Co je DORA a na koho se vztahuje
DORA (Digital Operational Resilience Act) je evropské nařízení, které od 17. ledna 2025 sjednocuje pravidla pro řízení ICT rizik ve finančním sektoru. Vztahuje se na banky, pojišťovny, obchodníky s cennými papíry, platební instituce, správce fondů i na fintech firmy poskytující regulované finanční služby · celkem na více než dvacet typů subjektů. Na rozdíl od dřívějších doporučení jde o přímo závaznou právní úpravu, kterou v ČR vymáhá Česká národní banka.
Nařízení nevyžaduje jen technická opatření, ale nastavuje i povinnosti pro vedení firmy, smluvní vztahy s dodavateli IT a pravidelné testování. Menší subjekty mají některé povinnosti zjednodušené, princip proporcionality ale neznamená úplné osvobození.
Pět pilířů povinností, které musí firmy splnit
DORA stojí na pěti oblastech, které musí regulované subjekty pokrýt současně:
- Řízení ICT rizik · firma musí mít písemný rámec řízení rizik schválený vedením, včetně inventáře systémů, klasifikace kritických funkcí a plánů kontinuity provozu.
- Hlášení incidentů · závažné kybernetické incidenty se musí hlásit ČNB podle přesných lhůt (počáteční hlášení, průběžné a závěrečné), s jednotnou strukturou dat napříč EU.
- Testování digitální odolnosti · pravidelné testy zranitelnosti, penetrační testy a u větších institucí pokročilé testování formou TLPT (threat-led penetration testing).
- Řízení rizik třetích stran · smlouvy s poskytovateli cloudu, hostingu či SaaS musí obsahovat konkrétní ustanovení o bezpečnosti, právu na audit a exitové strategii; kritičtí dodavatelé podléhají přímému dohledu evropských orgánů.
- Sdílení informací o hrozbách · dobrovolná, ale podporovaná výměna poznatků o kybernetických hrozbách mezi institucemi.
Tyto pilíře se prolínají · například incident zjištěný při testování musí projít stejným hlásicím procesem jako reálný útok.
Jak příprava vypadá v praxi
Konkrétní kroky, které firmy typicky musí projít, zahrnují:
- Zmapovat všechny ICT systémy a určit, které podporují kritické nebo důležité funkce.
- Aktualizovat interní směrnice o řízení rizik a schválit je na úrovni statutárního orgánu.
- Projít smlouvy s IT dodavateli a doplnit chybějící bezpečnostní a auditní klauzule.
- Nastavit interní proces pro klasifikaci a hlášení incidentů včetně kontaktů na ČNB.
- Naplánovat pravidelné testy odolnosti a u větších hráčů přípravu na TLPT testy.
Modelový příklad: menší platební instituce v Praze zjistí, že její klíčový poskytovatel cloudových služeb sídlí mimo EU a smlouva neobsahuje právo na audit ani exitovou strategii. Podle DORA musí smlouvu přepracovat, jinak riskuje, že dodavatele bude muset nahradit, nebo že se vystaví sankci od ČNB. V auditech CIAD se ukazuje, že právě smluvní vztahy s IT dodavateli bývají nejčastější mezerou, kterou firmy podceňují.
Dohled, sankce a co sledovat po startu regulace
Dohled nad plněním DORA v Česku vykonává ČNB, u kritických dodavatelů IT služeb (velké cloudové platformy) pak přímo evropské dozorové orgány (ESAs). Nesplnění povinností může vést ke správním sankcím, nápravným opatřením i k omezení činnosti. Pro fintech firmy je rizikem i to, že bez souladu s DORA mohou přijít o partnerství s bankami, které si audit dodavatelského řetězce hlídají samy.
Firmy by měly sledovat i navazující technické standardy (RTS a ITS), které Evropský orgán pro bankovnictví a ESMA postupně upřesňují · týkají se například přesného formátu hlášení incidentů nebo kritérií pro klasifikaci kritických ICT dodavatelů. Tyto standardy se mohou v čase měnit, proto je vhodné mít interní odpovědnou osobu, která regulaci průběžně sleduje.
Co to znamená: Banky, pojišťovny i fintech firmy musí mít nastavený formální systém řízení ICT rizik, umět rychle a strukturovaně hlásit incidenty, pravidelně testovat odolnost svých systémů a mít pod kontrolou smlouvy s IT dodavateli. Jde o průběžnou povinnost, ne jednorázový projekt · regulace počítá s tím, že firmy budou svůj přístup k digitální odolnosti pravidelně přezkoumávat a aktualizovat.
Časté dotazy
Musí DORA dodržovat i malá fintech firma, nebo se týká jen velkých bank?
Ano, DORA se vztahuje na většinu regulovaných finančních subjektů bez ohledu na velikost, včetně menších fintechů. Nařízení ale uplatňuje princip proporcionality, takže malé firmy mají zjednodušené požadavky na dokumentaci a testování oproti velkým bankám.
Co se stane, když firma nesplní povinnosti podle DORA?
Nesplnění může vést k sankcím od ČNB, nápravným opatřením nebo omezení činnosti. U kritických IT dodavatelů hrozí sankce i od evropských dozorových orgánů, pokud nesplní požadavky na bezpečnost a spolupráci při auditu.
Kdy přesně DORA začala platit a je ještě čas se připravit?
DORA je účinná od 17. ledna 2025, takže povinnosti platí plošně. Firmy, které přípravu ještě nedokončily, by měly urychleně doplnit chybějící smlouvy s dodavateli, hlásicí procesy a testování, protože jde o průběžně vymáhanou povinnost.
Musí banky testovat odolnost systémů i vůči reálným kybernetickým útokům?
Ano, větší instituce musí provádět pokročilé testování formou TLPT (threat-led penetration testing), které simuluje reálný útok s pomocí certifikovaných etických hackerů. Menší subjekty postačí standardní testy zranitelnosti a penetrační testy.