Co je nařízení DORA a koho se týká?

Kdo spadá pod přísný dohled

Akt Digitální provozní odolnosti (DORA) cílí na prakticky každý subjekt ve finančním sektoru, který podléhá regulaci na úrovni Evropské unie. Povinnost adaptovat své procesy mají nejen velké bankovní domy a investiční firmy, ale také pojišťovny, penzijní fondy či správci kryptoaktiv. Rozsah působnosti je mimořádně široký; zahrnuje i menší družstevní záložny a zprostředkovatele úvěrů, pokud spadají pod dohled příslušných orgánů. Cílem legislatury není jen formální splnění podmínek, ale reálná schopnost finančního systému přežít masivní kybernetické útoky či dlouhodobé výpadky technologií bez ohrožení stability trhu.

Nová odpovědnost technologických partnerů

Zásadním průlomem je přímé zahrnutí externích poskytovatelů ICT služeb do regulačního rámce. Cloudoví operátoři, zpracovatelé dat či vývojáři softwaru pro finanční domy nyní čelí stejným standardům jako jejich klienti. Pokud tyto firmy dodávají kritické služby institucím v EU, podléhají přímému dohledu evropských autorit. V praxi to znamená, že velká česká banka již nesmí outsourcovat provoz internetového bankovnictví firmě, která nedisponuje adekvátním plánem zálohování dat či rychlou reakcí na incidenty. Smlouvy musí nově obsahovat přesně definované podmínky pro přístup k datům, pravidelné testování bezpečnosti a jasný scénář ukončení spolupráce v krizové situaci.

Tři pilíře ochrany infrastruktury

Firmy musí implementovat konkrétní opatření rozdělená do několika klíčových oblastí. Základem je zavedení robustního rámce pro řízení ICT rizik, který zahrnuje neustálé mapování závislostí na konkrétních technologiích. Dále vzniká povinnost hlásit závažné kybernetické incidenty dozorovým orgánům ve lhůtě několika hodin od jejich zjištění. Třetím pilířem jsou pravidelné testy digitální odolnosti, včetně pokročilých simulací útoků vedených specializovanými týmy (tzv. threat-led penetration testing), které ověří reálnou schopnost systému odolat tlaku. Zkušenosti z auditů ukazují, že právě příprava na tyto náročné testy a nastavení procesů pro včasné hlášení incidentů zabere organizacím nejvíce času a zdrojů.

Co to znamená: Finanční instituce a jejich dodavatelé musí přestat považovat kybernetickou bezpečnost pouze za technický problém IT oddělení a musí ji integrovat jako strategickou prioritu celého vedení firmy. Nedodržení nařízení může vést k vysokým pokutám a omezení činnosti, proto je nezbytné začít s analýzou stávajících procesů a aktualizací smluv s partnery co nejdříve.