OTÁZKY K NAŘÍZENÍ DORA

Obojí je svým způsobem správně. Nařízení podle čl. 64 vstoupilo v platnost 16. 1. 2023, ale použije se až ode dne 17. 1. 2025. Dva roky mezi tím byly přechodným obdobím: text platil, ale nezakládal vymahatelné povinnosti.

Datum, od kterého vám může dozorový orgán něco vytknout, je tedy 17. 1. 2025. Pozor na to, že i ČNB k tomuto dni píše o „nabytí účinnosti“ — není to obsahový rozpor, jen zjednodušené pojmenování; rozbor obou dat i téhle ediční pasti je v průvodci.

Působnost je uzavřený výčet, ne obecná definice — takže si stačí najít sebe v seznamu. Čl. 2 odst. 1 vyjmenovává subjekty pod písmeny a) až u); písmena a) až t) jsou „finanční subjekty“, písmeno u) jsou poskytovatelé služeb ICT z řad třetích stran, kteří finančním subjektem nejsou.

Ve výčtu jsou i hráči, které za finanční sektor nikdo nepovažuje: poskytovatelé služeb informování o účtu, instituce elektronických peněz, registry sekuritizací, poskytovatelé služeb skupinového financování nebo zprostředkovatelé doplňkového pojištění. Celý výčet i s pastí u písmene r), které míří jen na správce kritických referenčních hodnot, je v průvodci.

Ano, jsou v čl. 2 odst. 3 a je jich šest. Bývají citované o jedno písmeno kratší, protože poslední vypadá jako historická kuriozita — jde o žirové instituce poštovních úřadů. Nejčastěji se pak přehlédne výjimka pro instituce zaměstnaneckého penzijního pojištění s plány, které dohromady nemají více než 15 účastníků.

Všech šest písmen i vazby na jednotlivé směrnice rozepisuje průvodce. Nad rámec výjimek navíc čl. 2 odst. 4 dovoluje členskému státu vyloučit z působnosti další subjekty — jestli to Česko využilo, se ověřuje v zákoně č. 31/2025 Sb., ne v nařízení.

Jen pokud jste ve výčtu. Čl. 16 není obecná výjimka pro malé subjekty, ale jmenovitý seznam — patří do něj mimo jiné malé a nepropojené investiční podniky, vyňaté platební instituce a instituce elektronických peněz a malé instituce zaměstnaneckého penzijního pojištění.

„Nepoužijí se čl. 5 až 15“ přitom neznamená „nic nemusíme“: místo nich platí osm povinností od zdokumentovaného rámce pro řízení rizika ICT po pravidelné testování plánů obnovy. Bonusem je, že nepodléháte penetračnímu testování na základě hrozeb (čl. 26 odst. 1) ani povinnosti přijmout samostatnou strategii pro riziko třetích stran (čl. 28 odst. 2).

Úplný seznam oprávněných subjektů i všech osm povinností najdete v průvodci.

Není. Mikropodniky z působnosti vyňaté nejsou a zjednodušený režim podle čl. 16 se na ně kvůli velikosti nevztahuje. Nařízení jim rozsah zužuje jen adresně — u programu testování, u penetračního testování na základě hrozeb a u výkonu práv na audit u dodavatele. Zbytek platí v plné šíři.

Praktický důsledek: „lehká verze“ DORA pro mikropodnik neexistuje, musíte projít jednotlivá ustanovení a najít, kde se zúžení opravdu týká vás. Konkrétní články, kterých se to týká, jsou v průvodci.

Samotné nařízení to neříká — kritéria jsou v nařízení v přenesené pravomoci (EU) 2024/1772. Podle jeho čl. 8 odst. 1 je incident závažný, když dopadl na významné služby a zároveň buď došlo k úspěšnému zlovolnému a neoprávněnému přístupu s možnou ztrátou údajů, nebo jsou dosaženy dvě a více jiných prahových hodnot uvedených v čl. 9 odst. 1 až 6.

Prahových hodnot je šest a stanoví je čl. 9 odst. 1 až 6 téhož nařízení — každý odstavec je jedna prahová hodnota k jednomu kritériu z čl. 1 až 5 a 7. Uvnitř odstavce stačí splnit kteroukoli z uvedených podmínek a odstavec se přesto počítá jen jednou:

• Klienti, finanční protistrany a transakce (odst. 1) — více než 10 % klientů dotčené služby, nebo více než 100 000 klientů v absolutním čísle; více než 30 % dotčených finančních protistran; dotčení klienti nebo protistrany identifikovaní jako významní; více než 10 % průměrného denního počtu transakcí nebo jejich průměrné denní hodnoty. Tohle všechno je jedna prahová hodnota: kdo naráz překročí 10 % klientů i 10 % transakcí, má pořád jednu, ne dvě.
• Doba trvání a odstávka (odst. 3) — incident trvá déle než 24 hodin, nebo odstávka služeb ICT podporujících zásadní či důležité funkce přesáhne 2 hodiny.
• Náklady a ztráty (odst. 6) — přesáhly nebo podle odhadu přesáhnou 100 000 EUR.
• Zbývající tři — poškození dobré pověsti (odst. 2), dopad ve dvou a více členských státech (odst. 4) a ztráta údajů (odst. 5). Mezi ztrátami údajů je i úspěšný zlovolný a neoprávněný přístup podle odst. 5 písm. b), na který čl. 8 odkazuje samostatně — ten stačí sám.

Z toho plyne netriviální závěr: jedna dosažená prahová hodnota k hlášení nestačí — s výjimkou zlovolného přístupu, který stačí sám. A protože se počítají odstavce čl. 9, ne jednotlivé podmínky uvnitř nich, víc splněných podmínek v jednom odstavci pořád znamená jednu prahovou hodnotu. Ve kterém odstavci čl. 9 která hodnota je a jak se váže na čl. 8, rozebírá průvodce.

Praktický důsledek pro provoz: klasifikace musí být součástí procesu řízení incidentů a musí být zdokumentovaná, protože rozhodnutí „nehlásíme“ je stejně tak rozhodnutí, které musíte umět obhájit.

Tři, podle čl. 5 odst. 1 nařízení v přenesené pravomoci (EU) 2025/301:

• Prvotní oznámení — do 4 hodin od klasifikace incidentu jako závažného, nejpozději do 24 hodin od okamžiku, kdy jste se o něm dozvěděli.
• Průběžná zpráva — do 72 hodin od prvotního oznámení, i když se stav ani způsob řešení nezměnily.
• Závěrečná zpráva — do jednoho měsíce po průběžné zprávě, případně po té poslední aktualizované.

Nestíháte? Podle čl. 5 odst. 3 musíte orgánu nejpozději v příslušné lhůtě oznámit, že ji nedodržíte, a uvést důvod — zmeškaná lhůta bez oznámení je horší než zmeškaná lhůta s oznámením. Běh lhůt při pozdější klasifikaci i víkendový režim rozebírá průvodce.

Záleží na tom, kdo jste — a plošná verze pravidla je pro banku návod, jak zmeškat lhůtu. Obecně platí, že lhůta padnoucí na víkend nebo státní svátek se posouvá až na poledne následujícího pracovního dne (čl. 5 odst. 4 nařízení 2025/301).

Jenže úvěrovým institucím, ústředním protistranám, provozovatelům obchodních systémů a dalším subjektům, které jsou podle NIS2 základní nebo důležité, se tenhle odklad u prvotního oznámení a průběžné zprávy nepoužije — čtyřhodinová i čtyřiadvacetihodinová lhůta jim běží i v sobotu v noci. A příslušný orgán může odklad vypnout i dalším významným subjektům, takže s tím nemůže dopředu počítat nikdo. Obě varianty i podmínky rozhodnutí orgánu jsou rozepsané v průvodci.

Provozní důsledek je konkrétní: pokud jste banka, potřebujete pohotovost, která umí klasifikovat a odeslat prvotní oznámení mimo pracovní dobu. Tohle je věc plánu reakce na incidenty a služby dosažitelnosti, ne compliance dokumentu — tak k tomu přistupujeme i my.

V Česku se hlásí České národní bance, a to výkazem pro závažný incident v jejím sběrném systému SDAT — podle informace ČNB je formulář dostupný jen v angličtině. Obsah zpráv a postupy stanoví prováděcí nařízení (EU) 2025/302.

Dvě věci, které se opomíjejí: má-li incident dopad na finanční zájmy klientů, musíte je bez zbytečného prodlení informovat (čl. 19 odst. 3) — to je samostatná povinnost vedle hlášení orgánu. A hlášení sice lze podle čl. 19 odst. 5 externě zadat, ale odpovědnost za jeho splnění zůstává vám.

Co se vyplatí připravit dopředu: registraci do SDAT (bez ní nemáte kudy hlásit), předvyplněné statické části výkazu, kontaktní matici a rozhodovací kritéria klasifikace v písemné podobě. Které další výkazy k DORA ČNB v SDAT vede a koho se týkají, shrnuje průvodce.

Jsou to dvě různé úrovně a plete se to. Program testování podle čl. 24 vytvoří každý finanční subjekt jiný než mikropodnik: testovat musí nezávislé subjekty, interní nebo externí, a minimální takt je alespoň jednou ročně u všech systémů a aplikací ICT podporujících zásadní nebo důležité funkce.

Penetrační testování na základě hrozeb (TLPT) podle čl. 26 se provádí alespoň jednou za tři roky, ale jen u subjektů, které k tomu určí příslušný orgán; v Česku je rámcem TIBER-EU a orgánem pro TLPT ČNB. Není to větší pentest — běží za provozu, na skutečně používaných systémech, a defenzivní tým o něm neví. Co všechno se za testování považuje a podle čeho se subjekty k TLPT určují, rozebírá průvodce.

Vodítko pro subjekty mimo určení: roční test podle čl. 24 odst. 6 má být test schopnosti detekovat a reagovat, ne export ze skeneru zranitelností. Skener najde chybějící záplatu; neřekne vám, jestli by si někdo všiml, že ji někdo zneužil.

Protože bez příslušných ustanovení ve smlouvě od vás nesmí službu odebírat. Vy nejste finanční subjekt, takže přímé povinnosti z nařízení vám obvykle nevznikají — vznikají vám ze smlouvy. Banka jimi neplní vlastní formalitu, ale zajišťuje si podklady k plnění čl. 28 a 30 a k registru informací.

Že jste malí, na tom nic nemění: definice dodavatele v čl. 3 bodu 19 žádný velikostní limit nemá a definice služeb ICT v bodu 21 je stejně široká. Tříčlenný softwarový dům dodávající jeden mikroservis je dodavatelem ICT stejně jako hyperscaler — obě definice i jejich hranice rozebírá průvodce.

Východiskem celého vztahu je čl. 28 odst. 1 písm. a): finanční subjekt je za dodržení povinností podle nařízení vždy plně odpovědný. Outsourcing odpovědnost nepřenáší, jen mění místo, kde riziko vzniká — a proto je banka na dodavateli tak citlivá.

Čl. 30 odst. 2 stanoví minimum pro každou smlouvu o službách ICT: popis funkcí a služeb včetně podmínek subdodávek, konkrétní místa poskytování služby a zpracování dat, ochranu údajů, přístup k datům a jejich vrácení při ukončení nebo insolvenci, popis úrovně služeb, pomoc při incidentu, součinnost s orgány, výpovědní lhůty a účast na školeních. Úplný výčet i tvrdší nadstavbu z odst. 3 najdete v průvodci.

Nesmyslné z toho není nic — ale podceněné bývají dvě věci. První je pomoc při ICT incidentu bez dodatečných nákladů, nebo za náklady stanovené předem: pokud ji nemáte v ceníku podpory, právě jste ji dali zdarma a bez limitu. Druhá je povinnost předem oznámit změnu míst, kde se data zpracovávají — musíte tedy vědět, kde vám běží subdodavatelé, a mít proces na jejich změnu.

Tvrdší ustanovení podle čl. 30 odst. 3 se použijí tehdy, když vaše služba podporuje zásadní nebo důležitou funkci banky — a o tom rozhoduje banka, ne vy. Přidávají se přesné výkonnostní cíle, hlášení zhoršené schopnosti službu poskytovat, testované plány zachování provozu, účast na testech banky, práva na audit a exit strategie s přechodným obdobím; jednotlivé body jsou rozepsané v průvodci.

U auditních práv platí, že jejich účinné uplatnění nesmí být brzděno jinou smluvní úpravou ani vaší interní politikou (čl. 30 odst. 3 písm. e) bod i)) — obvyklá klauzule „audit pouze podle naší auditní politiky“ tedy neprojde.

Vyjednat se dá dvojí. Čl. 30 odst. 4 počítá s použitím standardních smluvních doložek vypracovaných veřejnými orgány, což je legitimní argument proti individuálním výmyslům v každém dodatku. A je-li finanční subjekt mikropodnikem, lze podle čl. 30 odst. 3 posledního pododstavce dohodnout, že audit vykonává nezávislá třetí strana určená dodavatelem.

Nejsou to dotazníky pro dotazníky. Banka jimi plní čl. 28 odst. 4 a 5: před uzavřením smlouvy musí posoudit rizika ujednání včetně možného zesílení rizika koncentrace, provést due diligence a ověřit, že splňujete příslušné normy bezpečnosti informací. Co všechno si přitom musí zjistit, je v průvodci.

Zároveň potřebuje strukturovaná data o vás do registru informací — a odtud pramení otázky, které vypadají zbytečně administrativně: kód LEI, přesné země zpracování dat, seznam subdodavatelů a jejich pořadí v řetězci.

Praktický přístup, který funguje: postavit si jednu vlastní bezpečnostní dokumentaci (rozsah služby, architektura, opatření, plán reakce na incidenty, výsledky testů, seznam subdodavatelů se zeměmi) a z ní dotazníky obsluhovat. Bez toho odpovídáte každé bance zvlášť, po pár desítkách dotazníků jste v rozporu sami se sebou a nejbližší audit to najde. Postavit takový podklad je jedna z věcí, které pro dodavatele děláme — vyplňování cizích formulářů ne.

Registr informací nevedete vy, ale finanční subjekt. Povinnost z čl. 28 odst. 3 dopadá na banku — vy jste ten, o kom se v registru vykazuje. Vaše role je dodat správná data: kód LEI (případně evropský identifikátor EUID), země poskytování a zpracování, popis služby a seznam subdodavatelů s jejich pořadím v řetězci, kde přímý dodavatel má vždy 1 a subdodavatel vždy víc. Jak je formát podle prováděcího nařízení (EU) 2024/2956 poskládaný, ukazuje průvodce.

K dozoru: přímý evropský dohled se týká jen kritických poskytovatelů určených podle čl. 31, a ty nedozoruje ČNB, nýbrž hlavní orgán dohledu z řad evropských orgánů (EBA, EIOPA nebo ESMA). První seznam vyšel 18. 11. 2025 a aktualizuje se každoročně; jsou na něm poskytovatelé s celoevropským záběrem, ne české softwarové domy.

To ale neznamená, že jste vůči ČNB neviditelní. Podle § 19 zákona č. 31/2025 Sb. se poskytovatel služeb ICT z řad třetích stran dopustí přestupku tím, že neposkytne ČNB požadovanou součinnost při dohledu podle čl. 50 odst. 2 nařízení. U kritického poskytovatele je přestupkem i neposkytnutí součinnosti hlavnímu orgánu dohledu.

Ne úplně — a tohle je nejčastější nedorozumění na rozhraní obou předpisů. Odpověď „pod DORA, ne pod ZKB“ je zkratka, která platí jen pro část povinností. Mechanismus je v čl. 4 směrnice NIS2: má-li odvětvový akt Unie alespoň rovnocenné požadavky na řízení kybernetických rizik a hlášení incidentů, ustanovení směrnice včetně dohledu a vymáhání se nepoužijí — a DORA je podle svého čl. 1 odst. 2 takový akt.

Není to ale paušální vyloučení zákona. Společné prohlášení ČNB a NÚKIB z 24. 6. 2026 jmenuje povinnosti, které subjektu pod DORA zůstávají — mimo jiné povinnou registraci u NÚKIB a stav kybernetického nebezpečí — a přidávají se i požadavky, které jsou v zákoně výrazně přísnější nebo podrobnější, než co řeší DORA.

Prakticky: bezpečnostní opatření a hlášení incidentů řešíte podle DORA vůči ČNB, zbytek zákona na vás dopadá dál; formulace „jsme mimo ZKB“ v komunikaci s NÚKIB neobstojí. Celé rozdělení mezi oba předpisy rozebírá průvodce.

Podle společného prohlášení z 24. 6. 2026 primárně ČNB. Vykonáváte-li ale specifické činnosti, kde rovnocenná úprava chybí — prohlášení uvádí jako příklad služby vytvářející důvěru — přistupuje doplňkový dohled příslušného orgánu, tedy například Digitální a informační agentury nebo NÚKIB, nad implementací těchto specifických požadavků. V rámci takové kontroly může být prověřena i ta část bezpečnostního rámce podle DORA, kterou daná činnost bezprostředně ovlivňuje.

Oba úřady se navíc dohodly na spolupráci podle intenzity vlastního dohledu, včetně společných kontrol a sdílení výsledků. Počítejte tedy s tím, že se informace mezi úřady dostane. Jak je dohled rozdělený a co ze zákona zůstává, shrnuje průvodce.

Klidně ano, a je to častější, než se čeká. To, že nejste pod DORA přímo, vás nedělá neregulovanými: vyhláška č. 408/2025 Sb. stanoví v odvětví digitální infrastruktury a služeb jako regulované služby mimo jiné cloud computing, službu datového centra, řízené služby a řízené bezpečnostní služby. Splníte-li podmínku významnosti, stáváte se regulovaným subjektem podle zákona č. 264/2025 Sb. a povinnosti plníte sami za sebe — vedle toho, co po vás chtějí banky ve smlouvách podle čl. 30 DORA.

Dva tituly ale neznamenají dva projekty: opatření jsou v obou předpisech z velké části stejná, liší se hlášení, dozorový orgán a formát dokladů, takže se dá postavit jedno posouzení rizik a rozdíly pokrýt mapováním. Souběh obou předpisů rozebírá průvodce; k samotnému zákonu je tu průvodce ZKB a kalkulačka dopadu.

Českou adaptaci tvoří zákon č. 31/2025 Sb. o digitalizaci finančního trhu a doprovodný zákon č. 32/2025 Sb., oba účinné od 15. 2. 2025. Příslušným orgánem podle DORA je podle § 9 Česká národní banka: dozoruje každou osobu, na kterou povinnosti nebo zákazy z nařízení dopadají, ukládá opatření k nápravě a vymáhá je donucovacími pokutami.

Donucovací pokuta podle § 14 není sankcí za přestupek — vymáhá se jí splnění už uloženého opatření k nápravě nebo povinnosti, a to postupným ukládáním. Jednotlivá donucovací pokuta nesmí přesáhnout 5 000 000 Kč, souhrnně nesmí přesáhnout 20 000 000 Kč. Pokuty za přestupky podle § 18 a 19 běží vedle toho samostatně.

Pozor na jednu výjimku: kritické poskytovatele služeb ICT nedozoruje ČNB. Hlavní orgán dohledu jim podle čl. 31 odst. 1 písm. b) jmenují evropské orgány dohledu a je to jeden z nich — EBA, EIOPA nebo ESMA podle toho, kde je největší podíl aktiv závislých finančních subjektů. Jednotlivé pravomoci ČNB i mechanismus určení kritických poskytovatelů popisuje průvodce.

Nařízení samo výši sankcí nestanoví — čl. 50 ukládá členským státům zavést účinné, přiměřené a odrazující správní sankce a nápravná opatření. Konkrétní částky jsou tedy národní; v Česku v části o přestupcích zákona č. 31/2025 Sb. (§ 18 a násl.) a jsou odstupňované podle toho, co bylo porušeno:

• Do 50 000 000 Kč — rámec pro řízení rizika ICT, politika zachování provozu, hlášení závažných incidentů, testování odolnosti a řízení rizik třetích stran.
• Do 20 000 000 Kč — ostatní povinnosti při řízení rizika ICT a u procesu a klasifikace incidentů.
• Do 10 000 000 Kč — neoznámení účasti v ujednání o sdílení informací a neposkytnutí součinnosti ČNB při dohledu.
• Dodavatelé (§ 19): do 10 000 000 Kč za neposkytnutí součinnosti ČNB; u kritického poskytovatele do 20 000 000 Kč i vůči hlavnímu orgánu dohledu. Lze uložit i zveřejnění rozhodnutí.

U kritických poskytovatelů má hlavní orgán dohledu vlastní nástroj: penále až 1 % průměrného denního celosvětového obratu, ukládané na denním základě, dokud není dosaženo souladu, nejdéle šest měsíců (čl. 35 odst. 6 až 8).

Které konkrétní články se pod kterou sazbu vejdou, rozepisuje průvodce; přesné znění skutkových podstat i částek je v zákoně č. 31/2025 Sb. v e-Sbírce.

DORA to neřeší jako sankci, ale jako přidělenou roli: podle čl. 5 odst. 2 písm. a) nese vedoucí orgán konečnou odpovědnost za řízení rizika ICT, přiděluje na ni rozpočet a podle čl. 5 odst. 4 se v této oblasti sám pravidelně školí. Čl. 50 odst. 5 nad to předpokládá, že členské státy svěří orgánům pravomoc uplatnit sankce a nápravná opatření i vůči členům vedoucího orgánu.

Praktický důsledek je jednoduchý a levný: zápis z jednání, ve kterém vedení schválilo rámec pro řízení rizika ICT, přijalo strategii digitální provozní odolnosti a přidělilo jí rozpočet, plus doklad o školení členů vedení. Bez toho je splnění čl. 5 tvrzení, ne důkaz. Souvislosti s dozorem a sankcemi jsou v průvodci.