Kryptoaktywa na celowniku UE: DORA i NIS2 zmieniają zasady gry

Kryptowaluty i inne kryptoaktywa przez lata rozwijały się w dużej mierze poza ścisłym nadzorem prawnym. Unia Europejska postanowiła jednak uregulować ten dynamiczny rynek – najpierw kompleksowym rozporządzeniem MiCA dotyczącym rynków kryptoaktywów, a następnie przepisami z zakresu cyberbezpieczeństwa.

W 2022 r. UE przyjęła dwa kluczowe akty prawne: rozporządzenie DORA oraz dyrektywę NIS2. Nowe regulacje mają ogromny wpływ na sektor finansowy i firmy świadczące usługi w zakresie kryptoaktywów, zmuszając je do podniesienia standardów bezpieczeństwa cyfrowego.

Przyjrzyjmy się, co wnoszą te przepisy i jak zmienią one rynek krypto – od wymogów prawnych po praktyczne aspekty ochrony przed hakerami.

Nowe ramy prawne UE dla kryptowalut – od MiCA do DORA

Pierwszym krokiem UE w kierunku uregulowania kryptowalut było Rozporządzenie w sprawie rynków kryptoaktywów (MiCA). MiCA wprowadza jednolite wymogi dla:

• emisji kryptoaktywów (w tym stablecoinów),
• firm oferujących usługi związane z kryptowalutami.

Dzięki temu każdy podmiot, który chce np. prowadzić giełdę kryptowalut lub oferować portfele kryptograficzne, będzie musiał:

• uzyskać odpowiednią licencję,
• spełniać jednakowe standardy we wszystkich krajach UE.

To podstawa ładu prawnego na rynku krypto.

Kolejnym filarem jest rozporządzenie DORA (Digital Operational Resilience Act). Przyjęto je równolegle z MiCA, aby zająć się cyberbezpieczeństwem w świecie finansów cyfrowych.

DORA to ogólnoeuropejskie przepisy dotyczące cyfrowej odporności operacyjnej sektora finansowego, które wejdą w pełni w życie od stycznia 2025 roku.

Mówiąc prościej – mają one zagwarantować, że:

• banki,
• firmy inwestycyjne,
• ubezpieczyciele,
• firmy krypto

poradzą sobie nawet w razie poważnej awarii IT czy ataku hakerskiego.

Rozporządzenie DORA obowiązuje bezpośrednio w całej UE (bez potrzeby implementacji krajowej), co oznacza, że od 2025 r. wszystkie objęte nim podmioty muszą spełniać jednakowe wymogi bezpieczeństwa cyfrowego.

DORA – cyfrowa odporność sektora finansowego (także dla krypto)

DORA wypełnia ważną lukę w regulacjach finansowych, kładąc nacisk na odporność cyfrową. W dobie, gdy finanse opierają się na technologiach, a cyberataki mogą sparaliżować bank czy giełdę, celem DORA jest wzmocnienie bezpieczeństwa IT instytucji finansowych i zapewnienie, że sektor finansowy UE pozostanie sprawny nawet w obliczu poważnych zakłóceń. Co istotne, DORA harmonizuje wymagania – zamiast różnych krajowych standardów, będzie jeden zestaw zasad dla całej Unii.

Kogo dotyczy DORA?

Przepisy obejmą szeroką gamę instytucji finansowych – od banków i domów maklerskich po firmy płatnicze i ubezpieczycieli. Dzięki niedawnym regulacjom (jak MiCA) rynek kryptoaktyów został włączony do sektora finansowego.

W praktyce więc DORA obejmie również firmy krypto, traktując je podobnie jak tradycyjne instytucje finansowe. Wprost wymieniono tu:

• dostawców usług kryptoaktywów (CASP), czyli np. giełdy kryptowalut,
• platformy obrotu tokenami,
• firmy świadczące usługi custody (przechowywania kryptowalut),
• zarządzanie portfelami krypto,
• emitentów tokenów powiązanych z aktywami (np. stablecoiny).

Jeżeli firma prowadzi w UE giełdę kryptowalut lub oferuje portfele powiernicze, będzie musiała przestrzegać DORA podobnie jak bank.

Co nakazuje DORA?

Rozporządzenie ustanawia kompleksowe ramy zarządzania ryzykiem ICT (technologii informacyjno-komunikacyjnych) w finansach. Instytucje objęte DORA muszą m.in.:

• Wdrożyć system zarządzania ryzykiem ICT – identyfikować i monitorować zagrożenia, oceniać ryzyka i mieć wewnętrzne procedury kontrolne. Zarząd firmy będzie odpowiadał za nadzór nad cyberbezpieczeństwem.
• Zarządzać incydentami ICT – mieć procedury wykrywania i obsługi incydentów (np. włamań), obowiązek zgłaszania poważnych incydentów do organów nadzoru oraz wyciągania z nich wniosków. DORA definiuje nawet pojęcie cyberataku – jako złośliwy incydent ICT polegający np. na próbie zniszczenia danych, kradzieży lub nieautoryzowanym dostępie do zasobów cyfrowych.
• Testować swoją odporność cyfrową – przeprowadzać regularne testy bezpieczeństwa, w tym zaawansowane testy warunków skrajnych (np. symulacje ataków hakerskich) dla krytycznych systemów. Celem jest wykrycie słabych punktów zanim zrobią to przestępcy.
• Nadzorować dostawców zewnętrznych IT – jeśli instytucja finansowa korzysta z zewnętrznych usług IT (np. chmury obliczeniowej, firm dostarczających oprogramowanie do portfeli), to tacy dostawcy też podlegają wymogom DORA. Kluczowi dostawcy ICT mogą zostać uznani za „krytycznych dostawców” i poddani nadzorowi organów unijnych.
• Wymieniać informacje o zagrożeniach – DORA zachęca do dzielenia się wiedzą o nowych wektorach ataków czy podatnościach w ramach sektora, aby szybciej reagować na pojawiające się niebezpieczeństwa.

DORA zacznie obowiązywać od stycznia 2025 r., dając firmom trochę czasu na dostosowanie się. Mimo to już teraz wiele podmiotów zaczyna wzmacniać swoje działy IT, wdrażać polityki bezpieczeństwa i szkolić personel, by spełnić nadchodzące wymogi.

Dzięki DORA poziom zabezpieczeń w branży finansowej (w tym krypto) ma być porównywalny w całej UE, co zwiększy zaufanie do rynku.

„Cyberbezpieczeństwo powinno stać się kluczowym elementem wdrożeń blockchain w instytucjach finansowych”

ekspert unijnej agencji cyberbezpieczeństwa ENISA

NIS2 – nowa dyrektywa cyberbezpieczeństwa dla całej gospodarki

Podczas gdy DORA jest rozporządzeniem sektorowym (lex specialis) skupionym na finansach, dyrektywa NIS2 (Network and Information Security 2) ma szerszy zasięg. Uchwalona w grudniu 2022 r. dyrektywa NIS2 ustanawia jednolite ramy prawne dla cyberbezpieczeństwa w aż 18 sektorach krytycznych całej Unii.

Obejmuje m.in.:

• infrastrukturę cyfrową,
• bankowość,
• energetykę,
• ochronę zdrowia,
• transport,
• administrację publiczną,
• dostawców usług chmurowych,
• podmioty z tzw. ważnych sektorów (np. dostawy żywności, produkcja leków, urządzenia medyczne).

W praktyce NIS2 dotyczy ogromnej liczby firm – wszystkich średnich i dużych przedsiębiorstw działających w wymienionych branżach. Nie ma już ograniczenia do „operatorów usług kluczowych” wyznaczonych przez państwa, jak w poprzedniej dyrektywie NIS.

Co zmienia NIS2?

Wprowadza ona surowsze wymagania w zakresie cyberbezpieczeństwa dla objętych nią podmiotów. Każda firma z sektorów krytycznych musi wdrożyć podstawowe środki bezpieczeństwa, m.in.:

• Analizę ryzyka i środki ochrony – obowiązkowe jest posiadanie procedur zarządzania ryzykiem cyber, odpowiednich polityk bezpieczeństwa, szyfrowania danych, kontroli dostępu itp. Dyrektywa wymienia 10 podstawowych środków, które trzeba zrealizować.
• Bezpieczeństwo łańcucha dostaw – firmy muszą zwracać uwagę na bezpieczeństwo swoich dostawców i partnerów. Wymaga się np. ocen bezpieczeństwa dostawców oprogramowania i usług IT.
• Zgłaszanie incydentów – NIS2 ujednolica i zaostrza obowiązki notyfikacji incydentów. Znaczne ataki czy awarie muszą być zgłaszane właściwym organom krajowym w określonym czasie.
• Obowiązki dla kadry zarządzającej – dyrektywa wprost nakłada odpowiedzialność na zarządy firm. Menedżerowie muszą zatwierdzać polityki cyberbezpieczeństwa i mogą odpowiadać za zaniedbania.
• Współpraca i wymiana informacji – NIS2 wzmacnia mechanizmy współpracy między państwami UE (np. sieć CSIRT) oraz przewiduje sankcje za nieprzestrzeganie przepisów – nawet do 10 mln euro lub 2% rocznego obrotu.

NIS2, jako dyrektywa, musi zostać zaimplementowana do prawa krajowego przez każde państwo UE do października 2024 r.

W Polsce trwają prace nad nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która dostosuje przepisy do wymogów NIS2.

DORA i NIS2 – różne cele, wspólny kierunek

Choć NIS2 ma charakter ogólny, to w sektorach specjalistycznych współgra z regulacjami branżowymi. Przykładowo dla finansów DORA jest lex specialis – uzupełnia NIS2 o szczegółowe wymogi typowe dla banków czy giełd.

Oba akty mają wspólny cel – podnieść odporność cyfrową i bezpieczeństwo sieci w Europie. Różnica leży w zasięgu:

• DORA – wąskie ujęcie (instytucje finansowe i ich dostawcy ICT),
• NIS2 – szerokie (większość sektorów gospodarki).

Podwójna odpowiedzialność firm krypto

Dla firm z branży krypto oznacza to, że podlegają one pod podwójny parasol ochronny:

• Jako podmioty finansowe (CASP) muszą spełnić szczegółowe wymogi DORA,
• Jako część szerszego ekosystemu cyfrowego – obowiązują je zasady NIS2, o ile zostaną zaklasyfikowane np. jako dostawcy usług cyfrowych lub finansowych o odpowiedniej skali.

W praktyce jednak prawdopodobnie DORA będzie wiodąca dla nadzoru nad giełdami kryptowalut czy platformami DeFi, ponieważ jest bardziej dostosowana do specyfiki finansowej (np. wymogi co do planów ciągłości działania, testów warunków skrajnych, itp.).

NIS2 zapewni natomiast ogólne minimum bezpieczeństwa w całym otoczeniu – np. u dostawców internetu, energii, itd., z usług których te firmy korzystają.

Wpływ regulacji na rynek krypto i usługi finansowe

Wprowadzenie MiCA, DORA i NIS2 razem wzięte oznacza koniec „Dzikiego Zachodu” w świecie kryptowalut w Europie. Do tej pory wiele giełd czy projektów krypto działało w szarej strefie regulacyjnej – teraz będą musiały podporządkować się rygorom podobnym jak tradycyjne instytucje finansowe.

Jakie przyniesie to skutki?

Przede wszystkim wzrośnie bezpieczeństwo i wiarygodność rynku. Obowiązkowe zabezpieczenia narzucone przez DORA (jak solidne systemy IT, stały monitoring zagrożeń, audyty bezpieczeństwa) zredukują ryzyko spektakularnych upadków spowodowanych np. włamaniem na giełdę. Jeżeli nawet dojdzie do incydentu, firmy będą lepiej przygotowane, by szybko zareagować i ograniczyć szkody.

Docelowo powinno to zwiększyć zaufanie inwestorów do kryptowalut – co jest kluczowe po serii negatywnych wydarzeń w ostatnich latach.

Dla przypomnienia: rok 2022 przyniósł załamanie kilku dużych platform (m.in. głośny upadek giełdy FTX) oraz rekordową falę kradzieży kryptowalut przez hakerów. Inwestorzy stracili fortuny, a regulatorzy nabrali przekonania, że czas zadziałać. W efekcie wezwań do lepszej ochrony konsumentów zaczęto przyspieszać prace nad regulacjami.

Teraz, dzięki nowym przepisom, użytkownik posiadający środki na licencjonowanej giełdzie UE może mieć większą pewność, że firma ta stosuje najwyższe standardy bezpieczeństwa, a w razie problemów – współpracuje z nadzorem i informuje klientów.

Koszty i konsolidacja rynku

Z drugiej strony, koszty zgodności z regulacjami mogą być znaczące. Małe startupy krypto będą musiały zainwestować w polityki compliance, specjalistów od bezpieczeństwa, systemy raportowania incydentów itd. Dla części graczy może to być wyzwanie – potencjalnie nastąpi konsolidacja rynku, gdzie słabsi odpadną lub połączą się z większymi.

Ci jednak, którzy spełnią wymogi, zyskają oficjalną „pieczęć” wiarygodności. Można to porównać do sytuacji z tradycyjnych finansów: instytucja nadzorowana (np. bank) budzi większe zaufanie niż dziki podmiot bez nadzoru. W świecie krypto licencja CASP plus zgodność z DORA może stać się znakiem jakości, przyciągającym ostrożnych klientów instytucjonalnych.

Większa przejrzystość i wymiana informacji

Regulacje te wymuszą także większą przejrzystość działań firm krypto. Będą one musiały raportować poważne incydenty bezpieczeństwa do organów nadzoru, a pośrednio także do swoich użytkowników. Koniec z zamiataniem pod dywan informacji o włamaniu – teraz każde takie zdarzenie będzie analizowane przez nadzór.

Dzięki DORA powstanie również system wymiany informacji o zagrożeniach między instytucjami finansowymi – jeśli np. jedna giełda zauważy nowy typ ataku phishingowego, inne mogą szybciej wdrożyć zabezpieczenia, zanim uderzy on w ich klientów.

Kryptoaktywa jako część sektora finansowego

Warto podkreślić, że kryptoaktywa to teraz formalnie część sektora finansowego z punktu widzenia UE. Oznacza to nie tylko dodatkowe obowiązki, ale i potencjalne korzyści. Regulatorzy przyznają, że rynek krypto ma znaczenie dla gospodarki – stąd obejmują go regulacjami zamiast próbować zakazać.

W dłuższym terminie może to sprzyjać głównemu nurtowi adopcji kryptowalut. Banki i firmy inwestycyjne chętniej wejdą we współpracę z uregulowanymi platformami krypto, skoro te spełniają normy bezpieczeństwa.

Już teraz widać trend, że tradycyjne instytucje finansowe inwestują w technologie blockchain, ale domagają się solidnych zabezpieczeń. DORA i NIS2 mają im to zapewnić.

Głośne ataki hakerskie i cyberzagrożenia w świecie krypto

Dlaczego to wszystko jest tak ważne? Ponieważ sektor krypto stał się celem licznych cyberataków. Niestety, potwierdzają to statystyki z ostatnich lat – łączna wartość kryptowalut skradzionych przez hakerów pobija kolejne rekordy.

2022 rok był najgorszy w historii, jeśli chodzi o kryptowłamania: cyberprzestępcy ukradli wtedy z giełd i protokołów DeFi równowartość ok. 3,8 mld dolarów. Dla porównania, w 2021 r. było to ok. 3,3 mld USD, co pokazuje skalę wzrostu działalności hakerskiej.

Co gorsza, za znaczną częścią tych ataków stoją zorganizowane grupy powiązane z państwami pariasami – na czele z północnokoreańskim kolektywem Lazarus. Według analityków z firmy Chainalysis, w 2022 r. grupy powiązane z Koreą Płn. ukradły z krypto ok. 1,7 mld dolarów, czyli niemal połowę całego łupu hakerów w tym roku. Uważa się, że reżim w Pjongjangu finansuje w ten sposób swój program nuklearny i rakietowy.

Ataki na giełdy kryptowalut stały się niemal tak „popularne” jak napady na banki w XX wieku. Wystarczy wspomnieć kilka głośnych przykładów:

• legendarny upadek Mt. Gox w 2014 r. – kradzież ~850 tys. BTC,
• włamanie na Binance w 2019 r.,
• serię ataków w 2022 r. – m.in. na most Ronin (~600 mln USD), Horizon (100 mln USD), Nomad (190 mln USD),
• gigantyczny hack giełdy ByBit w 2025 r. – zniknęło ponad 400 tys. ETH (~1,5 mld USD).

Atak na ByBit okazał się dziełem grupy Lazarus z Korei Północnej, która wykorzystała zainfekowany komputer jednego z programistów portfela Safe{Wallet}, by uzyskać dane dostępowe do infrastruktury chmurowej (AWS S3). Następnie hakerzy podmienili fragment kodu obsługującego transakcje, co pozwoliło im przekierować przelewy na własne adresy i opróżnić portfele giełdy. Ten incydent pokazuje, że atakujący często uderzają w najsłabsze ogniwo – człowieka.

W ByBit zawiódł czynnik ludzki – błąd lub zaniedbanie developera – co dowodzi, że nawet najlepsze protokoły kryptograficzne nie pomogą, jeśli personel nie przestrzega zasad bezpieczeństwa.

Oprócz włamań na giełdy i ataków na infrastrukturę (np. mosty łączące blockchainy), powszechnym zagrożeniem jest phishing i socjotechnika wymierzona w użytkowników. Oszuści masowo rozsyłają fałszywe e-maile podszywające się pod giełdy lub portfele, by wyłudzić klucze prywatne lub dane logowania.

W odróżnieniu od tradycyjnego systemu bankowego, transakcje kryptowalutowe są nieodwracalne – jeśli użytkownik da się oszukać i przeleje swoje BTC na adres oszusta, nie ma „chargebacku” ani centralnego operatora, który cofnie operację.

To przyciąga cyberprzestępców, bo łup jest potencjalnie ogromny, a ryzyko złapania – relatywnie niskie. Anonimowość blockchaina utrudnia śledztwo, choć firmy analityczne coraz lepiej radzą sobie z deanonimizacją.

Sektor finansowy należy w ogóle do najbardziej atakowanych branż na świecie. Według analiz znajduje się w ścisłej czołówce celów hakerów – finanse są na 3. miejscu pod względem liczby incydentów.

Naturalne jest więc, że firmy krypto – operujące na styku finansów i technologii – również przyciągają agresorów. Wymuszenia ransomware, kradzieże danych klientów, manipulacje rynkowe poprzez ataki DDoS – to wszystko realne zagrożenia.

Gdy w grę wchodzi wysoka stawka, hakerzy sięgają po coraz bardziej wyrafinowane metody:

• exploity smart kontraktów (błędy w kodzie zdecentralizowanych aplikacji),
• przejęcia łańcucha (atak 51% na mniejsze blockchainy),
• ataki przez dostawców zewnętrznych (jak w przypadku ByBit).

To właśnie ta rosnąca fala zagrożeń sprawiła, że organy regulacyjne zareagowały. DORA i NIS2 można postrzegać jako odpowiedź na realia, gdzie jedno udane włamanie może zachwiać rynkiem finansowym lub zaszkodzić tysiącom obywateli.

Regulacje te nie wyeliminują ataków – ale mają zmniejszyć ich prawdopodobieństwo i ograniczyć skutki.

Jak chronić cyfrowe aktywa – najlepsze praktyki w erze nowych regulacji

W obliczu opisanych zagrożeń zarówno firmy, jak i indywidualni posiadacze kryptowalut powinni wdrażać najlepsze praktyki cyberbezpieczeństwa. Co ważne, wiele z tych dobrych praktyk pokrywa się z wymogami, jakie formalnie narzuci DORA czy NIS2 – prawo idzie tu w parze ze zdrowym rozsądkiem.

Oto najważniejsze zasady bezpiecznego obchodzenia się z kryptoaktywami:

• Przechowywanie większości środków w tzw. zimnych portfelach (cold wallets).
  
  Zimne portfele są offline – np. sprzętowe portfele USB czy papierowe zapisy seedów (odpowiednio zabezpieczone). Dzięki temu hakerzy nie mają do nich zdalnego dostępu. Dla bieżących transakcji używa się tzw. gorących portfeli, ale z minimalną ilością środków. Większość dużych giełd stosuje zasadę: 90% depozytów offline, 10% online.
• Uwierzytelnianie dwuskładnikowe (2FA) wszędzie, gdzie to możliwe.
  
  Konto na giełdzie czy w portfelu online powinno być chronione nie tylko hasłem, ale i dodatkowym kodem (np. z Google Authenticator lub klucza U2F). DORA kładzie nacisk na silne uwierzytelnianie jako element zarządzania ryzykiem ICT.
• Bezpieczne zarządzanie kluczami prywatnymi.
  
  Użytkownicy nie powinni nikomu udostępniać swoich kluczy ani seedów. Zaleca się przechowywać kopie offline oraz korzystać z portfeli sprzętowych lub multisig. Firmy powinny wdrożyć polityki ograniczające dostęp do kluczy – np. rozdzielanie klucza na części, stosowanie HSM, regularne rotacje.
• Aktualizacje i audyty bezpieczeństwa oprogramowania.
  
  Wiele ataków można by uniknąć przez łatanie znanych podatności. Praktyką powinien być audyt kodu – zwłaszcza w projektach DeFi i blockchain. DORA wymaga testów odporności, w tym testów penetracyjnych. Giełdy powinny zatrudniać etycznych hakerów.
• Szkolenie pracowników i świadomość zagrożeń.
  
  Phishing, socjotechnika, fałszywe potwierdzenia – personel musi być na to przygotowany. DORA wymaga szkoleń z cyberhigieny. Dobre firmy organizują testy czujności (np. kampanie phishingowe).
• Segmentacja systemów i zasada ograniczonego zaufania.
  
  Infrastruktura powinna być projektowana tak, by jedno przełamanie nie dawało dostępu do wszystkiego. Oddzielenie systemów transakcyjnych od publicznych, wielopoziomowe autoryzacje, monitoring nietypowych działań (np. z pomocą AI) – to dziś standard. W 2022 r. 82% kradzieży krypto dotyczyło DeFi, głównie z powodu luk w wykrywaniu anomalii.
• Ubezpieczenia i fundusze rezerwowe.
  
  Nie jest to środek techniczny, ale rynkowa praktyka. Giełdy tworzą fundusze SAFU (Secure Asset Fund for Users) – rezerwy na pokrycie strat klientów. Przykładowo Binance posiada taki fundusz. Choć regulacje tego nie wymagają, to dla użytkowników to sygnał, że firma poważnie traktuje ryzyko.

Podsumowanie

Kombinacja nowych regulacji i dobrych praktyk technicznych ma uczynić rynek kryptowalut bardziej odpornym na cyberzagrożenia. Unia Europejska, wprowadzając DORA i NIS2, wysyła jasny sygnał: era nieskrępowanej wolności w świecie krypto się kończy, nadchodzi czas dojrzałości i odpowiedzialności.

Firmy krypto muszą zapewnić poziom bezpieczeństwa porównywalny z tradycyjnymi instytucjami finansowymi – bo operują na majątku tysięcy klientów. To duże wyzwanie, ale i szansa: bezpieczniejsze kryptowaluty mogą stać się bardziej atrakcyjne dla głównego nurtu użytkowników.

Odpowiedzialność spoczywa nie tylko na firmach i regulatorach, ale też na nas – użytkownikach. Nawet najlepsze prawo i technologia nie uchronią przed utratą środków, jeśli sami będziemy lekkomyślni – np. padniemy ofiarą phishingu, czy zaniedbamy zabezpieczenia swojego portfela. Edukacja i ostrożność są kluczowe.

Nowe unijne przepisy to krok we właściwym kierunku – czynią krypto bardziej przewidywalnym i bezpiecznym elementem świata finansów. Jednak przyszłość pokaże, na ile skutecznie zostaną one wdrożone i czy nadążą za kreatywnością cyberprzestępców.

Jedno jest pewne: gra toczy się o wysoką stawkę. W cyfrowych portfelach leżą dziś miliardy dolarów – które dla jednych są innowacją finansową, a dla innych łakomym kąskiem. Dzięki DORA, NIS2 i zaawansowanym środkom ochrony mamy szansę, że ten cyfrowy majątek będzie lepiej strzeżony niż kiedykolwiek wcześniej.