DORA.
Nařízení EU o digitální provozní odolnosti finančního sektoru: působnost, hlavní povinnosti a průběžné prokazování.
- Nařízení (EU) 2022/2554
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Doba čtení: 7 min
Stručná odpověď.
DORA je nařízení EU o digitální provozní odolnosti finančního sektoru. Od 17. ledna 2025 vyžaduje od dotčených finančních subjektů spolehlivé řízení rizik IKT, incidentů, testování odolnosti a závislostí na poskytovatelích služeb. Povinnosti se řídí rolí a působností; obecný certifikát nenahrazuje jejich průběžné plnění.
Nařízení DORA upravuje průběžný provoz.
DORA znamená Digital Operational Resilience Act a označuje nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru. Nařízení se použije od 17. ledna 2025. Jeho cílem je umožnit zachování a obnovu finančních služeb i při významných narušeních IKT. Evropská komise chápe prevenci, omezení dopadů a obnovu společně jako úkol odolnosti.
DORA přesahuje obranu proti kybernetickým útokům. Finanční službu mohou narušit také technické výpadky, nepoužitelné postupy obnovy a závislosti na externích službách. Rozhodující proto je, jak spolupracují odpovědní za podnikové činnosti, technologie a poskytovatelé služeb. Samotná sbírka bezpečnostních směrnic ještě neukazuje, zda platební proces po narušení skutečně znovu funguje.
Nařízení konkretizují doplňující regulační a prováděcí technické normy. Oficiální rejstřík Komise uvádí například právní akty k hlášení incidentů a subdodávkám. Zavedení proto vyžaduje aktuálně použitelné konečné předpisy a požadavky příslušného orgánu dohledu. Starý kontrolní seznam nebo obecný kalendář hlášení toto posouzení nenahrazují.
Kterých finančních subjektů a poskytovatelů se DORA týká.
DORA zahrnuje určité právní subjekty finančního sektoru podle čl. 2 nařízení (EU) 2022/2554. Patří sem například úvěrové instituce, platební instituce, investiční podniky a pojišťovny, vždy se zohledněním zákonných výjimek. Označení FinTech, startup nebo malý a střední podnik o této otázce nerozhoduje. EIOPA ve své konečné odpovědi DORA 136–3193 vysvětluje, že zařazení vychází z druhu právního subjektu a společně využívané IKT nelze vyloučit pouze na základě jednotlivých činností.
Běžný poskytovatel služeb IKT z řad třetích stran má jinou roli než dotčený finanční subjekt. Finanční zákazníci mohou požadovat smluvní závazky, podporu při incidentech a průkazné důkazy. Od toho je třeba odlišit výslovné označení evropskými orgány dohledu za kritického poskytovatele služeb IKT z řad třetích stran podle čl. 31 DORA. Samotná podpora kritické funkce zákazníka toto označení nezakládá, jak vysvětlují informace ESMA o rámci dohledu.
Přiměřenost znamená odůvodněné nastavení povinností podle podniku a jeho rizik. Nejde o obecnou výjimku pro malé podniky. Zjednodušený rámec řízení rizik IKT podle čl. 16 DORA je třeba posoudit samostatně. Než určíte rozsah zavedení, zaznamenejte společně roli, možné výjimky, příslušný orgán a důvody zařazení.
Požadavky DORA propojují šest pracovních oblastí.
Požadavky DORA propojují vedení, řízení rizik a ověřitelný provoz. Následující přehled shrnuje hlavní oblasti nařízení; výměna informací o kybernetických hrozbách je dobrovolná. ESMA tato témata popisuje a pro jejich konkretizaci odkazuje na příslušné technické normy.
Vedení a odpovědnost.
Vedoucí orgán nese podle čl. 5 DORA odpovědnost za řízení rizik IKT. Patří sem rámec, v němž jsou sladěna rozhodnutí, odpovědnosti a potřebné zdroje. Zadání externích služeb nezbavuje finanční subjekt odpovědnosti. Vedení musí mít přehled o podstatných rizicích a dosud nepřijatých rozhodnutích.
Řízení rizik IKT a kontinuita.
Články 5 až 16 DORA upravují rámec řízení rizik IKT včetně zvláštních pravidel pro zjednodušený rámec. Identifikace, ochrana, detekce, reakce, obnova a poučení tvoří celek. Výchozím bodem je dotčená finanční funkce s jejími systémy a závislostmi. Dokumentovaný cíl obnovy vyžaduje odpovídající technické a organizační schopnosti.
Řešit a hlásit incidenty.
Články 17 až 23 DORA upravují incidenty související s IKT a jejich hlášení. Odpovědné osoby musí vyhodnotit dopady, provést relevantní klasifikaci a zajistit požadovaná hlášení. Podrobnosti navíc vyplývají z použitelných technických norem. Výpadek dodavatele je proto třeba nejprve odborně zařadit, místo automatického převzetí stejného ohlašovacího statusu pro všechny předpisy.
Testovat digitální provozní odolnost.
Články 24 až 27 DORA upravují testování odolnosti. Různé druhy testů odpovídají na různé otázky: krizové cvičení ověřuje rozhodování, zatímco test obnovy ověřuje technické předpoklady. Penetrační testování na základě hrozeb, zkráceně TLPT, se týká vybraných finančních subjektů. Nejde o plošný požadavek na každého poskytovatele finančních služeb nebo každého jeho dodavatele.
Řídit rizika IKT spojená s třetími stranami.
Články 28 až 30 DORA propojují rizika poskytovatelů, smluvní požadavky a vlastní odpovědnost finančního subjektu. Registr informací o smluvních ujednáních týkajících se IKT je třeba odlišovat od libovolného seznamu dodavatelů. Zvláštní pozornost vyžadují podpora zásadních nebo důležitých funkcí, závislosti, smluvní součinnost a proveditelné možnosti ukončení spolupráce. Samostatný dohled nad kritickými poskytovateli upravuje čl. 31 a násl. DORA.
Cíleně vyměňovat informace o hrozbách.
Čl. 45 DORA umožňuje ujednání o výměně informací o kybernetických hrozbách. Účast je dobrovolná a vyžaduje jasná pravidla důvěrnosti a používání. Výměna informací doplňuje vlastní bezpečnostní provoz; nenahrazuje hodnocení incidentu ani požadované hlášení příslušnému orgánu.
Zavedení DORA: od role k ověřené schopnosti.
Vyjasnit roli a odpovědnosti.
Pro příslušný právní subjekt zdokumentujte působnost, výjimky, vztah k orgánu dohledu a odpovědné osoby, aby další práce vycházela z odůvodněného zařazení.
Zachytit finanční funkce a závislosti.
Propojte důležité funkce se skutečně používanými systémy, informacemi a externími službami, abyste odhalili možné následky narušení a společné závislosti.
Posoudit rizika a ujednání.
Spolu s odborným útvarem, technologickým týmem a nákupem ověřte, zda opatření, závazky poskytovatelů a smlouvy podporují požadovanou kontinuitu a kde jsou nutná rozhodnutí vedení.
Procvičit incidenty a obnovu.
Na vhodných scénářích procvičte detekci, hodnocení, eskalaci a obnovu včetně potřebné spolupráce s poskytovateli služeb a zdokumentujte výsledky.
Průběžně aktualizovat důkazy a změny.
Po podstatných změnách a nových poznatcích ověřte, zda jsou odpovědnosti, registry, postupy a testy nadále sladěné a zda byly zjištěné slabiny skutečně odstraněny.
Důkazy DORA vznikají v průběžném provozu.
Plnění DORA se dokládá dohledatelnými rozhodnutími a ověřitelným zavedením. Podle použitelné povinnosti sem patří posouzení rizik, pravidla kontinuity, záznamy o incidentech, výsledky testů a podklady k ujednáním o IKT. Z dokladu by mělo být patrné, kterého právního subjektu a funkce se týká a co bylo skutečně ověřeno. Protokol o testu s nevyřešenými problémy nepotvrzuje, že tyto problémy již byly odstraněny.
Příslušné orgány vykonávají dohled nad finančními subjekty v zákonném rámci, mimo jiné podle čl. 46 a násl. DORA. Od toho se liší evropský dohled nad výslovně označenými kritickými poskytovateli služeb IKT z řad třetích stran podle čl. 31 až 44. ESMA tento dohled popisuje jako doplněk vlastní odpovědnosti a stávajícího dohledu nad finančními subjekty. Obecný certifikát DORA s jednotnou platností tyto vztahy a povinnosti nenahrazuje.
Další čtení na blogu.
DORA a další rámce.
DORA je pro dotčené finanční subjekty v relevantních oblastech odvětvovým právním aktem Unie ve vztahu k NIS2; nevyplývá z toho plošné osvobození každé finanční skupiny nebo jejího dodavatelského řetězce od všech povinností BSIG. ISO 27001 může organizačně strukturovat ISMS, nenahrazuje však požadavky DORA a jejich doklady. Povinnosti ochrany osobních údajů podle GDPR je třeba posuzovat samostatně, zejména pokud narušení zasahuje také osobní údaje.
V Secani.
Secani obsahuje redakční katalog DORA založený na nařízení (EU) 2022/2554 s vybranými doplňujícími právními akty. Profilové údaje rozlišují mimo jiné potvrzené finanční subjekty a úplný či zjednodušený rámec. Tyto údaje podporují dokumentovanou práci; neprovádějí automatické právní zařazení. Katalog není úředním překladem ani potvrzením shody s DORA.
Začněte jedním právním subjektem a jednou funkcí.
Nejprve vyberte relevantní právnickou osobu a konkrétní finanční funkci. Shromážděte její zařazení, odpovědnosti, systémové závislosti, ujednání o službách a poslední výsledky testů. Poté s odpovědnými osobami ověřte, která tvrzení jsou již doložena a jaké rozhodnutí je třeba přijmout jako další. Podrobný blogový průvodce tento postup dále rozvádí.
Zdroje.
- Nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru
- Evropská komise: kybernetická odolnost
- Evropská komise: akty v přenesené pravomoci a prováděcí akty k DORA
- ESMA: DORA, hlavní oblasti a technické normy
- ESMA: dohled nad kritickými poskytovateli služeb IKT z řad třetích stran
- EIOPA: otázky a odpovědi DORA 136–3193 k čl. 2
- Pokyny Komise k čl. 4 NIS2, 2023/C 328/02
Časté dotazy.
Ne. Rozhodující je právní subjekt, jeho zákonná kategorie a možné výjimky podle čl. 2 DORA. Samotné tržní označení ani malá velikost podniku nezakládají použitelnost ani osvobození.
Ne. Označení za kritického poskytovatele služeb IKT z řad třetích stran probíhá v evropském rámci dohledu podle čl. 31 DORA. Samotný vztah se zákazníkem nebo podpora jeho kritické funkce toto označení nenahrazují.
Ne. Penetrační testování na základě hrozeb podle čl. 26 DORA se týká vybraných finančních subjektů. Ostatní použitelné požadavky na testování odolnosti je třeba posoudit samostatně.
Ne. Certifikát ISO 27001 potvrzuje ISMS v uvedeném rozsahu a nenahrazuje zákonné povinnosti DORA. Pro ně zůstávají rozhodující použitelné požadavky, skutečné zavedení a důkazy o něm.
Propojte odpovědnost a důkazy.
Podívejte se, jak Secani podporuje práci s regulatorními požadavky.
Tato stránka obecně vysvětluje DORA a nenahrazuje právní posouzení konkrétního případu. Rozhodující jsou platné právní akty a požadavky příslušného orgánu dohledu.