服务
DORA 与 MiCA 合规解决方案
借助 CertiK 保护您的业务，提升 DORA 和 MiCA 合规就绪度。我们的专家提供覆盖应用程序、基础设施、智能合约和关键支持系统的端到端安全测试。
概述
DORA 和 MiCA 为何重要
DORA 和 MiCA 正在提高欧盟数字资产企业的门槛。两者共同强化了对运营韧性、网络安全、事件应对准备和监管问责的要求。
数字运营韧性法案
聚焦 ICT 风险管理、运营韧性、事件报告、测试和第三方监督。加密资产市场法规
为加密资产发行方和服务提供商建立监管框架，对治理、安全和透明度提出严格要求。
服务范围
谁必须遵守
欧盟境内属于以下类别的加密货币和数字资产实体，必须完成注册并遵守运营与安全标准。这些要求旨在确保透明度并保护数字资产。
中心化交易所
中心化交易所是用户交易加密货币的平台，并作为中介机构托管用户资金。交易平台
通过先进的交易工具、流动性聚合和协议集成，为用户提供进入加密市场的渠道。加密钱包
自托管加密钱包让用户能够存储、发送和接收加密货币，同时完全掌控自己的资金，并对自身资产负责。加密资产托管机构
托管解决方案提供企业级服务，借助先进的安全措施帮助用户安全地持有和管理加密钱包。DeFi 协议
通过区块链网络上的智能合约提供借贷、质押和链上交易等去中心化金融服务。Layer 1 与 Layer 2 区块链
区块链核心基础设施包括节点、验证节点和共识机制，在维护交易完整性的同时，支撑安全可靠的分布式账本。代币发行方
代币发行可创建稳定币和代币化现实世界资产等数字资产，这些资产可在区块链上以数字方式持有和交换。跨链桥
跨链桥是一种能够在不同区块链网络之间转移加密货币的技术。
合规
合规要求
数字资产实体必须坚持严格的运营与网络安全标准，确保服务具备韧性且安全可靠。实现合规需要在风险管理、事件处理、系统测试和第三方供应商监督方面采取全面方法，并为保持运营与技术韧性提供清晰的框架。
ICT 风险管理
构建并维护具有韧性的 ICT 与网络安全风险框架。- CertiK 如何提供帮助风险评估、威胁建模、安全审查、修复支持以及 CertiK SkyInsights 平台。
事件报告
建立检测、处理、记录和报告重大事件的流程。- CertiK 如何提供帮助安全事件响应支持、安全事件调查和监管合规报告。
运营韧性测试
持续测试关键系统、应用程序和基础设施。- CertiK 如何提供帮助渗透测试、源代码审查、智能合约审计和基础设施评估。
第三方风险管理
监控并管理对关键供应商和外部合作伙伴的依赖。- CertiK 如何提供帮助第三方风险评估、尽职调查支持以及外部依赖的控制审查。
解决方案
CertiK 的 DORA 与 MiCA 合规解决方案
了解我们的服务在实践中如何对应 DORA 要求，并提供详细、可落地的安全与合规解决方案。
智能合约审计
- 要求如使用或开发智能合约，应由经验丰富的第三方审计机构采用结构化方法进行审查。
- CertiK 解决方案智能合约与 Layer 1 区块链审计借助专家分析和数学技术，验证并测试智能合约抵御可能造成重大经济损失的区块链攻击的能力，同时确认底层区块链协议安全并按预期运行。
- MiCA 第 4.b 条如申请人使用和/或开发智能合约，须对其进行网络安全源代码审查。
应用渗透测试
- 要求金融实体应确保由独立方对支持重要功能的所有关键应用程序开展数字运营韧性测试，每年进行测试，并在部署或重新部署任何新的或现有应用程序之前开展漏洞评估。
- CertiK 解决方案CertiK 采用与 OWASP 一致的方法开展应用渗透测试，识别漏洞并提供按优先级排序的修复建议。基于场景的测试模拟真实攻击条件，评估应用程序在现实威胁下的表现。
- DORA 第 24.6 条除微型企业外，金融实体应确保至少每年对所有支持关键或重要功能的 ICT 系统和应用程序开展适当测试。
- MiCA 第 4.b 条依据（EU）2022/2554 号条例第 3(22) 条的定义，对支持关键和重要功能的 ICT 资产开展渗透测试，并采用以下全部审计测试方法：黑盒、灰盒阶段和白盒阶段。
源代码审查
- 要求金融实体应在可行时对应用程序开展源代码审查，以发现漏洞和安全弱点，包括开源分析和安全软件开发生命周期评估。
- CertiK 解决方案源代码审查用于识别应用程序代码中的安全缺陷、逻辑错误和潜在漏洞，并提供可落地的建议，以加强安全性并持续符合监管标准。
- MiCA 第 4.b 条（渗透测试）白盒阶段：审计人员在开始分析之前，尽可能多地掌握技术信息（架构、源代码、电话联系方式、标识符等）。
- MiCA 第 4.b 条（智能合约）如申请人使用和/或开发智能合约，须对其进行网络安全源代码审查。
基础设施渗透测试
- 要求金融实体应每年对支持重要功能的所有关键基础设施组件开展测试，包括网络与物理安全评估，并在部署或重新部署新的或现有基础设施组件之前开展漏洞评估。
- CertiK 解决方案基础设施渗透测试采用 PTES 和 NIST SP 800-115 方法，通过贴近真实攻击行为的场景化模拟，识别网络、服务器和关键系统中的漏洞。
- DORA 第 24.6 条除微型企业外，金融实体应确保至少每年对所有支持关键或重要功能的 ICT 系统和应用程序开展适当测试。
- DORA 第 24.4 条除微型企业外，金融实体应确保测试由独立方实施，无论其为内部还是外部。
- DORA 第 25.2 条中央证券存管机构和中央对手方应在部署或重新部署新的或现有的应用程序及基础设施组件之前开展漏洞评估。
- MiCA 第 4.b 条一项网络安全审计，涵盖对支持关键和重要功能的 ICT 资产进行漏洞评估与扫描、网络安全评估和配置审查。
基础设施配置审查
- 要求金融实体应对支持关键和重要功能的 ICT 资产开展配置审查，确保系统和网络设置符合运营韧性要求。
- CertiK 解决方案配置审查对服务器、终端和网络设备进行评估，验证安全设置与战术加固能力。该服务可识别差距或错误配置，并提供指导，帮助客户修复问题并符合监管要求。
- MiCA 第 4.b 条一项网络安全审计，涵盖对支持关键和重要功能的 ICT 资产的配置审查，相关功能依据（EU）2022/2554 号条例第 3(22) 条定义。
Web3 安全事件响应
- 要求金融实体必须及时报告重大 ICT 相关事件，包括初始报告、更新报告和最终报告，并建立预警指标以发现问题。
- CertiK 解决方案使用自主研发的工具为 Web3 事件调查提供专业支持，帮助组织分析、评估并应对去中心化环境中的安全问题。
- DORA 第 19.4 条金融实体应就重大 ICT 相关事件，向相关主管机构提交初始通知、中期报告和最终报告。
- DORA 第 17.3.a 条ICT 相关事件管理流程应建立预警指标。
- DORA 第 19.5 条金融实体可将报告义务外包给第三方服务提供商，但金融实体仍须承担全部责任。
监管执法
不合规的处罚
了解未能满足 DORA 和 MiCA 要求的严重后果。
运营限制
- MiCA可暂时禁止（最长 10 年）管理层成员在 CASP 中履职。授权可被暂停或撤销。非受监管实体须接受指派评估人。
- DORA如果风险未得到解决，可能被暂停使用关键 ICT 第三方服务提供商，进而影响运营连续性。
罚款
- MiCA
- 普通加密资产：500 万欧元或年营业额的 3%
- ART 和 EMT：500 万欧元或年营业额的 12.5%
- CASP：500 万欧元或年营业额的 5%
- 市场滥用：250 万至 1,500 万欧元，或营业额的 2% 至 15%
- 自然人：最高 100 万欧元，另按获利倍数加重处罚
- DORA违规最高可处全球年度总营业额 2% 的罚款。
资源
了解更多相关资源
How a Global Payments Provider Assessed a Settlement Token Infrastructure With CertiKA global payments provider developed a token-based settlement platform to support digital-asset settlement in the European market. CertiK conducted an independent, multi-layer security assessment covering the in-scope applications, APIs, private-blockchain environment, and smart contract.
政策风向How Central Banks Secure Digital Currency before Launch: Inside the CertiK and NBKR DealKyrgyzstan’s central bank is developing a digital version of its national currency, the Digital Som. On 9 September 2026, it signed a Memorandum of Understanding with CertiK, the largest Web3 security services provider, on Digital Som security and broader digital asset oversight. The partnership spans security assessment, formal verification, operational resilience, and ongoing risk monitoring, connecting technical security with longer-term risk management and regulatory oversight.
政策风向Navigating "Regulation Crypto Assets": What the SEC's Proposed Framework Means for Web3 ProjectsThe regulatory landscape for Web3 in the U.S. is undergoing a significant transformation, even in the absence of the long awaited CLARITY Act. On August 18, 2026, the U.S. Securities and Exchange Commission (SEC) issued a notice of proposed rulemaking titled Regulation Crypto Assets (Release No. 33-11434; File No. S7-2026-27).
技术洞察What Is a Crypto-Asset Service Provider (CASP)?A crypto-asset service provider (CASP) is any business offering any regulated “‘crypto-asset service” as defined under the EU's MiCA framework. Learn what qualifies, what compliance requires, and how to meet it.
研究报告Stablecoin Regulations in Europe and Singapore: Single Fiat Currency Pegged StablecoinsThe last year has seen an unprecedented number of institutions turning their attention to onchain opportunities, and there are many financial organizations eager to offer a variety of Web3 products and services to these investors. However, an omnipresent hurdle is the lack of unified global regulation of crypto-assets.
研究报告MiCA’s Benefits and Limitations: An Auditing Perspective on EU Stablecoin RegulationThe global regulatory landscape for cryptocurrencies varies widely, from countries fully embracing the financial technology for its innovation and economic potential to those completely banning its use. This article examines the EU's approach to regulating stablecoins, emphasizing the role of auditors in security and risk assessments under these regulations.