DORA.
Uredba EU-a o digitalnoj operativnoj otpornosti financijskog sektora: područje primjene, glavne obveze i trajno dokazivanje.
- Uredba (EU) 2022/2554
- Autor: Derya Altinay
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
DORA je uredba EU-a o digitalnoj operativnoj otpornosti financijskog sektora. Od 17. siječnja 2025. od obuhvaćenih financijskih subjekata zahtijeva pouzdano upravljanje IKT rizicima, incidentima, testiranjem otpornosti i ovisnostima o pružateljima usluga. Obveze ovise o ulozi i području primjene; opći certifikat ne zamjenjuje njihovo trajno ispunjavanje.
Uredba DORA uređuje svakodnevno poslovanje.
DORA znači Digital Operational Resilience Act i označava Uredbu (EU) 2022/2554 o digitalnoj operativnoj otpornosti financijskog sektora. Uredba se primjenjuje od 17. siječnja 2025. Cilj joj je omogućiti nastavak i obnovu financijskih usluga i pri značajnim IKT poremećajima. Europska komisija prevenciju, ograničavanje posljedica i obnovu zajednički razmatra kao zadaću otpornosti.
DORA nadilazi obranu od kibernetičkih napada. Tehnički kvarovi, neuporabivi postupci obnove i ovisnosti o vanjskim uslugama također mogu narušiti financijsku uslugu. Zato je presudna suradnja poslovnih odgovornih osoba, tehnologije i pružatelja usluga. Sama zbirka sigurnosnih smjernica još ne pokazuje hoće li proces plaćanja nakon poremećaja zaista ponovno funkcionirati.
Dodatni regulatorni tehnički standardi i provedbeni standardi razrađuju Uredbu. Službeni registar Komisije navodi, primjerice, pravne akte o prijavljivanju incidenata i podugovaranju. Provedba zato zahtijeva primjenjiva konačna pravila i zahtjeve nadležnog nadzornog tijela. Stari kontrolni popis ili opći kalendar prijavljivanja ne zamjenjuju tu provjeru.
Koji su financijski subjekti i pružatelji obuhvaćeni.
DORA obuhvaća određene pravne subjekte financijskog sektora prema članku 2. Uredbe (EU) 2022/2554. Primjerice, uključuje kreditne institucije, institucije za platni promet, investicijska društva i društva za osiguranje, uz zakonske iznimke. Naziv FinTech, novoosnovano poduzeće ili MSP nije odlučujući. EIOPA u konačnom odgovoru DORA 136–3193 objašnjava da klasifikacija polazi od vrste pravnog subjekta i da se zajednički IKT ne može isključiti samo na temelju pojedinih djelatnosti.
Obični treći pružatelj IKT usluga ima drukčiju ulogu od obuhvaćenog financijskog subjekta. Financijski klijenti mogu tražiti ugovorna jamstva, podršku pri incidentima i pouzdane dokaze. Od toga treba razlikovati izričito imenovanje ključnim trećim pružateljem IKT usluga od strane europskih nadzornih tijela prema članku 31. DORA-e. Sama podrška ključnoj funkciji klijenta ne dovodi do tog imenovanja, kako objašnjavaju ESMA-ine informacije o nadzornom okviru.
Razmjernost znači obrazloženu razradu obveza prema poduzeću i njegovim rizicima. Nije opće oslobođenje malih poduzeća. Pojednostavnjeni okvir za upravljanje IKT rizicima prema članku 16. DORA-e treba provjeriti zasebno. Zajedno zabilježite ulogu, moguće iznimke, nadležno tijelo i razloge klasifikacije prije određivanja opsega provedbe.
Zahtjevi DORA-e povezuju šest radnih područja.
Zahtjevi DORA-e povezuju upravu, upravljanje rizicima i provjerljiv rad. Sljedeći pregled objedinjuje glavna područja Uredbe; razmjena informacija o kibernetičkim prijetnjama dobrovoljna je. ESMA opisuje te teme i za njihovu razradu upućuje na pripadajuće tehničke standarde.
Uprava i odgovornost.
Prema članku 5. DORA-e upravljačko tijelo odgovorno je za upravljanje IKT rizicima. To uključuje okvir u kojem su odluke, nadležnosti i potrebni resursi usklađeni. Angažiranje vanjskih usluga ne ukida odgovornost financijskog subjekta. Upravi moraju biti vidljivi bitni rizici i odluke koje još nisu donesene.
Upravljanje IKT rizicima i kontinuitet.
Članci 5. do 16. DORA-e obrađuju okvir za upravljanje IKT rizicima, uključujući posebna pravila pojednostavnjenog okvira. Identifikacija, zaštita, otkrivanje, odgovor, obnova i učenje povezani su. Polazište je obuhvaćena financijska funkcija sa sustavima i ovisnostima. Dokumentirani cilj obnove treba odgovarajuće tehničke i organizacijske sposobnosti.
Postupanje s incidentima i prijavljivanje.
Članci 17. do 23. DORA-e uređuju IKT incidente i njihovo prijavljivanje. Odgovorne osobe moraju procijeniti posljedice, provesti relevantnu klasifikaciju i organizirati potrebne prijave. Pojedinosti dodatno proizlaze iz primjenjivih tehničkih standarda. Ispad dobavljača zato prvo treba stručno klasificirati, umjesto automatskog preuzimanja istog statusa prijave za svaki propis.
Testiranje digitalne operativne otpornosti.
Članci 24. do 27. DORA-e obrađuju testiranje otpornosti. Različite vrste testova odgovaraju na različita pitanja: krizna vježba provjerava odluke, a test obnove tehničke pretpostavke. Penetracijsko testiranje vođeno prijetnjama, odnosno TLPT, odnosi se na odabrane financijske subjekte. Nije opći zahtjev za svakog pružatelja financijskih usluga ili svakog njegova dobavljača.
Upravljanje rizicima trećih strana u području IKT-a.
Članci 28. do 30. DORA-e povezuju rizike pružatelja usluga, ugovorne zahtjeve i vlastitu odgovornost financijskog subjekta. Registar informacija o ugovornim aranžmanima za IKT razlikuje se od proizvoljnog popisa dobavljača. Posebnu pozornost zahtijevaju podrška ključnim ili važnim funkcijama, ovisnosti, ugovorna suradnja i održive mogućnosti izlaska. Poseban nadzor ključnih pružatelja obrađuje članak 31. i sljedeći članci DORA-e.
Ciljana razmjena informacija o prijetnjama.
Članak 45. DORA-e omogućuje aranžmane za razmjenu informacija o kibernetičkim prijetnjama. Sudjelovanje je dobrovoljno i zahtijeva jasna pravila povjerljivosti i uporabe. Razmjena informacija nadopunjuje vlastite sigurnosne operacije; ne zamjenjuje procjenu incidenta ni potrebnu prijavu nadležnom tijelu.
Provedba DORA-e: od uloge do provjerene sposobnosti.
Razjasnite ulogu i nadležnost.
Za relevantnu pravnu osobu dokumentirajte područje primjene, iznimke, nadležni nadzor i odgovorne osobe kako bi se daljnji rad temeljio na obrazloženoj klasifikaciji.
Evidentirajte financijske funkcije i ovisnosti.
Povežite važne funkcije sa stvarno korištenim sustavima, informacijama i vanjskim uslugama radi prepoznavanja mogućih posljedica poremećaja i zajedničkih ovisnosti.
Procijenite rizike i sporazume.
Sa stručnim odjelima, tehnologijom i nabavom provjerite podupiru li mjere, obveze pružatelja i ugovori potreban kontinuitet te gdje su potrebne odluke uprave.
Uvježbajte incidente i obnovu.
Na prikladnim scenarijima uvježbajte otkrivanje, procjenu, eskalaciju i obnovu, uključujući potrebnu suradnju s pružateljima usluga, te dokumentirajte rezultate.
Ažurirajte dokaze i promjene.
Nakon bitnih promjena i novih saznanja provjerite jesu li odgovornosti, registri, postupci i testovi i dalje usklađeni te jesu li otkrivene slabosti zaista otklonjene.
Dokazi za DORA-u nastaju tijekom poslovanja.
DORA se dokazuje sljedivim odlukama i provjerljivom provedbom. Ovisno o primjenjivoj obvezi, to uključuje procjene rizika, pravila kontinuiteta, zapise o incidentima, rezultate testova i dokumentaciju IKT aranžmana. Dokaz treba pokazati na koji se pravni subjekt i funkciju odnosi i što je stvarno provjereno. Zapisnik testa s otvorenim problemima nije potvrda da su ti problemi već riješeni.
Nadležna tijela nadziru financijske subjekte u zakonskom okviru, među ostalim prema članku 46. i sljedećim člancima DORA-e. Od toga se razlikuje europski nadzor izričito imenovanih ključnih trećih pružatelja IKT usluga prema člancima 31. do 44. ESMA taj nadzor opisuje kao dopunu vlastite odgovornosti i postojećeg nadzora financijskih subjekata. Opći certifikat DORA s jedinstvenim trajanjem ne zamjenjuje te odnose i obveze.
DORA i drugi okviri.
Za obuhvaćene financijske subjekte DORA je u relevantnim područjima sektorski pravni akt Unije u odnosu na NIS2; iz toga ne proizlazi opće oslobođenje svake financijske grupe ili njezina lanca opskrbe od svih obveza BSIG-a. ISO 27001 može organizacijski strukturirati ISMS, ali ne zamjenjuje zahtjeve DORA-e i njihove dokaze. Obveze zaštite podataka prema GDPR-u treba ocijeniti zasebno, osobito kada poremećaj istodobno zahvaća osobne podatke.
U Secaniju.
Secani sadrži urednički katalog DORA-e na temelju Uredbe (EU) 2022/2554 s odabranim dopunskim pravnim aktima. Podaci profila razlikuju, među ostalim, potvrđene financijske subjekte te puni i pojednostavnjeni okvir. Ti podaci podupiru dokumentiranu obradu; ne donose automatsku pravnu klasifikaciju. Katalog nije službeni prijevod ni potvrda sukladnosti s DORA-om.
Počnite s jednim pravnim subjektom i funkcijom.
Najprije odaberite relevantnu pravnu osobu i konkretnu financijsku funkciju. Prikupite njezinu klasifikaciju, odgovornosti, ovisnosti o sustavima, ugovore o uslugama i najnovije rezultate testova. Zatim s nadležnim osobama provjerite koje su tvrdnje već dokazane i koja je sljedeća potrebna odluka. Detaljan vodič na blogu dodatno razrađuje taj početak.
Izvori.
- Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti financijskog sektora
- Europska komisija: kibernetička otpornost
- Europska komisija: delegirani i provedbeni akti za DORA-u
- ESMA: DORA, glavna područja i tehnički standardi
- ESMA: nadzor ključnih trećih pružatelja IKT usluga
- EIOPA: DORA pitanja i odgovori 136–3193 o članku 2.
- Smjernice Komisije o članku 4. NIS2, 2023/C 328/02
Česta pitanja.
Ne. Presudni su pravni subjekt, njegova zakonska kategorija i moguće iznimke prema članku 2. DORA-e. Sam tržišni naziv ili mala veličina poduzeća ne uspostavljaju ni primjenjivost ni oslobođenje.
Ne. Imenovanje ključnim trećim pružateljem IKT usluga odvija se u europskom nadzornom okviru prema članku 31. DORA-e. Sam odnos s klijentom ili podrška njegovoj ključnoj funkciji ne zamjenjuju to imenovanje.
Ne. Penetracijsko testiranje vođeno prijetnjama prema članku 26. DORA-e odnosi se na odabrane financijske subjekte. Ostale primjenjive zahtjeve za testiranje otpornosti treba provjeriti zasebno.
Ne. Certifikat ISO 27001 potvrđuje ISMS u navedenom području primjene i ne zamjenjuje zakonske obveze DORA-e. Za njih ostaju mjerodavni primjenjivi zahtjevi, stvarna provedba i njezini dokazi.
Povežite odgovornost i dokaze.
Pogledajte kako Secani podupire obradu regulatornih zahtjeva.
Ova stranica općenito objašnjava DORA-u i ne zamjenjuje pravnu provjeru pojedinog slučaja. Mjerodavni su važeći pravni akti i zahtjevi nadležnog nadzornog tijela.