Řízení ICT rizik

DORA dle čl. 1 odst. 2 představuje sektorový předpis pro finanční subjekty identifikované také jako essential/important podle NIS2, v rozsahu rovnocenných povinností dle čl. 4 NIS2. Nevyjímá všechny dodavatele finančního sektoru z NIS2. Přímému dohledu ESAs podléhá ICT dodavatel po určení jako kritický podle čl. 31; smluvní požadavky mohou dopadat i na ostatní dodavatele.

ICT Risk Management Framework (Čl. 5-16)

Standardní režim DORA vyžaduje ICT rámec schválený vedením. Nejprve posuďte proporcionalitu čl. 4, úpravy pro mikropodniky a zvláštní zjednodušený rámec čl. 16.

Požadavky na governance

Požadavek	Popis	Článek
Board odpovědnost	Vedení nese konečnou odpovědnost za ICT risk management	Čl. 5
ICT strategie	Dokumentovaná Digital Operational Resilience Strategy	Čl. 6
Risk tolerance	Definovaná a schválená boardem	Čl. 6
Roční review	Nejméně ročně, u mikropodniků periodicky; také po závažném incidentu a dalších spouštěčích čl. 6 odst. 5	Čl. 6

Komponenty frameworku

ICT Asset Management (Čl. 8)

Požadavky na inventář

Inventář informačních a ICT aktiv, obchodních funkcí a jejich závislostí (čl. 8 odst. 1, 4–6)
Klasifikace dle kritičnosti
Mapování závislostí
Aktualizace inventářů při velkých změnách; nejméně roční revize klasifikace a související dokumentace (čl. 8 odst. 1 a 6)

Kategorie aktiv

Kategorie	Příklady
Hardware	Servery, síťová zařízení, endpoints
Software	Aplikace, OS, middleware
Data	Databáze, úložiště, zálohy
Služby	Cloud services, SaaS, outsourcing

Bezpečnostní a organizační opatření

Technická opatření

Politika šifrování zahrnující data v klidu a při přenosu podle schválené klasifikace dat a posouzení ICT rizik (nařízení 2024/1774 čl. 6)
Network segmentation
Silná autentizace pro vzdálený a privilegovaný přístup, přístup k aktivům podporujícím zásadní nebo důležité funkce a k veřejně přístupným aktivům; metody přiměřené klasifikaci a riziku (nařízení 2024/1774 čl. 21 písm. f))
Patch management
Řízení zranitelností včetně nejméně týdenního automatizovaného skenování a posuzování ICT aktiv podporujících zásadní nebo důležité funkce (nařízení 2024/1774 čl. 10 odst. 2)

Organizační opatření

Zvyšování povědomí o ICT bezpečnosti a školení digitální provozní odolnosti pro všechny zaměstnance a vrcholné vedení (čl. 13 odst. 6)
Postupy reakce na incidenty (čl. 17)
Řízení změn (čl. 9 odst. 4 písm. e))
Politiky řízení přístupu (čl. 9 odst. 4 písm. c)–d))

Business Continuity (Čl. 11-12)

Požadavky

Oblast	Požadavek
BCP	Dokumentovaný Business Continuity Plan
DRP	Plány reakce a obnovy IKT (čl. 11 odst. 3); priorita zásadních nebo důležitých funkcí neomezuje plány jen na kritické systémy
RTO/RPO	Definované a testované
Testování	Nejméně roční testy plánů kontinuity a reakce/obnovy IKT pro systémy podporující všechny funkce a také po podstatných změnách systémů podporujících zásadní nebo důležité funkce (čl. 11 odst. 6 písm. a)); pravidelné testy zálohování a obnovy podle čl. 12 odst. 2

ICT Business Impact Analysis

BIA posuzuje expozici vůči závažným narušením činnosti a jejich možné dopady (čl. 11 odst. 5). Praktický postup s prioritou zásadních nebo důležitých funkcí:

Identifikace závislých ICT systémů
Stanovení RTO/RPO
Identifikace single points of failure
Definice recovery priorit

Další kroky

Zdroje

Věcná revize: 6. září 2026. Primární zdroje: DORA, Incident reporting RTS — Art. 5, NIS2 — Art. 4.