DORA: otázky k posouzení povinností

Regulace: EU 2022/2554 (Digital Operational Resilience Act) Deadline: 17.1.2025 (plně aplikovatelné) Scope: Finanční instituce EU (banky, pojišťovny, investiční firmy, platební instituce)

DORA dle čl. 1 odst. 2 představuje sektorový předpis pro finanční subjekty identifikované také jako essential/important podle NIS2, v rozsahu rovnocenných povinností dle čl. 4 NIS2. Nevyjímá všechny dodavatele finančního sektoru z NIS2. Přímému dohledu ESAs podléhá ICT dodavatel po určení jako kritický podle čl. 31; smluvní požadavky mohou dopadat i na ostatní dodavatele.

O DORA

Pro finanční subjekty v působnosti DORA, které spadají také do NIS2, je DORA odvětvovým předpisem podle čl. 1 odst. 2 DORA a čl. 4 NIS2 pro odpovídající povinnosti. Rozsah určete podle konkrétního subjektu; ICT dodavatelům z toho nevzniká plošné vynětí.

Kdo spadá pod DORA?

Kategorie	Příklady
Úvěrové instituce	Banky, spořitelny
Platební instituce	Včetně platebních institucí vyňatých podle PSD2
Instituce elektronických peněz	Samostatná kategorie čl. 2 odst. 1 písm. d), včetně vyňatých institucí
Investiční firmy	Obchodníci s cennými papíry
Pojišťovny	Životní i neživotní pojištění
Zajišťovny	Zajišťovací společnosti
Instituce zaměstnaneckého penzijního pojištění (IORP)	IORP s nejvýše 15 účastníky všech svých penzijních plánů jsou vyňaty (čl. 2 odst. 3 písm. c))
Kryptoaktiva	Poskytovatelé služeb kryptoaktiv povolení podle MiCA a vydavatelé tokenů vázaných na aktiva (čl. 2 odst. 1 písm. f))

Tabulka je výběrem finančních subjektů, nikoli úplným seznamem čl. 2. Ověřte výjimky čl. 2 odst. 3 a případné využití národní možnosti čl. 2 odst. 4. Poskytovatele služeb IKT z řad třetích stran samostatně zahrnuje čl. 2 odst. 1 písm. u); nejsou finančními subjekty podle čl. 2 odst. 2. Přímý dohled se uplatní po určení jako kritický podle čl. 31, za jeho podmínek a výjimek.

Část E: DORA Compliance

Čl. 16 je omezen na výslovně uvedené kategorie: malé a nepropojené investiční podniky, vymezené vyňaté platební/úvěrové/e-money instituce a malé instituce zaměstnaneckého penzijního pojištění. Samotná malá velikost, nízká složitost ICT ani nízký systémový význam nestačí. Proporcionalita čl. 4 je samostatný princip; čl. 16 nezakládá obecnou výjimku z hlášení závažných incidentů souvisejících s IKT podle čl. 19.

Řádky čl. 5–15 popisují standardní rámec; subjekty čl. 16 místo něj uplatní vlastní zjednodušený rámec. Použijte konkrétní úpravy pro mikropodniky v jednotlivých ustanoveních; ostatní povinnosti včetně hlášení incidentů a obecného řízení rizik třetích stran se posuzují samostatně.

Řádky jsou pracovní mapa; výbor či produkt SIEM jsou varianty implementace, nikoli povinné názvy struktur/produktů. Použijte příslušnou roli a RTS vedle nařízení.

#	Aktivita	Reference	Fáze	Popis
E1	Scope Determination	Čl. 2	Příprava	Určení, zda organizace spadá pod DORA
E1.1	– Typ entity	Čl. 2(1)	Příprava	Banka, pojišťovna, investiční firma, platební instituce?
E1.2	– Simplified regime?	Čl. 16	Příprava	Splňujeme podmínky pro zjednodušený režim?
E1.3	Kontakt dohledu	Čl. 46 a sektorové právo	Příprava	Určit příslušný orgán a licenční/ohlašovací kanál; čl. 2 nezakládá univerzální DORA registraci
E2	GAP Analýza	Čl. 4, 6	Analýza	Posouzení současného stavu vs. DORA
E2.1	– Current state assessment	Čl. 6	Analýza	Audit současného ICT risk management
E2.2	– Gap identification	Čl. 6-15	Analýza	Identifikace mezer vs. DORA požadavky
E2.3	– Remediation roadmap	Čl. 6	Analýza	Plán nápravy s prioritami
E3	Governance Structure	Čl. 5	Governance	Governance pro ICT risk management
E3.1	– Board accountability	Čl. 5(2)(a)	Governance	Board nese konečnou odpovědnost za řízení ICT rizik
E3.2	– ICT risk management function	Čl. 5(2)(c), 6(4)	Governance	Vymezit role a odpovědnosti; mimo mikropodniky zajistit nezávislou kontrolní funkci ICT rizik a oddělení funkcí
E3.3	– Security committee	Čl. 5	Governance	Bezpečnostní výbor s pravidelným reportingem
E3.4	– Management training	Čl. 5(4)	Governance	Školení managementu v ICT rizicích
E4	ICT Risk Management Framework	Čl. 6	Framework	Komplexní ICT risk management framework
E4.1	– ICT risk management policy	Čl. 6(1)	Framework	Dokumentovaná politika řízení ICT rizik
E4.2	– ICT risk management strategy	Čl. 6(8)	Framework	Digital Operational Resilience Strategy
E4.3	– Risk tolerance	Čl. 6(8)(b)	Framework	Definice risk tolerance pro ICT rizika
E4.4	– Framework review	Čl. 6(5)	Framework	Revize nejméně ročně, u mikropodniků pravidelně; také po závažném incidentu a podle dalších spouštěčů čl. 6 odst. 5
E5	ICT Asset Management	Čl. 8	Identifikace	Identifikace a klasifikace ICT assets
E5.1	– ICT asset inventory	Čl. 8(1), (4)–(6)	Identifikace	Inventář informačních i ICT aktiv; aktualizace při velkých změnách
E5.2	– Asset classification	Čl. 8(1)	Identifikace	Klasifikace dle kritičnosti; nejméně roční revize klasifikace a dokumentace
E5.3	– Business function mapping	Čl. 8(1)	Identifikace	Mapování funkcí, rolí a povinností podporovaných ICT a podpůrných aktiv
E5.4	– Dependencies mapping	Čl. 8(4)–(5)	Identifikace	Mapování závislostí aktiv, konfigurací a procesů závislých na ICT třetích stranách
E6	ICT Risk Assessment	Čl. 8	Risk	Pravidelné hodnocení ICT rizik
E6.1	– Risk identification	Čl. 8(2)–(3)	Risk	Průběžná identifikace ICT rizik a nejméně roční revize rizikových scénářů; mimo mikropodniky posouzení při každé zásadní změně
E6.2	– Risk analysis	RTS 2024/1774 Art. 3(b)	Risk	Metodika posouzení rizik včetně ukazatelů pravděpodobnosti a dopadu
E6.3	– Risk treatment	RTS 2024/1774 Art. 3(c)–(d)	Risk	Opatření ke zvládání rizik, sledování účinnosti a doložené přijetí i přezkum zbytkových rizik
E6.4	– Risk reporting	Čl. 5(2)(i), 13(5)	Risk	Reporting vedení podle stanovených kanálů; nejméně roční zpráva vrcholného ICT vedení o zjištěních a doporučeních
E7	Protection & Prevention	Čl. 9, 10	Ochrana	Implementace ochranných opatření
E7.1	– ICT security policies	Čl. 9(4)(a)	Ochrana	Politiky bezpečnosti informací
E7.2	– Network security	Čl. 9(4)(b)	Ochrana	Zabezpečení sítí a infrastruktury přiměřené riziku
E7.3	– Access control	Čl. 9(4)(c)–(d); RTS 2024/1774 Art. 21	Ochrana	Řízení přístupů podle potřeby a nejnižších oprávnění; silná autentizace ve vymezených případech čl. 21 písm. f) RTS
E7.4	– Encryption	RTS 2024/1774 Art. 6	Ochrana	Politika šifrování dat v klidu a při přenosu podle schválené klasifikace dat a posouzení ICT rizik
E7.5	– Patch management	Čl. 9 odst. 4 písm. f)	Ochrana	Patch management proces
E7.6	– Data protection	Čl. 9(2)–(3)	Ochrana	Ochrana dostupnosti, hodnověrnosti, integrity a důvěrnosti dat
E8	Detection	Čl. 10	Detekce	Detekce anomálií a incidentů
E8.1	– Monitoring capability	Čl. 9(1), 10(3)	Detekce	Průběžné sledování bezpečnosti a fungování ICT a monitoring potřebný k detekci anomálií
E8.2	– Anomaly detection	Čl. 10(1)	Detekce	Detekce anomálií a podezřelých aktivit
E8.3	– SIEM implementation	Čl. 10	Detekce	SIEM pro centrální monitoring
E9	Business Continuity	Čl. 11, 12	Kontinuita	ICT Business Continuity Management
E9.1	– ICT BCP policy	Čl. 11(1)	Kontinuita	ICT Business Continuity Policy
E9.2	– BIA (Business Impact Analysis)	Čl. 11(5)	Kontinuita	Analýza dopadů závažných narušení činnosti
E9.3	– Recovery plans	Čl. 11(3)	Kontinuita	Plány reakce a obnovy IKT
E9.4	– Backup strategy	Čl. 12(1)	Kontinuita	Backup a restore strategie
E9.5	– Recovery testing	Čl. 11(6)(a), 12(2)	Kontinuita	Zálohování a obnova se testují pravidelně; plány kontinuity a reakce/obnovy nejméně ročně pro systémy všech funkcí a po podstatných změnách systémů zásadních nebo důležitých funkcí
E9.6	– Crisis communication	Čl. 11(2)(e), 11(7), 14	Kontinuita	Krizová komunikace; funkce krizového řízení podle čl. 11 odst. 7 mimo mikropodniky
E10	Incident Management	Čl. 17-19	Incident	ICT incident management proces
E10.1	– Incident management policy	Čl. 17(1); RTS 2024/1774 Art. 22(a)	Incident	Proces řízení ICT incidentů; ve standardním rámci dokumentovaný incidentní politikou
E10.2	– Incident classification	Čl. 18; RTS 2024/1772 Art. 1–9	Incident	Klasifikace incidentů podle kritérií a prahů RTS; zohlednit režim opakovaných incidentů a jeho výjimky
E10.3	– Incident response team	Čl. 17(3)(c)	Incident	Vymezené role a povinnosti pro různé druhy a scénáře incidentů; IRT je varianta organizace
E10.4	– Root cause analysis	Čl. 17(2), 13(2)	Incident	Identifikovat a řešit hlavní příčiny; přezkum podle čl. 13 odst. 2 po závažném ICT incidentu narušujícím hlavní činnosti
E11	Incident Reporting	Čl. 19	Reporting	Hlášení závažných incidentů souvisejících s IKT
E11.1	– Major incident criteria	Čl. 18; RTS 2024/1772 Art. 6, 8–9	Reporting	Kritéria závažného incidentu podle RTS, nikoli jediný izolovaný práh
E11.2	První oznámení	Čl. 19; RTS 2025/301 Art. 5(1)(a), (2)	Reporting	Co nejdříve, do 4 h od klasifikace jako závažný a nejpozději 24 h od zjištění; při klasifikaci až po 24 h do 4 h od ní
E11.3	Průběžná zpráva	Čl. 19; RTS 2025/301 čl. 5	Reporting	Do 72 h po prvním oznámení; požadované aktualizace a zpráva po obnově
E11.4	Závěrečná zpráva	Čl. 19; RTS 2025/301 čl. 5	Reporting	Do měsíce po průběžné zprávě či její poslední aktualizaci
E12	Resilience Testing	Čl. 24, 25	Testování	Pravidelné testování odolnosti
E12.1	– Testing programme	Čl. 24(1)	Testování	Program testování digitální odolnosti pro finanční subjekty jiné než mikropodniky
E12.2	– Vulnerability assessments	Čl. 25(1); RTS 2024/1774 Art. 10(2)	Testování	Automatické skenování a posuzování zranitelností podle klasifikace a rizika; ve standardním rámci nejméně týdně u ICT aktiv podporujících zásadní nebo důležité funkce
E12.3	Vhodné testy odolnosti	Čl. 24(6), 25	Testování	Mimo mikropodniky nejméně roční vhodné testy systémů podporujících zásadní nebo důležité funkce; nejde o plošně roční pentest každého systému
E12.4	– Scenario-based testing	Čl. 24(2), 25(1), (3)	Testování	Scénářové testy jako vhodný typ testu podle rizika; zohlednit úpravu pro mikropodniky
E13	TLPT (Advanced Testing)	Čl. 26	TLPT	Threat-Led Penetration Testing
E13.1	– TLPT scope	Čl. 26(1)–(2), (8); RTS 2025/1190 Art. 2	TLPT	Ověřit určení k TLPT a rozsah potvrzený orgánem; vyňaty mikropodniky a subjekty podle čl. 16
E13.2	Způsobilost testerů	Čl. 27; RTS 2025/1190 Art. 7	TLPT	Ověřit způsobilost a nezávislost testerů, pojištění, reference a požadované doklady včetně certifikací; zohlednit výjimečný postup čl. 7 odst. 2 RTS
E13.3	– TLPT execution	Čl. 26	TLPT	Provedení TLPT
E14	Third-Party Risk	Čl. 28-30	Third-Party	Řízení ICT třetích stran
E14.1	– ICT third-party policy	Čl. 28(2)	Third-Party	Strategie rizika ICT třetích stran a politika pro služby podporující zásadní nebo důležité funkce; tento požadavek se nevztahuje na mikropodniky a subjekty čl. 16
E14.2	– Third-party register	Čl. 28(3)	Third-Party	Registr ICT třetích stran
E14.3	– Due diligence	Čl. 28(4)	Third-Party	Due diligence pro ICT providers
E14.4	– Contractual requirements	Čl. 30	Third-Party	Smluvní požadavky (DORA čl.30)
E14.5	– Exit strategies	Čl. 28(8)	Third-Party	Strategie odchodu u ICT služeb podporujících zásadní nebo důležité funkce
E15	Registr informací	Čl. 28 odst. 3	Registry	Všechny smluvní vztahy ICT služeb s rozlišením podpory zásadních nebo důležitých funkcí; odlišit od určení kritických poskytovatelů ESAs
E15.1	Podporované funkce	Čl. 28 odst. 3	Registr	Rozlišit smlouvy na ICT služby podporující zásadní nebo důležité funkce; nejde o určení kritického poskytovatele podle čl. 31
E15.2	Reporting registru	Čl. 28(3)	Registry	Úplný registr či jeho části na vyžádání, nejméně roční informace o nových ujednáních; včas informovat o plánovaných ICT ujednáních pro zásadní nebo důležité funkce a o tom, že se funkce takovou stala
E15.3	– Registry updates	Čl. 28(3)	Registry	Průběžná aktualizace registru
E16	Learning & Evolving	Čl. 13	Kontinuální	Kontinuální zlepšování
E16.1	– Lessons learned	Čl. 13(3)	Kontinuální	Promítat poznatky z přezkumů, testování a reálných incidentů do průběžného posuzování ICT rizik
E16.2	– Post-incident reviews	Čl. 13(2)	Kontinuální	Přezkum po závažném incidentu souvisejícím s IKT, který naruší hlavní činnosti
E16.3	– Threat intelligence	Čl. 13	Kontinuální	Integrace threat intelligence
E17	Communication	Čl. 14	Komunikace	ICT komunikační protokoly
E17.1	– Internal communication	Čl. 14(2)	Komunikace	Interní komunikace během incidentů
E17.2	– External communication	Čl. 14(1)–(3), 19(3)	Komunikace	Komunikační plány a odpovědnost za veřejnost/média; klienty bez zbytečného prodlení informovat o závažném ICT incidentu s dopadem na jejich finanční zájmy
E18	Spolupráce s dohledem podle role	Čl. 46, 50; čl. 35–39 pro kritické poskytovatele	Reporting	Odlišit dohled finančního subjektu od přímého dohledu určeného kritického ICT dodavatele
E18.1	Reporting finančního subjektu	Čl. 6 odst. 5, čl. 19, 28 odst. 3	Reporting	Příslušné zprávy o rámci, incidentech a registru; čl. 37 není obecná povinnost reportingu finančního subjektu
E18.2	Dohled kritického poskytovatele	Čl. 35–39	Dohled	Žádosti o informace, šetření a kontroly u určených kritických ICT poskytovatelů

Lhůty hlášení podléhají konkrétnímu pravidlu pro víkendy a svátky a jeho výjimkám v čl. 5 odst. 4–6 nařízení 2025/301. Nemožnost dodržet lhůtu se bez zbytečného prodlení, nejpozději v dané lhůtě, oznamuje s důvody podle čl. 5 odst. 3; nejde o automatické prodloužení.

Termíny DORA

DORA se používá od 17. ledna 2025. Použijte aktuální reportingový harmonogram příslušného orgánu. TLPT jen u určených subjektů, zpravidla nejméně jednou za tři roky s možností úpravy četnosti orgánem.

Vztah DORA k ostatním regulacím

Priority nápravy

Nejprve potvrďte režim, odpovědnost vedení, schopnost hlášení incidentů, ICT registr a kritické mezery kontinuity. Fáze níže vyjadřují pořadí práce, nikoli právní odklad již použitelných povinností.

Implementační fáze

Zdroje

Věcná revize: 6. září 2026. Primární zdroje: DORA, Incident reporting RTS — Art. 5, NIS2 — Art. 4.