DORA: Přehled

Regulace: EU 2022/2554 (Digital Operational Resilience Act) Použitelnost: 17. ledna 2025 (plně aplikovatelné) Oblast: Digitální provozní odolnost finančního sektoru

DORA dle čl. 1 odst. 2 představuje sektorový předpis pro finanční subjekty identifikované také jako essential/important podle NIS2, v rozsahu rovnocenných povinností dle čl. 4 NIS2. Nevyjímá všechny dodavatele finančního sektoru z NIS2. Přímému dohledu ESAs podléhá ICT dodavatel po určení jako kritický podle čl. 31; smluvní požadavky mohou dopadat i na ostatní dodavatele.

Co je DORA?

Pro finanční subjekty v působnosti DORA, které spadají také do NIS2, je DORA odvětvovým předpisem podle čl. 1 odst. 2 DORA a čl. 4 NIS2 pro odpovídající povinnosti. Rozsah určete podle konkrétního subjektu; ICT dodavatelům z toho nevzniká plošné vynětí.

Kdo spadá pod DORA?

Finanční entity (Čl. 2)

Kategorie	Příklady
Úvěrové instituce	Banky, spořitelny
Platební instituce	Včetně platebních institucí vyňatých podle PSD2
Instituce elektronických peněz	Samostatná kategorie čl. 2 odst. 1 písm. d), včetně vyňatých institucí
Investiční firmy	Obchodníci s cennými papíry
Pojišťovny	Životní i neživotní pojištění
Zajišťovny	Zajišťovací společnosti
Instituce zaměstnaneckého penzijního pojištění (IORP)	IORP s nejvýše 15 účastníky všech svých penzijních plánů jsou vyňaty (čl. 2 odst. 3 písm. c))
Kryptoaktiva	Poskytovatelé služeb kryptoaktiv povolení podle MiCA a vydavatelé tokenů vázaných na aktiva (čl. 2 odst. 1 písm. f))

Tabulka je výběrem finančních subjektů, nikoli úplným seznamem čl. 2. Ověřte výjimky čl. 2 odst. 3 a případné využití národní možnosti čl. 2 odst. 4. Poskytovatele služeb IKT z řad třetích stran samostatně zahrnuje čl. 2 odst. 1 písm. u); nejsou finančními subjekty podle čl. 2 odst. 2. Přímý dohled se uplatní po určení jako kritický podle čl. 31, za jeho podmínek a výjimek.

Zjednodušený režim (Čl. 16)

Čl. 16 je omezen na výslovně uvedené kategorie: malé a nepropojené investiční podniky, vymezené vyňaté platební/úvěrové/e-money instituce a malé instituce zaměstnaneckého penzijního pojištění. Samotná malá velikost, nízká složitost ICT ani nízký systémový význam nestačí. Proporcionalita čl. 4 je samostatný princip; čl. 16 nezakládá obecnou výjimku z hlášení závažných incidentů souvisejících s IKT podle čl. 19.

Pět pilířů DORA

Dobrovolné sdílení informací o hrozbách podle čl. 45 musí splnit jeho ochranné podmínky; účast a její ukončení se oznamují příslušnému orgánu (čl. 45 odst. 3).

Vztah k ostatním regulacím

DORA vs NIS2

Aspekt	NIS2	DORA
Typ	Směrnice	Nařízení
Působnost	Vymezené typy subjektů a služby podle čl. 2–3 a národního práva	Finanční subjekty čl. 2 a vymezené vztahy s ICT poskytovateli
Vztah	Obecný rámec	Odvětvový předpis pro relevantní finanční subjekty a odpovídající povinnosti (čl. 1 odst. 2, čl. 4 NIS2)
Hlášení incidentů	Čl. 23 a národní provedení: spouštěč, příjemce a postupné zprávy	Čl. 19 a nařízení 2025/301: klasifikace, příslušný orgán a samostatné lhůty
Testování	Ověřování účinnosti opatření dle čl. 21 a použitelného režimu	Testování podle čl. 24–25 včetně úprav pro mikropodniky; TLPT jen pro určené subjekty podle čl. 26
Dodavatelé	Bezpečnost dodavatelského řetězce	Řízení ICT vztahů a koncentrace; přímý dohled nad určenými kritickými poskytovateli

DORA je odvětvovým předpisem vůči NIS2 pro příslušné finanční subjekty a rovnocenné požadavky (čl. 1 odst. 2 DORA, čl. 4 NIS2). Nenahrazuje GDPR ani AI Act. Zpracování osobních údajů a použití AI posuzujte samostatně; podklady využijte společně tam, kde se požadavky překrývají.

Timeline

DORA vstoupila v platnost 16. ledna 2023 a používá se od 17. ledna 2025. Evidujte aktuální termíny reportingu stanovené příslušným orgánem; historický sběr dat ESAs není trvalou lhůtou všech institucí. TLPT je povinné pouze pro určené subjekty dle čl. 26, nejméně každé tři roky, neupraví-li orgán četnost.

Sankce a dohled

DORA nestanoví univerzální pokutu „10 mil. EUR nebo 1 %“ každé finanční instituci. Národní orgány používají národní sankční rámec podle čl. 50–51. U určeného kritického ICT dodavatele může hlavní orgán dohledu uložit penále dle čl. 35: až 1 % průměrného denního celosvětového obratu za předchozí účetní rok za každý den, nejvýše po šest měsíců za podmínek ustanovení. Nejde o pevný 1 mil. EUR denně.

ČNB je českým příslušným orgánem podle § 9 zákona č. 31/2025 Sb., v rámci rozdělení pravomocí podle čl. 46 DORA včetně pravomocí ECB v SSM a příslušných pravidel domovského a hostitelského dohledu. Nad určeným kritickým ICT dodavatelem vykonává dohled určený Lead Overseer z ESAs; to je odlišné od vlastního prověřování dodavatelů finanční institucí.

Klíčové požadavky

ICT Risk Management Framework (Čl. 6)

Následující požadavky na rámec se týkají standardního režimu; čl. 16 u výslovně uvedených kategorií nahrazuje čl. 5–15.

Dokumentovaný framework schválený boardem
Digital Operational Resilience Strategy
Risk tolerance definovaná boardem
Revize nejméně ročně, u mikropodniků pravidelně; také po závažném incidentu a podle dalších spouštěčů čl. 6 odst. 5

Incident Reporting — čl. 19 a nařízení 2025/301

Fáze	Spouštěč a lhůta u závažného ICT incidentu
První oznámení	Co nejdříve, do 4 hodin od klasifikace jako závažný a nejpozději 24 hodin od zjištění. Je-li jako závažný klasifikován až více než 24 hodin po zjištění, do 4 hodin od této klasifikace (nař. 2025/301 čl. 5 odst. 1 písm. a) a odst. 2)
Průběžná zpráva	Do 72 hodin po prvním oznámení, s požadovanými aktualizacemi a aktualizací po obnově běžných činností
Závěrečná zpráva	Do jednoho měsíce po průběžné zprávě nebo její poslední aktualizaci

Případně použijte konkrétní výjimky čl. 5 RTS. Zjištění, klasifikaci, oznámení a obnovu evidujte oddělenými časy; čtyřhodinová lhůta nezačíná automaticky v okamžiku incidentu.

TLPT (Čl. 26)

Pro subjekty určené podle čl. 26 odst. 8 a čl. 2 nařízení 2025/1190; čl. 26 odst. 1 vyjímá mikropodniky a subjekty podle čl. 16
Threat-Led Penetration Testing
Nejméně každé 3 roky u určených subjektů; orgán může četnost upravit
Testeři splňující čl. 27 a použitelné RTS; samotný název certifikace nenahrazuje ověření kvalifikace

Registr informací o ICT službách (čl. 28 odst. 3)

Evidence všech smluvních ujednání o využívání ICT služeb třetích stran
Rozlišení, které služby podporují zásadní nebo důležité funkce; určení kritického ICT poskytovatele podle čl. 31 je samostatný postup
Úplný registr příslušnému orgánu na vyžádání; nejméně roční informace o nových smlouvách dle čl. 28 odst. 3 a aktuálních pokynů ČNB
Průběžná aktualizace
Včasné informování příslušného orgánu o plánovaných ujednáních o ICT službách podporujících zásadní nebo důležité funkce a o tom, že se funkce stala zásadní nebo důležitou

Další kroky

Zdroje

Věcná revize: 6. září 2026. Primární zdroje: DORA, Incident reporting RTS — Art. 5, NIS2 — Art. 4.