从故障到通报：DORA 如何要求欧盟境内的数字资产服务商报告系统事件

规则背景：把IT事件当作金融风险管理的一部分

欧盟的数字运营韧性法案（通常简称 DORA，条例编号（EU）2022/2554，于 2025 年 1 月 17 日起适用）解决的是一个老问题：金融机构的账务逻辑再稳健，只要IT系统宕机、被勒索或依赖的云服务中断，客户照样受损。法案把信息通信技术风险纳入与信用风险同级的治理要求，覆盖银行、支付机构、电子货币机构等传统金融实体，并把为它们提供关键服务的第三方ICT供应商纳入监督框架。对中文读者更有关系的一点是：欧盟加密资产市场法规（MiCA）与 DORA 在事件报告、治理要求上互相衔接，在欧盟境内受密资产服务商牌照约束的主体，其严重运营事件同样要进入统一的事件通报链条。

报告链条怎么运转

法案逻辑不是出了事就写报告，而是先分类、再报告、后复盘。实体需要先建立事件分类标准，把一次故障按影响客户数量、金额、持续时间与扩散范围归入不同等级；对达到严重级别的事件，进入分层通报：先向牵头主管机关提交结构化的初步通报，随后按监管要求补充阶段性进展，事件关闭后提交最终报告。事件同时要求向相关客户与合作方披露其影响与应对措施。这套流程解决的核心问题是信息不对称：监管方获得横向可比的事件数据，市场得以在不同机构之间比较韧性表现。它留下的边界同样清楚——报告义务针对的是机构与监管之间的信息流，并不自动等于对每位用户的赔偿承诺，也不覆盖未受监管的境外服务实体。

对用户意味着什么

普通用户可以从三个具体动作里受益。第一，事件发生后优先寻找平台的正式状态页与公告存档，而非法外渠道的截图传闻；在欧盟持牌的机构，其严重事件理应有对客户的说明性沟通，缺失本身就是需要追问的信号。第二，把平台过往的故障与通报记录纳入选择标准：一次宕机是运气问题，反复出现的同类事件是治理问题。第三，理解报告时限保护的是“监管看到事实的速度”，不是“资金被恢复的速度”；如果你的资产因为平台系统故障被延误处置，维权路径仍然是合同条款、投诉渠道与所在司法辖区的程序，而不是等待监管替你把钱找回来。

一个常见误区的展开

不少人把 DORA 理解成欧盟要求所有加密平台公开事故报告。这是不准确的：法案适用于在欧盟金融监管框架内持牌的实体，且披露的对象首先是主管机关；对用户的公开程度取决于条款与个案。换言之，不能因为“有 DORA”就假设任何在欧洲有用户的平台都必须公开事故；也不能因为平台没发公告，就推断它没有向监管报告。核验的落点是监管机构的公开登记册与平台自己的牌照声明，而不是新闻稿的措辞。

小结

DORA 把一次系统故障从公关事件变成有时限、有格式、可横向比较的监管事件，它提高了加密服务行业运营信息的可获得性，也清楚地把责任层级划在机构与监管之间。对用户来说，它是校准预期的工具：看一家平台怎么处理故障、是否留下可查的记录，比看它的可用性承诺更能说明风险。本文仅介绍公开规则的机制与适用边界，不构成投资建议，也不构成对任何机构合规状态的评价。