DORA.
Nariadenie EÚ o digitálnej prevádzkovej odolnosti vo finančnom sektore: rozsah pôsobnosti, hlavné povinnosti a priebežné preukazovanie.
- Nariadenie (EÚ) 2022/2554
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Čas čítania: 7 min.
Stručná odpoveď.
DORA je nariadenie EÚ o digitálnej prevádzkovej odolnosti vo finančnom sektore. Od 17. januára 2025 vyžaduje od dotknutých finančných subjektov spoľahlivé riadenie rizík IKT, incidentov, testovania odolnosti a závislostí od poskytovateľov služieb. Povinnosti závisia od roly a rozsahu pôsobnosti; všeobecný certifikát nenahrádza ich priebežné plnenie.
Nariadenie DORA upravuje priebežnú prevádzku.
DORA znamená Digital Operational Resilience Act a označuje nariadenie (EÚ) 2022/2554 o digitálnej prevádzkovej odolnosti vo finančnom sektore. Nariadenie sa uplatňuje od 17. januára 2025. Jeho cieľom je umožniť kontinuitu a obnovu finančných služieb aj pri významných narušeniach IKT. Európska komisia spája prevenciu, obmedzenie dosahov a obnovu do spoločnej úlohy odolnosti.
DORA presahuje obranu proti kybernetickým útokom. Finančnú službu môžu narušiť aj technické výpadky, nepoužiteľné postupy obnovy a závislosti od externých služieb. Rozhodujúce preto je, ako spolupracujú osoby zodpovedné za činnosti, technológie a poskytovatelia služieb. Samotný súbor bezpečnostných smerníc ešte neukazuje, či platobný proces po narušení skutočne znova funguje.
Nariadenie spresňujú doplnkové regulačné a vykonávacie technické predpisy. Oficiálny register Komisie uvádza napríklad právne akty o hlásení incidentov a subdodávkach. Zavádzanie preto vyžaduje príslušné konečné pravidlá a požiadavky kompetentného orgánu dohľadu. Starý kontrolný zoznam ani všeobecný kalendár hlásení toto preverenie nenahrádzajú.
Na ktoré finančné subjekty a poskytovateľov sa DORA vzťahuje.
DORA zahŕňa určité právne subjekty finančného sektora podľa čl. 2 nariadenia (EÚ) 2022/2554. Patria sem napríklad úverové inštitúcie, platobné inštitúcie, investičné spoločnosti a poisťovne, vždy so zohľadnením zákonných výnimiek. Označenie FinTech, startup alebo MSP o tejto otázke nerozhoduje. EIOPA v konečnej odpovedi DORA 136–3193 vysvetľuje, že zaradenie vychádza z typu právneho subjektu a spoločne využívané IKT nemožno vylúčiť iba na základe jednotlivých činností.
Bežný externý poskytovateľ služieb IKT má inú úlohu než dotknutý finančný subjekt. Finanční zákazníci môžu vyžadovať zmluvné záväzky, podporu pri incidentoch a spoľahlivé dôkazy. Od toho treba odlišovať výslovné určenie za kritického externého poskytovateľa služieb IKT európskymi orgánmi dohľadu podľa čl. 31 DORA. Samotná podpora kritickej funkcie zákazníka takéto určenie nespôsobuje, ako vysvetľujú informácie ESMA o rámci dozoru.
Proporcionalita znamená zdôvodnené prispôsobenie povinností podniku a jeho rizikám. Nie je všeobecným oslobodením malých podnikov. Zjednodušený rámec riadenia rizík IKT podľa čl. 16 DORA treba posúdiť samostatne. Pred určením rozsahu zavedenia zaznamenajte spolu rolu, možné výnimky, príslušný orgán a dôvody svojho zaradenia.
Požiadavky DORA prepájajú šesť pracovných oblastí.
Požiadavky DORA prepájajú vedenie, riadenie rizík a overiteľnú prevádzku. Nasledujúca orientácia zoskupuje hlavné oblasti nariadenia; výmena informácií o kybernetických hrozbách je dobrovoľná. ESMA tieto témy opisuje a pri ich spresňovaní odkazuje na príslušné technické predpisy.
Vedenie a zodpovednosť.
Riadiaci orgán nesie podľa čl. 5 DORA zodpovednosť za riadenie rizík IKT. Patrí sem rámec, v ktorom sú zosúladené rozhodnutia, zodpovednosti a potrebné zdroje. Poverenie externých služieb nezbavuje finančný subjekt zodpovednosti. Vedenie musí mať prehľad o existujúcich významných rizikách a o rozhodnutiach, ktoré ešte treba prijať.
Riadenie rizík IKT a kontinuita.
Čl. 5 až 16 DORA sa venujú rámcu riadenia rizík IKT vrátane osobitných pravidiel zjednodušeného rámca. Identifikácia, ochrana, detekcia, reakcia, obnova a učenie patria k sebe. Východiskom je dotknutá finančná funkcia s jej systémami a závislosťami. Zdokumentovaný cieľ obnovy potrebuje zodpovedajúce technické a organizačné schopnosti.
Riešenie a hlásenie incidentov.
Čl. 17 až 23 DORA upravujú incidenty súvisiace s IKT a ich hlásenie. Zodpovedné osoby musia posúdiť dosahy, vykonať príslušnú klasifikáciu a zorganizovať potrebné hlásenia. Podrobnosti navyše vyplývajú z uplatniteľných technických predpisov. Výpadok dodávateľa preto treba najskôr odborne posúdiť namiesto automatického prevzatia rovnakého stavu hlásenia pre každý predpis.
Testovanie digitálnej prevádzkovej odolnosti.
Čl. 24 až 27 DORA sa venujú testovaniu odolnosti. Rôzne druhy testov zodpovedajú rôzne otázky: krízové cvičenie preveruje rozhodnutia, zatiaľ čo test obnovy overuje technické predpoklady. Penetračné testovanie na základe konkrétnej hrozby, skrátene TLPT, sa týka vybraných finančných subjektov. Nie je všeobecnou požiadavkou pre každého poskytovateľa finančných služieb ani pre každého jeho dodávateľa.
Riadenie rizík externých poskytovateľov IKT.
Čl. 28 až 30 DORA spájajú riziká poskytovateľov služieb, zmluvné požiadavky a vlastnú zodpovednosť finančného subjektu. Register informácií o zmluvných dojednaniach IKT treba odlišovať od ľubovoľného zoznamu dodávateľov. Pozornosť si vyžadujú najmä podpora kritických alebo dôležitých funkcií, závislosti, zmluvná súčinnosť a uskutočniteľné možnosti ukončenia využívania služieb. Osobitnému dozoru nad kritickými poskytovateľmi sa venuje čl. 31 a nasl. DORA.
Cielená výmena informácií o hrozbách.
Čl. 45 DORA umožňuje dojednania o výmene informácií o kybernetických hrozbách. Účasť je dobrovoľná a vyžaduje jasné pravidlá dôvernosti a používania. Výmena informácií dopĺňa vlastnú bezpečnostnú prevádzku; nenahrádza posúdenie incidentu ani požadované hlásenie príslušnému orgánu.
Zavedenie DORA: od roly k overenej schopnosti.
Vyjasniť rolu a zodpovednosti.
Pre príslušný právny subjekt zdokumentujte rozsah pôsobnosti, výnimky, vzťah k dohľadu a zodpovedné osoby, aby ďalšia práca vychádzala zo zdôvodneného zaradenia.
Zachytiť finančné funkcie a závislosti.
Prepojte dôležité funkcie so skutočne používanými systémami, informáciami a externými službami, aby ste rozpoznali možné následky narušenia a spoločné závislosti.
Posúdiť riziká a dojednania.
Spolu s odborným útvarom, technológiami a nákupom overte, či opatrenia, záväzky poskytovateľov a zmluvy podporujú požadovanú kontinuitu a kde sú potrebné rozhodnutia vedenia.
Precvičiť incidenty a obnovu.
Na vhodných scenároch precvičte detekciu, posúdenie, eskaláciu a obnovu vrátane potrebnej spolupráce s poskytovateľmi služieb a zdokumentujte výsledky.
Aktualizovať dôkazy a zmeny.
Po významných zmenách a nových poznatkoch overte, či zodpovednosti, registre, postupy a testy naďalej vzájomne zodpovedajú a či boli zistené slabiny skutočne odstránené.
Dôkazy DORA vznikajú v priebežnej prevádzke.
DORA sa preukazuje zdôvodnenými rozhodnutiami a overiteľným zavedením. Podľa uplatniteľnej povinnosti sem patria posúdenia rizík, pravidlá kontinuity, záznamy o incidentoch, výsledky testov a podklady k dojednaniam IKT. Dôkaz by mal ukazovať, ktorého právneho subjektu a funkcie sa týka a čo bolo skutočne overené. Protokol testu s otvorenými problémami nepotvrdzuje, že tieto problémy už boli odstránené.
Príslušné orgány vykonávajú dohľad nad finančnými subjektmi v zákonnom rámci, okrem iného podľa čl. 46 a nasl. DORA. Odlišuje sa od toho európsky dozor nad výslovne určenými kritickými externými poskytovateľmi služieb IKT podľa čl. 31 až 44. ESMA opisuje tento dozor ako doplnenie vlastnej zodpovednosti a existujúceho dohľadu nad finančnými subjektmi. Všeobecný certifikát DORA s jednotnou platnosťou tieto vzťahy a povinnosti nenahrádza.
Ďalšie čítanie na blogu.
DORA a ďalšie rámce.
DORA je vo vzťahu k NIS2 pre dotknuté finančné subjekty v príslušných oblastiach odvetvovým právnym aktom Únie; nevyplýva z toho všeobecné oslobodenie každej finančnej skupiny alebo jej dodávateľského reťazca od všetkých povinností BSIG. ISO 27001 môže organizačne usporiadať ISMS, nenahrádza však požiadavky DORA ani dôkazy o ich splnení. Povinnosti ochrany osobných údajov podľa GDPR treba posúdiť samostatne, najmä ak sa narušenie zároveň týka osobných údajov.
V Secani.
Secani obsahuje redakčne vytvorený katalóg DORA založený na nariadení (EÚ) 2022/2554 s vybranými doplnkovými právnymi aktmi. Profilové údaje rozlišujú okrem iného potvrdené finančné subjekty a úplný i zjednodušený rámec. Tieto údaje podporujú zdokumentovanú prácu; nevykonávajú automatické právne zaradenie. Katalóg nie je úradným prekladom ani potvrdením súladu s DORA.
Začnite jedným právnym subjektom a jednou funkciou.
Najskôr vyberte relevantnú právnickú osobu a konkrétnu finančnú funkciu. Zhromaždite jej zaradenie, zodpovednosti, systémové závislosti, dojednania o službách a posledné výsledky testov. Potom so zodpovednými osobami overte, ktoré tvrdenia sú už doložené a aké rozhodnutie treba prijať ako ďalšie. Podrobný blogový sprievodca tento začiatok ďalej rozvádza.
Zdroje.
- Nariadenie (EÚ) 2022/2554 o digitálnej prevádzkovej odolnosti vo finančnom sektore
- Európska komisia: kybernetická odolnosť
- Európska komisia: delegované a vykonávacie právne akty k DORA
- ESMA: DORA, hlavné oblasti a technické predpisy
- ESMA: dozor nad kritickými externými poskytovateľmi služieb IKT
- EIOPA: DORA, otázky a odpovede 136–3193 k čl. 2
- Usmernenia Komisie k čl. 4 NIS2, 2023/C 328/02
Časté otázky.
Nie. Rozhodujú právny subjekt, jeho zákonná kategória a možné výnimky podľa čl. 2 DORA. Samotné trhové označenie ani malá veľkosť podniku nezakladajú pôsobnosť ani oslobodenie.
Nie. Určenie za kritického externého poskytovateľa služieb IKT sa vykonáva v európskom rámci dozoru podľa čl. 31 DORA. Samotný zákaznícky vzťah ani podpora kritickej funkcie zákazníka toto určenie nenahrádzajú.
Nie. Penetračné testovanie na základe konkrétnej hrozby podľa čl. 26 DORA sa týka vybraných finančných subjektov. Ostatné uplatniteľné požiadavky na testovanie odolnosti treba preveriť samostatne.
Nie. Certifikát ISO 27001 potvrdzuje ISMS v uvedenom rozsahu pôsobnosti a nenahrádza zákonné povinnosti DORA. Pre tie zostávajú rozhodujúce uplatniteľné požiadavky, skutočné zavedenie a dôkazy o ňom.
Prepojte zodpovednosť a dôkazy.
Pozrite sa, ako Secani podporuje prácu s regulačnými požiadavkami.
Táto stránka všeobecne vysvetľuje DORA a nenahrádza právne posúdenie konkrétneho prípadu. Rozhodujúce sú platné právne akty a požiadavky príslušného orgánu dohľadu.