai vienas gynybos barjeras suveikia netobulai.
- ▸Nulinio pasitikėjimo principas (Zero Trust): kiekviena užklausa autentifikuojama ir autorizuojama neatsižvelgiant į tinklo vietą, o teisės suteikiamos pagal mažiausios privilegijos principą.
- ▸Šifravimas ramybėje ir perdavimo metu: raktų valdymas atskiriamas nuo taikomųjų programų, o jautrūs laukai tokenizuojami.
- ▸Duomenų minimizavimas pagal BDAR: renkama tik tai, kas būtina, saugojimo terminai apibrėžti, o duomenų subjektų teisės įgyvendinamos automatizuotai.
- ▸ISO 27001 kaip valdymo pagrindas: informacijos saugumo valdymo sistema suteikia auditoriams ir partneriams bendrą, tarptautiškai pripažįstamą kalbą.
Šie principai nėra teoriniai. Kai auditorius paprašo įrodyti, kaip ribojama prieiga prie mokėjimų duomenų bazės, atsakymas turi būti ne prezentacija, o veikiantys žurnalai, politikos ir konfigūracija.
Kodėl nearshore inžinerija tinka Baltijos fintech'ui
Kvalifikuotų saugumo ir backend inžinierių paklausa Baltijos šalyse viršija pasiūlą, o vidinių komandų plėtra brangi ir lėta. Būtent čia praktišką sprendimą siūlo nearshore modelis. TuniCyberLabs — Estijoje registruota, biurus Kipre turinti ir inžineriją Tunise vykdanti bendrovė — dirba tiksliai šioje sankirtoje tarp ES atitikties ir prieinamų kaštų.
- ▸Talentas: brandus saugumo, mokėjimų integracijų ir debesijos inžinierių telkinys, dirbantis pagal EU projektų standartus.
- ▸Kaštų efektyvumas: aiškiai mažesnės sąnaudos nei samdant vietoje, neaukojant kokybės ar procesų brandos.
- ▸ES artumas ir sutampančios darbo valandos: viena laiko juosta su Vilniumi ir Talinu leidžia dirbti realiu laiku, o ne perduodant užduotis per naktį.
- ▸Duomenų apsaugos suderinamumas: sutartinė šalis registruota ES, laikomasi BDAR ir DORA reikalavimų, tarpvalstybiniam duomenų tvarkymui taikomos standartinės sutarčių sąlygos ir papildomos apsaugos priemonės.
Svarbiausia, kad pagal DORA nearshore partneris tampa IRT paslaugų teikėju su visomis iš to kylančiomis prievolėmis. Partneris, kuris jau kalba atitikties kalba ir gali pateikti audito pėdsakus, sumažina jūsų reguliacinę naštą, o ne ją padidina.
Kontrolinis sąrašas prieš reguliacinį auditą
1. Peržiūrėkite SCA logiką ir įsitikinkite, kad išimtys atitinka naujausias PSD2 bei būsimas PSD3 nuostatas. 2. Kartografuokite visus IRT teikėjus ir priskirkite kritiškumo lygį pagal DORA reikalavimus. 3. Patikrinkite, ar rangovų sutartyse yra audito, incidentų pranešimo ir pasitraukimo strategijos nuostatos. 4. Užtikrinkite, kad rimtų incidentų klasifikavimas ir pranešimo terminai būtų dokumentuoti ir išbandyti. 5. Patvirtinkite šifravimo ir raktų valdymo apimtį visiems mokėjimų ir tapatybės duomenims. 6. Įgyvendinkite mažiausios privilegijos prieigą prie gamybinės aplinkos ir reguliariai peržiūrėkite teises. 7. Suplanuokite atsparumo bei įsilaužimo testus ir saugokite jų rezultatus audito reikmėms. 8. Suderinkite duomenų saugojimo terminus ir subjektų teisių procesus su BDAR įpareigojimais.
Šis sąrašas nepakeičia teisinės konsultacijos, tačiau padeda komandai pamatyti spragas anksčiau, nei jas pastebi priežiūros institucija ar užpuolikas.
Žvilgsnis į priekį
Kelias aiškus: reguliacija Europos mokėjimų rinkoje tik griežtės, o riba tarp saugumo ir atitikties toliau nyks. PSD3 ir PSR įtvirtins vienodesnes taisykles, DORA pavers atsparumą matuojama prievole, o eIDAS pagrindu kuriama Europos skaitmeninės tapatybės piniginė ateinančiais metais gali iš esmės pakeisti klientų autentiškumo patvirtinimą. Lietuvos ir Baltijos fintech bendrovės, kurios saugumą traktuoja kaip inžinerinę discipliną, o ne kaip patikros langelį prieš auditą, turės realų pranašumą. Pasirinkti tinkamą inžinerijos partnerį — tokį, kuris jau dirba pagal ES standartus ir supranta regiono kontekstą — šiandien reiškia mažiau nemalonių staigmenų rytoj ir tvirtesnį pagrindą augti visoje bendrojoje rinkoje.