DORA: Rozsah a subjekty

DORA dle čl. 1 odst. 2 představuje sektorový předpis pro finanční subjekty identifikované také jako essential/important podle NIS2, v rozsahu rovnocenných povinností dle čl. 4 NIS2. Nevyjímá všechny dodavatele finančního sektoru z NIS2. Přímému dohledu ESAs podléhá ICT dodavatel po určení jako kritický podle čl. 31; smluvní požadavky mohou dopadat i na ostatní dodavatele.

Kdo spadá pod DORA?

Finanční entity (Čl. 2)

DORA se vztahuje na širokou škálu finančních subjektů:

Tabulka je výběr, nikoli úplný seznam čl. 2. Ověřte výjimky čl. 2 odst. 3 včetně přesných hranic a podmínek a čl. 2 odst. 4, pokud členský stát využil danou možnost.

Kategorie	Příklady	Regulátor
Úvěrové instituce	Banky, spořitelny	ČNB v české působnosti; u významných institucí ECB v rozsahu svých pravomocí v SSM (čl. 46 písm. a))
Platební instituce	Včetně platebních institucí vyňatých podle PSD2	ČNB v české působnosti
Instituce elektronických peněz	Samostatná kategorie čl. 2 odst. 1 písm. d), včetně vyňatých institucí	Příslušný orgán podle čl. 46 písm. b)
Investiční firmy	Obchodníci s cennými papíry	ČNB v české působnosti
Pojišťovny	Životní i neživotní pojištění	ČNB v české působnosti
Zajišťovny	Zajišťovací společnosti	ČNB v české působnosti
Instituce zaměstnaneckého penzijního pojištění (IORP)	IORP s nejvýše 15 účastníky všech svých penzijních plánů jsou vyňaty (čl. 2 odst. 3 písm. c))	Orgán určený podle čl. 47 směrnice (EU) 2016/2341 (čl. 46 písm. m) DORA)
Kryptoaktiva	CASP (od MiCA)	ČNB v české působnosti

ČNB je českým příslušným orgánem pro DORA i MiCA podle § 9 zákona č. 31/2025 Sb.. Toto určení použijte společně s rozdělením pravomocí podle čl. 46 DORA, včetně pravomocí ECB v SSM a pravidel domovského a hostitelského dohledu u přeshraničních subjektů a IORP. Dozor nad určenými kritickými ICT poskytovateli se řídí samostatným rámcem níže.

ICT Third-Party Providers

Poskytovatelé služeb IKT z řad třetích stran spadají pod čl. 2 odst. 1 písm. u), ale nejsou finančními subjekty podle čl. 2 odst. 2. Přímý dohled se uplatní po určení jako kritický podle čl. 31 a vykonává jej jeden určený hlavní orgán dohledu (EBA, EIOPA nebo ESMA). Určení se může týkat například poskytovatelů následujících služeb; samotný druh služby kritičnost nezakládá:

Cloud service providers
Data analytics providers
Software vendors
Data centres

Čl. 31 odst. 8 z určování vylučuje vymezené poskytovatele, například poskytovatele IKT v rámci skupiny a poskytovatele služeb IKT pouze v jednom členském státě finančním subjektům působícím pouze v témže státě. Použijte všechny podmínky a výjimky čl. 31.

Scope Assessment

Krok 1: Identifikace typu entity

□ Jsme finanční entita dle Čl. 2?
□ Poskytujeme ICT služby finančním entitám?
□ Jaká kategorie čl. 2 odst. 1 a jaké povolení nebo výjimka se na nás vztahují?

Krok 2: Určení režimu

Čl. 16 je omezen na výslovně uvedené kategorie: malé a nepropojené investiční podniky, vymezené vyňaté platební/úvěrové/e-money instituce a malé instituce zaměstnaneckého penzijního pojištění. Samotná malá velikost, nízká složitost ICT ani nízký systémový význam nestačí. Proporcionalita čl. 4 je samostatný princip; čl. 16 nezakládá obecnou výjimku z hlášení závažných incidentů souvisejících s IKT podle čl. 19.

Krok 3: Mapování ICT třetích stran

Pro každého ICT poskytovatele:

Identifikovat služby
Posoudit, zda smluvní služba podporuje zásadní nebo důležitou funkci (čl. 28 odst. 3–4); určení kritického poskytovatele ze strany ESAs je samostatné (čl. 31)
Zaznamenat do registru
Ověřit smluvní požadavky

Zjednodušený rámec — čl. 16

Zapište přesný typ subjektu, licenci/výjimku a ustanovení čl. 16. Režim nahrazuje čl. 5–15 vlastními povinnostmi ICT rámce; neodvozujte z malé velikosti snížený reporting či libovolné intervaly testování.

Další kroky

Zdroje

Věcná revize: 6. září 2026. Primární zdroje: DORA, Incident reporting RTS — Art. 5, NIS2 — Art. 4.