Per pastarąjį dešimtmetį Lietuva tyliai, bet užtikrintai tapo viena patraukliausių vietų fintech verslui visoje Europos Sąjungoje. Vilnius ir Kaunas priglaudė šimtus mokėjimo įstaigų, elektroninių pinigų bendrovių bei skaitmeninių bankų, o Lietuvos bankas išsikovojo reputaciją kaip greitas ir dalykiškas licencijų išdavėjas. Tačiau 2026 metai atneša naują realybę: reguliacinis spaudimas kibernetinio saugumo ir atsparumo srityje išaugo iki tokio lygio, kad techninė atitiktis nebėra pasirinkimas, o būtina sąlyga tęsti veiklą.
Šiame straipsnyje aptariame, kodėl Lietuva išlieka fintech magnetu, ką praktiškai reiškia NIS2 ir DORA direktyvos, kaip kurti saugią finansinę programinę įrangą ir į ką atkreipti dėmesį planuojant inžinerijos komandą ar partnerius.
Lietuva kaip fintech licencijavimo centras 2026 metais
Lietuvos sėkmę fintech srityje lėmė kelios aplinkybės. Lietuvos bankas dar prieš keletą metų sukūrė aiškias ir palyginti greitas licencijavimo procedūras mokėjimo bei elektroninių pinigų įstaigoms, o reguliuojama smėlio dėžė leido startuoliams testuoti produktus prižiūrimoje aplinkoje. Po Brexit daugelis Londono bendrovių pasirinko Vilnių kaip savo prieigą prie bendros ES rinkos, ir šis srautas iki šiol nesusilpnėjo.
Tačiau 2026 metais rinkos dinamika pasikeitė. Priežiūros institucija tapo daug reiklesnė ne tik pinigų plovimo prevencijos, bet ir operacinio bei kibernetinio atsparumo klausimais. Naujoms įmonėms nebeužtenka turėti gerą produkto idėją – jos privalo pademonstruoti brandžią rizikos valdymo sistemą, dokumentuotus incidentų valdymo procesus ir gebėjimą atlaikyti tiekėjų grandinės sutrikimus. Tai reiškia, kad techninė architektūra ir atitiktis turi būti kuriamos kartu nuo pat pirmos dienos, o ne prisegamos vėliau prieš pat auditą.
NIS2 ir DORA: kai atsparumas tampa įstatymu
Du dokumentai šiandien formuoja Lietuvos fintech saugumo darbotvarkę: NIS2 direktyva ir DORA reglamentas.
NIS2 išplėtė kibernetinio saugumo prievoles daug platesniam subjektų ratui nei anksčiau. Ji reikalauja rizika grįsto požiūrio, valdybos atsakomybės už kibernetinį saugumą, tiekėjų grandinės saugumo vertinimo ir griežtų incidentų pranešimo terminų. Lietuvoje priežiūrą koordinuoja Nacionalinis kibernetinio saugumo centras, ir bendrovės, kurios anksčiau manė, kad šie reikalavimai jų neliečia, dabar dažnai patenka į taikymo sritį.
DORA, arba Skaitmeninės veiklos atsparumo aktas, yra specialiai finansų sektoriui skirtas reglamentas, taikomas tiesiogiai visoje ES nuo 2025 metų pradžios. Fintech bendrovei tai reiškia keturis praktinius įpareigojimus:
- ▸IRT rizikos valdymo sistemą, kuri apima visą technologijų gyvavimo ciklą
- ▸privalomą reikšmingų incidentų klasifikavimą ir pranešimą reguliatoriui
- ▸reguliarų skaitmeninio atsparumo testavimą, o didesnėms įstaigoms – ir grėsmėmis grįstą įsilaužimo testavimą
- ▸griežtą trečiųjų šalių, ypač debesijos ir programinės įrangos tiekėjų, rizikos valdymą su konkrečiais sutartiniais reikalavimais
Svarbiausia žinia vadovams: DORA perkelia atsakomybę už tiekėjų riziką patiems finansų subjektams. Jūs nebegalite paslėpti operacinės rizikos už debesijos tiekėjo ar programinės įrangos partnerio nugaros – reguliatorius laikys atsakinga būtent jūsų įmonę.
Kontrolinis sąrašas: saugios ir atitiktį užtikrinančios finansinės programinės įrangos kūrimas
Jei kuriate ar atnaujinate fintech produktą Lietuvos rinkai, ši seka padės suderinti inžineriją su reguliaciniais lūkesčiais:
1. Pradėkite nuo grėsmių modeliavimo. Prieš rašydami kodą, sudarykite duomenų srautų ir grėsmių žemėlapį – kur juda mokėjimo ir asmens duomenys, kur yra pasitikėjimo ribos. 2. Įdiekite saugumą į kūrimo procesą. Automatizuokite priklausomybių tikrinimą, statinę ir dinaminę analizę bei paslapčių aptikimą jūsų CI/CD sraute, kad pažeidžiamumai būtų sustabdyti dar prieš diegimą. 3. Projektuokite pagal duomenų minimizavimo principą. Rinkite tik būtinus asmens duomenis, šifruokite juos tiek saugojimo, tiek perdavimo metu ir aiškiai atskirkite gamybinę aplinką nuo testinės. 4. Sukurkite audituojamus žurnalus. Nekeičiami, laiko žymomis pažymėti įvykių žurnalai yra būtini tiek DORA incidentų tyrimams, tiek pinigų plovimo prevencijai. 5. Formalizuokite incidentų valdymą. Parenkite ir realiai išbandykite incidentų reagavimo planą su aiškiais vaidmenimis ir pranešimo terminais, atitinkančiais NIS2 bei DORA reikalavimus. 6. Valdykite tiekėjų riziką sutartimis. Užtikrinkite, kad debesijos ir programinės įrangos partnerių sutartyse būtų audito teisės, duomenų vietos garantijos ir pasitraukimo strategijos. 7. Testuokite atsparumą reguliariai. Suplanuokite periodinį įsiskverbimo testavimą ir atkūrimo scenarijų pratybas, o ne vienkartinį patikrinimą prieš auditą.
GDPR, EU AI Act ir dirbtinis intelektas fintech srityje
Duomenų apsauga išlieka kertiniu akmeniu. Bendrasis duomenų apsaugos reglamentas Lietuvoje prižiūrimas Valstybinės duomenų apsaugos inspekcijos, ir finansų bendrovėms, tvarkančioms jautrius mokėjimo bei tapatybės duomenis, klaidos kaina yra ne tik baudos, bet ir prarastas klientų pasitikėjimas.
2026 metais prie šio paveikslo prisideda EU AI Act, kurio nuostatos įsigalioja etapais. Fintech srityje tai ypač aktualu, nes daug bendrovių naudoja dirbtinį intelektą kredito vertinimui, sukčiavimo aptikimui ir klientų tapatybės tikrinimui. Kai kurie kredito ir rizikos vertinimo modeliai gali patekti į didelės rizikos kategoriją, kuriai keliami reikalavimai dėl skaidrumo, žmogaus priežiūros, duomenų kokybės ir dokumentavimo. Todėl DI modelius reikia kurti su aiškiu valdymo pėdsaku nuo pat pradžių – vėliau bandyti retrospektyviai pagrįsti algoritmo sprendimus yra kur kas brangiau ir rizikingiau.
Praktinis patarimas: traktuokite atitiktį GDPR, DORA ir AI Act ne kaip tris atskirus projektus, o kaip vieną bendrą valdymo sistemą. Jos dažnai remiasi tais pačiais pamatais – aiškiu duomenų valdymu, dokumentuotais procesais ir techniniu atsekamumu.
Kodėl nearshore inžinerija iš Tuniso tinka Lietuvos fintech bendrovėms
Kvalifikuotų saugumo ir programinės įrangos inžinierių trūkumas Lietuvoje yra realus, o vietinės algos konkurencingoje Vilniaus rinkoje sparčiai kyla. Būtent čia TuniCyberLabs siūlo pusiausvyrą, kuri Lietuvos fintech bendrovėms yra ypač aktuali.
Mūsų inžinerijos komanda Tunise, Suse mieste, dirba beveik tuo pačiu laiko juostos ritmu kaip ir Vilnius – skirtumas tesiekia vieną valandą, todėl bendras darbas vyksta realiu laiku, o ne per naktinių pranešimų grandinę. Tai kritiškai svarbu incidentų valdymui ir DORA reikalaujamam operaciniam atsparumui, kur reakcijos greitis lemia viską.
Kadangi TuniCyberLabs veiklą kordinuoja per savo Estijoje, Taline, registruotą patronuojančią bendrovę, sutartys ir duomenų tvarkymo susitarimai sudaromi pagal ES teisę ir GDPR, o ne pagal trečiosios šalies režimą, kuris komplikuotų jūsų atitiktį. Estija ir Lietuva dalijasi panašiu skaitmeniniu ir reguliaciniu mąstymu, todėl bendradarbiavimo pagrindas jums bus pažįstamas.
Mūsų komandos dirba angliškai ir prancūziškai, o daugiakalbė aplinka palengvina bendravimą su tarptautinėmis Lietuvos fintech komandomis. Rezultatas – prieiga prie brandžios kibernetinio saugumo ir programinės įrangos kompetencijos, kuri kainuoja mažiau nei vietinis įdarbinimas, bet neaukoja kokybės ir nekompromituoja jūsų reguliacinės pozicijos.
Ką verta įsiminti
Lietuva 2026 metais išlieka viena stipriausių fintech vietų Europoje, tačiau žaidimo taisyklės subrendo. NIS2 ir DORA pavertė kibernetinį atsparumą teisine prievole, EU AI Act kelia naujus reikalavimus dirbtiniam intelektui, o GDPR ir toliau saugo klientų duomenis. Bendrovės, kurios saugumą ir atitiktį įraukia į savo inžineriją nuo pat pirmos eilutės kodo, ne tik išvengs baudų – jos įgis konkurencinį pranašumą, nes patikimumas šiandien yra tikrasis fintech produktas. O norint tai pasiekti be perkaitusios vietinės darbo rinkos spaudimo, protingas nearshore partneris tampa strateginiu, o ne vien kaštų sprendimu.