Як підготувати компанію до вимог MiCA через впровадження ISO 27001
Регламент ЄС MiCA (Markets in Crypto-Assets) поетапно набирає чинності у 2024–2025 роках і змінює правила гри для всіх, хто працює з криптоактивами на європейському ринку. Для українських бізнесів, які надають послуги в ЄС або співпрацюють із європейськими партнерами, це означає одне: довести керованість ризиків, надійність процесів і зрілість кіберзахисту. Найпрактичніший шлях — ISO/IEC 27001:2022, міжнародний стандарт системи менеджменту інформаційної безпеки (ISMS). ТОВ «Систем Менеджмент» допомагає перетворити вимоги MiCA на робочі політики, процедури та контрольні заходи, які легко проходять перевірку регулятора і аудитора.
Попит на впровадження ISO 27001 під MiCA Україні зростає, адже регламент акцентує відповідальність постачальників криптопослуг (CASPs) за безпеку зберігання активів клієнтів, управління ключами, безперервність процесів, інцидент-менеджмент і контроль аутсорсингу. ISO 27001 дає системний «каркас», щоб це все не було хаотичним набором документів, а стало частиною щоденної роботи.
Які проблеми MiCA закриває ISO 27001
MiCA вимагає не стільки набір формальних документів, скільки чіткої системи, що працює щодня: управління ризиками, прозорий розподіл відповідальності, доказові журнали подій, регулярні тести планів безперервності, контроль постачальників, інцидент-репортинг у визначені строки. У версії ISO/IEC 27001:2022 ці вимоги корелюють з актуалізованим переліком контролів (Annex A), тож відповідність можна вибудувати покроково та доказово.
Нижче — концентрована мапа MiCA → ISO 27001, яку варто взяти за основу робочого плану.
- Кастоді та ключі клієнтів → A.5.15 «Контроль доступу», A.8.24 «Керування криптографічними ключами», A.8.12 «Запобігання витокам даних»: політики генерації/зберігання/ротації ключів, сегрегація середовищ, апаратні модулі безпеки (HSM), принцип мінімальних привілеїв.
- Управління ризиками та відповідальність керівництва → Clauses 4–10, A.5.1 «Інформаційна безпека у стратегічному управлінні»: реєстр ризиків, критерії прийнятності, ролі та KPI безпеки, щорічний перегляд ISMS.
- Інцидент-менеджмент і повідомлення регулятору → A.5.24 «Планування реагування на ІТ-інциденти», A.5.25 «Уроки, винесені з інцидентів»: класифікація інцидентів, RACI, playbooks, журнали подій і часові межі ескалації.
- Операційна стійкість та безперервність → A.5.30 «ІКТ-готовність до безперервності», A.5.29 «Планування готовності»: BIA, RTO/RPO, сценарні відмови, регулярні тести DR/BCP.
- Аутсорсинг і ланцюг постачання → A.5.19–A.5.23 «Управління постачальниками»: due diligence, SLA з вимогами безпеки, моніторинг відповідності, право на аудит, exit-плани.
- Захист продуктів і змін → A.8.25–A.8.28 «Безпечна розробка та зміни», A.8.9 «Конфігураційний менеджмент»: безпечний SDLC, code review, SAST/DAST, контроль релізів і «четверті очі».
- Хмарні сервіси та доступи → A.5.20 «Керування хмарними послугами», A.8.2 «Ідентифікація та автентифікація»: Zero Trust, MFA, управління привілеями, регулярний recertification доступів.
- Прозорість та документація → вимоги Clauses 7.5/9: актуальні політики, протоколи нарад, докази тренінгів, метрики, звіти аудитів.
Після такої мапи видно головне: «підготовка компанії до MiCA вимог через ISO 27001» — це не разова «паперова акція», а налаштування процесів, які дають вам передбачуваність і контрольованість із дня в день.
Дорожня карта впровадження: від GAP-аналізу до сертифікації
- Скопінг ISMS під бізнес-модель CASP. Визначаємо межі: кастоді, брокеридж, обмін, токенізація тощо. Паралельно — інвентар активів і даних.
- GAP-аналіз проти MiCA та Annex A. Проведіть аудит інформаційної безпеки ISO 27001: виявляємо прогалини, ризики, швидкі перемоги (quick wins) і пріоритети.
- Оцінка ризиків та SoA. Будуємо реєстр ризиків, обираємо контролі, формуємо Statement of Applicability з прямими посиланнями на вимоги MiCA.
- Політики й процедури, які працюють. Ключові документи: управління ключами, інцидент-менеджмент, доступи та привілеї, управління змінами, BCP/DR, поставники, журналювання та зберігання логів.
- Технічна реалізація контролів. SIEM/SOAR, секрет-менеджмент, MFA/PAM, DLP, EDR/XDR, шифрування даних і ключів, сегментація мережі, резервне копіювання з регулярними відновленнями.
- Навчання персоналу. Соціальна інженерія лишається частою причиною інцидентів — тому фішинг-симуляції, контекстні тренінги для Dev/OPS, Runbooks для support-команди.
- Тести стійкості. Table-top і технічні тести інцидент-процедур, відновлення із бекапів, failover, сценарії відмов постачальника.
- Внутрішній аудит і перегляд керівництвом. Переконуємось, що ISMS відповідає власним політикам, а метрики/цілі виконуються.
- Сертифікаційний аудит. Коли процеси стабільні й доказова база готова — обираємо орган і проходимо сертифікація ISO 27001 для криптовалютних компаній під MiCA. Це спрощує діалог із європейськими партнерами та регуляторами.
Нюанс, про який часто забувають: MiCA тісно перетинається з управлінням постачальниками та хмарами. Якщо ваші ключові процеси в cloud, додайте до дорожньої карти вимоги хмарної безпеки та чіткі SLA з провайдерами. А якщо опрацьовуєте персональні дані — розгляньте інтеграцію з ISO 27701 для узгодження з вимогами приватності.
Типові запитання від СЕО та CISO
- Чи достатньо ISO 27001 для MiCA? Стандарт не замінює норми регулятора, але значно полегшує їх виконання: у вас є система ризик-менеджменту, контрольні заходи, логування, метрики та докази.
- Скільки це триває? Все залежить від зрілості. Команда, що вже має базові політики, йде швидше; якщо старт з нуля — закладайте поетапність.
- Чи треба сертифікуватися обов’язково? Формально MiCA вимагає відповідності, а сертифікація — це доказовість і довіра ринку. Для криптокомпаній вона часто стає фактичним «квитком» у ланцюг постачання великих гравців.
Як ми допомагаємо
Систем Менеджмент працює як інтегратор: поєднуємо вимоги MiCA з практиками ISO 27001, допомагаємо з побудовою процесів, готуємо документи й проводимо тренінги. Ми беремо на себе найскладнішу частину — щоб ваша команда зосередилась на продукті та зростанні.
Готові розпочати підготовка компанії до MiCA вимог через ISO 27001 без зайвої бюрократії? Дивіться деталі стандарту та етапи впровадження тут: ISO/IEC 27001:2022. Якщо вам потрібен первинний аудит інформаційної безпеки або повне впровадження ISO 27001 під MiCA Україні, команда ТОВ «Систем Менеджмент» підготує план дій і допоможе пройти сертифікацію з першої спроби.
