PRŮVODCE NAŘÍZENÍM DORA

Co DORA řeší a od kdy se používá

DORA je nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru; zkratka vznikla z anglického názvu Digital Operational Resilience Act. Jako nařízení je přímo použitelné — nepřekládá se do českého zákona, povinnosti platí přímo z evropského textu. Český zákon k němu určuje jen dozorový orgán a přestupky.

Předmětem není bankovní právo, ale riziko v oblasti ICT. Nařízení ho v čl. 3 bodu 5 definuje jako okolnosti spojené s používáním sítí a informačních systémů, které mohou narušit jejich bezpečnost a vyvolat nepříznivé dopady. Tomu odpovídá i struktura: řízení rizik, detekce a hlášení incidentů, testování, dodavatelský řetězec, sdílení informací o hrozbách. Prakticky jde o systém řízení bezpečnosti informací s tvrdě vymahatelnými lhůtami hlášení a s regulovaným dodavatelským řetězcem.

Data jsou dvě a pletou se. Nařízení bylo vyhlášeno v Úředním věstníku 27. 12. 2022 a podle čl. 64 vstoupilo v platnost dvacátým dnem po vyhlášení, tedy 16. 1. 2023. Tentýž článek pak stanoví, že se použije ode dne 17. 1. 2025. Do 17. 1. 2025 tedy nařízení existovalo a platilo, ale nezakládalo vymahatelné povinnosti — dva roky byly přechodným obdobím na přípravu.

Ediční past: Česká národní banka na své stránce k DORA píše, že nařízení „vstoupilo v platnost 17. ledna 2025“, a aktualita z téhož dne má titulek „Nařízení DORA nabývá účinnosti“. Nejde o rozpor v obsahu, ale o zjednodušené pojmenování data použitelnosti — u nařízení se rozlišuje vstup v platnost a použitelnost, u zákona se běžně říká účinnost. Pokud se o datum někdy povede spor, rozhodné je znění čl. 64, ne formulace na webu.

Kdo spadá do působnosti, kdo je vyňatý a kdo má lehčí rámec

Působnost je uzavřený výčet. Čl. 2 odst. 1 vyjmenovává subjekty pod písmeny a) až u). Písmena a) až t) nařízení souhrnně nazývá „finančními subjekty“ (čl. 2 odst. 2), písmeno u) jsou poskytovatelé služeb ICT z řad třetích stran. To je zásadní rozdíl v postavení: dodavatel je uvnitř působnosti nařízení, ale finančním subjektem není, takže na něj většina povinností nedopadá přímo, nýbrž přes smlouvu. Výjimkou jsou kritičtí poskytovatelé, které dozorují evropské orgány (viz níže).

Zjednodušený režim podle čl. 16 není obecná výjimka „pro malé“ — je to jmenovitý výčet. Vztahuje se na malé a nepropojené investiční podniky, platební instituce vyňaté podle směrnice 2015/2366, instituce vyňaté podle směrnice 2013/36/EU, u nichž členský stát neuplatnil možnost podle čl. 2 odst. 4, instituce elektronických peněz vyňaté podle směrnice 2009/110/ES a malé instituce zaměstnaneckého penzijního pojištění. Na tyto subjekty se nepoužijí čl. 5 až 15 — místo nich jim čl. 16 odst. 1 druhý pododstavec ukládá osm povinností, které pokrývají kyberbezpečnostní minimum (v odrážkách níž).

Zjednodušený režim snižuje zátěž i na dalších místech nařízení: subjekty podle čl. 16 odst. 1 nepodléhají penetračnímu testování na základě hrozeb (čl. 26 odst. 1) ani povinnosti přijímat samostatnou strategii pro riziko třetích stran (čl. 28 odst. 2).

Mikropodnik ale není synonymem pro zjednodušený režim. Mikropodniky z působnosti vyňaté nejsou — nařízení jim jen na několika místech zužuje rozsah, například u programu testování (čl. 24 a čl. 25 odst. 3), u penetračního testování na základě hrozeb (čl. 26 odst. 1) nebo u výkonu práv na audit u dodavatele (čl. 30 odst. 3 poslední pododstavec). Zbytek platí.

• Osm povinností místo čl. 5 až 15 (čl. 16 odst. 1 druhý pododstavec). Zdokumentovaný rámec pro řízení rizika ICT včetně ochrany fyzických součástí, průběžné sledování bezpečnosti a fungování systémů, aktuální a odolné systémy a nástroje, rychlá identifikace zdrojů rizik a anomálií, určení klíčových závislostí na dodavatelích ICT, plány zachování provozu se zálohováním a obnovou, pravidelné testování těchto plánů a promítnutí zjištění z testů a poincidentových analýz do posuzování rizik včetně školení.
• Do výčtu finančních subjektů podle čl. 2 odst. 1 patří vedle bank a pojišťoven i řada menších hráčů, kteří se za „finanční sektor“ obvykle nepovažují.
• úvěrové instituce, platební instituce (včetně vyňatých podle směrnice 2015/2366), poskytovatelé služeb informování o účtu, instituce elektronických peněz (včetně vyňatých podle směrnice 2009/110/ES)
• investiční podniky, obchodní systémy, poskytovatelé služeb hlášení údajů, centrální depozitáře cenných papírů, ústřední protistrany, registry obchodních údajů, registry sekuritizací
• správci alternativních investičních fondů a správcovské společnosti
• pojišťovny a zajišťovny, zprostředkovatelé pojištění, zajištění a doplňkového pojištění, instituce zaměstnaneckého penzijního pojištění
• poskytovatelé služeb souvisejících s kryptoaktivy s povolením podle nařízení o trzích s kryptoaktivy a vydavatelé tokenů vázaných na aktiva
• ratingové agentury, poskytovatelé služeb skupinového financování a správci kritických referenčních hodnot — čl. 2 odst. 1 písm. r) míří jen na správce kritických referenčních hodnot, ne na správce referenčních hodnot obecně

Výjimky v čl. 2 odst. 3 mají šest písmen a snadno se o jedno zkrátí. Nařízení se nevztahuje na: a) správce alternativních investičních fondů podle čl. 3 odst. 2 směrnice 2011/61/EU, b) pojišťovny a zajišťovny podle čl. 4 směrnice 2009/138/ES, c) instituce zaměstnaneckého penzijního pojištění s plány, které dohromady nemají více než 15 účastníků, d) osoby vyňaté podle čl. 2 a 3 směrnice 2014/65/EU, e) zprostředkovatele pojištění, zajištění a doplňkového pojištění, kteří jsou mikropodniky, malými nebo středními podniky, a f) žirové instituce poštovních úřadů podle čl. 2 odst. 5 bodu 3 směrnice 2013/36/EU. Nad to čl. 2 odst. 4 dovoluje členskému státu vyloučit z působnosti subjekty uvedené v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU.

Pět oblastí, ze kterých se DORA skládá

Nařízení se dělí na pět tematických bloků. Pořadí odpovídá tomu, jak na sebe navazují v praxi: nejdřív musí být jasné, kdo rozhoduje a podle čeho, pak schopnost incident poznat a nahlásit, pak ověřování, že to funguje, a nakonec dodavatelský řetězec, který u finančního sektoru tvoří většinu reálné rizikové expozice.

• Řízení rizik ICT (kapitola II, čl. 5–16). Vnitřní řídicí a kontrolní rámec, rámec pro řízení rizika ICT, politika zachování provozu a plány obnovy, zálohování, poučení z incidentů. Odpovědnost je adresná: podle čl. 5 odst. 2 písm. a) nese vedoucí orgán konečnou odpovědnost za řízení rizika ICT, podle písm. g) přiděluje a přezkoumává rozpočet na odolnost a podle čl. 5 odst. 4 se sám pravidelně školí. Subjekty jiné než mikropodniky vytvoří funkci pro sledování dodavatelských ujednání, nebo tím pověří jednoho vedoucího pracovníka (čl. 5 odst. 3).
• Řízení, klasifikace a hlášení incidentů (kapitola III, čl. 17–23). Proces řízení incidentů s ukazateli včasného varování, záznam všech incidentů a závažných kybernetických hrozeb, klasifikace podle jednotných kritérií a hlášení závažných incidentů v přesných lhůtách.
• Testování digitální provozní odolnosti (kapitola IV, čl. 24–27). Program testování jako součást rámce pro řízení rizik, roční testy systémů podporujících zásadní nebo důležité funkce a u určených subjektů penetrační testování na základě hrozeb.
• Řízení rizik třetích stran (kapitola V, čl. 28–44). Registr informací, povinná smluvní ustanovení, posouzení rizika koncentrace, exit strategie a rámec dohledu nad kritickými poskytovateli ICT.
• Sdílení informací o hrozbách (kapitola VI, čl. 45). Dobrovolné. Finanční subjekty si mohou v důvěryhodných komunitách vyměňovat indikátory narušení, taktiky, techniky a postupy i konfigurační nástroje, pokud to probíhá v rámci ujednání chránícího citlivost informací. Účast v takovém ujednání se ale povinně oznamuje příslušnému orgánu (čl. 45 odst. 3) — a nesplnění tohoto oznámení je v Česku samostatný přestupek.

Český překlad nařízení používá zkratku „IKT“ tam, kde se v praxi říká ICT. Jde o totéž, ale při hledání v úředním textu je potřeba psát IKT — jinak dotaz nic nenajde.

Kdy je incident závažný a v jakých lhůtách se hlásí

Povinnost hlásit závažné incidenty související s ICT plyne z čl. 19, ale kdy je incident závažný a do kdy se co posílá, nařízení samo neříká. Klasifikaci upravuje nařízení v přenesené pravomoci (EU) 2024/1772, lhůty nařízení v přenesené pravomoci (EU) 2025/301. Bez těchto dvou textů se povinnost hlášení nedá splnit.

Podle čl. 8 odst. 1 nařízení 2024/1772 je incident závažný, pokud jsou jím dotčeny významné služby a současně je splněna alespoň jedna ze dvou podmínek: buď je dosažena prahová hodnota u kritéria ztráty údajů podle čl. 9 odst. 5 písm. b) uvedeného nařízení — tedy došlo k úspěšnému zlovolnému a neoprávněnému přístupu do sítě a informačních systémů, který může vést ke ztrátám údajů — nebo jsou dosaženy dvě a více jiných prahových hodnot. Jedna splněná prahová hodnota tedy s výjimkou zlovolného přístupu k hlášení nevede.

Lhůty podle čl. 5 odst. 1 nařízení 2025/301 jsou tři. Prvotní oznámení co nejdříve, v každém případě do 4 hodin od klasifikace incidentu jako závažného a nejpozději do 24 hodin od okamžiku, kdy se subjekt o incidentu dozvěděl. Průběžná zpráva nejpozději do 72 hodin od prvotního oznámení, a to i tehdy, když se stav ani způsob řešení nezměnily. Závěrečná zpráva nejpozději jeden měsíc po průběžné zprávě, případně po poslední aktualizované průběžné zprávě.

Pokud se subjekt o incidentu dozvěděl dřív, ale jako závažný ho vyhodnotil až později, běží pro prvotní oznámení 4 hodiny od klasifikace (čl. 5 odst. 2). Odklad na víkend a státní svátek pak existuje, ale ne pro každého — a právě tady se dělá nejdražší chyba, protože plošná verze pravidla je pro banku návod, jak zmeškat lhůtu. Odrážky níž shrnují obojí: nejdřív prahové hodnoty, pak tři varianty odkladu.

• Prahové hodnoty podle čl. 9 nařízení 2024/1772. Více než 10 % klientů dotčené služby nebo více než 100 000 klientů; více než 30 % dotčených finančních protistran; více než 10 % průměrného denního počtu nebo hodnoty transakcí; dotčení klienti nebo protistrany identifikovaní jako významní; poškození dobré pověsti; doba trvání incidentu nad 24 hodin nebo odstávka služeb ICT podporujících zásadní nebo důležité funkce nad 2 hodiny; dopad ve dvou a více členských státech; ztráta údajů; náklady a ztráty přesahující 100 000 EUR.
• Varianta A — obecné pravidlo (čl. 5 odst. 4). Připadne-li lhůta pro prvotní oznámení, průběžnou nebo závěrečnou zprávu na víkendový den nebo státní svátek v členském státě hlásícího subjektu, lze zprávu podat nejpozději v poledne následujícího pracovního dne.
• Varianta B — bez odkladu u prvotního oznámení a průběžné zprávy (čl. 5 odst. 5). Odstavec 4 se nepoužije na prvotní oznámení a průběžnou zprávu u úvěrových institucí, ústředních protistran, provozovatelů obchodních systémů a dalších finančních subjektů, které se podle čl. 3 směrnice (EU) 2022/2555 považují za základní nebo důležité subjekty. U těchto subjektů běží čtyřhodinová i čtyřiadvacetihodinová lhůta i v sobotu v noci a na Štědrý den. Odklad jim zůstává jen u závěrečné zprávy.
• Rozšíření varianty B rozhodnutím orgánu (čl. 5 odst. 6). Příslušný orgán může odklad vypnout i dalším subjektům, které jsou významné nebo mají systemický charakter na vnitrostátní či unijní úrovni. Rozhodnutí subjektu oznámí a použije se jen na incidenty nahlášené po dni oznámení. Praktický důsledek: banka nesmí stavět postup na obecném pravidle a nikdo nesmí předpokládat, že se ho rozhodnutí orgánu nikdy nedotkne.

V Česku se hlásí České národní bance prostřednictvím sběrného systému SDAT, výkazem pro hlášení závažného incidentu; formulář je podle informace ČNB výhradně v angličtině. Nestihne-li subjekt lhůtu, musí to orgánu podle čl. 5 odst. 3 nařízení 2025/301 oznámit bez zbytečného odkladu, nejpozději v příslušné lhůtě, a vysvětlit důvod. Má-li incident dopad na finanční zájmy klientů, informuje je subjekt bez zbytečného prodlení podle čl. 19 odst. 3 nařízení DORA. Hlášení lze podle čl. 19 odst. 5 externě zadat, ale odpovědnost za jeho splnění zůstává finančnímu subjektu — na tohle se dá dívat jako na běžný proces řízení incidentů, jen s hodinovými, ne denními lhůtami a s předem připraveným výkazem; my ho nastavujeme jako součást plánu reakce na incidenty, ne jako samostatnou compliance agendu.

Testování odolnosti a penetrační testování na základě hrozeb

Testování je oblast, kde DORA nejvíc připomíná běžnou bezpečnostní praxi. Podle čl. 24 vytvoří finanční subjekty jiné než mikropodniky program testování jako součást rámce pro řízení rizika ICT, uplatní přístup založený na posouzení rizik a zajistí, aby testy provedly interní nebo externí nezávislé subjekty; u interního testování musí vyčlenit zdroje a vyloučit střet zájmů ve fázi návrhu i provádění. Čl. 24 odst. 6 pak stanoví tvrdý minimální takt: alespoň jednou ročně vhodné testy všech systémů a aplikací ICT podporujících zásadní nebo důležité funkce.

Co všechno se za testování považuje, vyjmenovává čl. 25 — přehled je v odrážkách níž. Centrální depozitáře cenných papírů a ústřední protistrany navíc provádějí hodnocení zranitelnosti před každým použitím i opakovaným použitím aplikací a prvků infrastruktury podporujících zásadní nebo důležité funkce (čl. 25 odst. 2).

Nejvyšší úroveň je penetrační testování na základě hrozeb (TLPT) podle čl. 26. Provádí se alespoň jednou za tři roky, ale netýká se všech — vztahuje se na subjekty jiné než uvedené v čl. 16 odst. 1 a jiné než mikropodniky, které jsou k tomu určeny příslušným orgánem. Kritéria určení upřesňuje nařízení v přenesené pravomoci (EU) 2025/1190: na jedné straně dopad a systémová povaha subjektu, na druhé faktory rizik ICT — složitost architektury, závislost zásadních funkcí na systémech ICT, počet a druh dodavatelských ujednání a vyspělost schopnosti sledovat infrastrukturu a včas reagovat.

TLPT není větší pentest. Podle čl. 26 odst. 2 se provádí za provozu, na systémech skutečně používaných k zajištění zásadních nebo důležitých funkcí, rozsah potvrzuje příslušný orgán a defenzivní tým o testu neví. Jsou-li do rozsahu zahrnuti dodavatelé ICT, subjekt zajistí jejich účast (čl. 26 odst. 3); hrozilo-li by tím poškození zákazníků dodavatele stojících mimo působnost DORA, lze podle čl. 26 odst. 4 provést společné testování pro několik finančních subjektů pod vedením jednoho z nich.

• hodnocení a zjišťování zranitelnosti, analýzy otevřených zdrojů, posouzení bezpečnosti sítě a analýzy nedostatků
• přezkumy fyzické bezpečnosti a dotazníky
• antivirová řešení a tam, kde je to proveditelné, přezkumy zdrojových kódů
• testy podle scénářů, testování kompatibility, výkonu a mezi koncovými body
• penetrační testování

V Česku je rámcem TIBER-EU, ke kterému Česká národní banka přistoupila v září 2024; v březnu 2025 vydala Implementačního průvodce TIBER-CZ a působí jako orgán pro penetrační testování na základě hrozeb. Pro subjekty, které do určení nespadají, z toho vyplývá praktické vodítko: roční test podle čl. 24 odst. 6 má být test schopnosti detekovat a reagovat, ne jen výstup ze skeneru zranitelností.

Dodavatelský řetězec a registr informací — pohled finančního subjektu

Východiskem je čl. 28 odst. 1 písm. a): finanční subjekt, který nakupuje služby ICT, je vždy plně odpovědný za dodržení všech povinností podle nařízení. Outsourcing nepřenáší odpovědnost, jen mění místo, kde riziko vzniká. Subjekty jiné než uvedené v čl. 16 odst. 1 a jiné než mikropodniky k tomu přijímají a přezkoumávají strategii pro riziko třetích stran, kterou pravidelně přezkoumává vedoucí orgán (čl. 28 odst. 2).

Před uzavřením smlouvy má finanční subjekt podle čl. 28 odst. 4 posoudit, zda se ujednání týká zásadních nebo důležitých funkcí, zda jsou splněny podmínky dohledu, jaká rizika z ujednání plynou včetně možného zesílení rizika koncentrace, provést due diligence dodavatele a posoudit střety zájmů. Podle čl. 28 odst. 5 smí kontrahovat jen s dodavateli splňujícími příslušné normy bezpečnosti informací a u zásadních nebo důležitých funkcí musí zvážit, zda dodavatel uplatňuje nejaktuálnější a nejkvalitnější normy.

Čl. 28 odst. 7 a 8 pak vyžadují možnost smlouvu ukončit ve vyjmenovaných situacích a u zásadních nebo důležitých funkcí zdokumentovanou, otestovanou a pravidelně přezkoumávanou strategii ukončení včetně plánů přechodu k alternativnímu dodavateli nebo dovnitř organizace.

Registr informací podle čl. 28 odst. 3 je ucelený přehled všech smluvních ujednání o využívání služeb ICT, vedený na úrovni subjektu i na subkonsolidované a konsolidované úrovni, s rozlišením ujednání, která podporují zásadní nebo důležité funkce. Není to jednorázový soupis: váže se k němu ohlašovací povinnost, pevný formát a v Česku každoroční sběr přes ČNB. Podrobnosti jsou v odrážkách níž.

• Tři povinnosti navázané na registr, které se snadno přehlédnou: alespoň jednou ročně nahlásit příslušnému orgánu počet nových ujednání, kategorie dodavatelů, druh ujednání a poskytované služby a funkce; na žádost orgánu zpřístupnit celý registr nebo jeho části; a včas informovat orgán o plánovaném ujednání týkajícím se zásadních nebo důležitých funkcí, případně o tom, že se některá funkce stala zásadní nebo důležitou.
• Formát stanoví prováděcí nařízení (EU) 2024/2956. Vzory jsou v příloze I — patnáct provázaných tabulek od B_01.01 po B_99.01, každá s pevným počtem sloupců a libovolným počtem řádků, přičemž každá kombinace hodnot se vykazuje samostatným řádkem. Přílohy II až IV jsou číselníky, na které pokyny k vyplnění odkazují: seznam činností podle typu subjektu, typologie služeb IKT s identifikátory S01 až S19 a pokyn, jak vykázat hodnotu celkových aktiv.
• Pořadí v dodavatelském řetězci: přímý dodavatel má vždy pořadí 1, subdodavatel vždy vyšší, a podle čl. 2 uvedeného nařízení jde o jakékoli přirozené číslo od 1 výš — žádný pevný počet vrstev řetězce norma nestanoví. Ze subdodavatelů se uvádějí ti, kteří fakticky zajišťují služby ICT podporující zásadní nebo důležité funkce nebo jejich podstatné části (čl. 3 odst. 2). Právnické osoby se identifikují platným kódem LEI, případně evropským identifikátorem EUID.
• V Česku se registr předkládá České národní bance přes systém SDAT. Výskyty výkazu se vykazujícím osobám generují automaticky a termín splnění stanoví ČNB výzvou — pro sběr ohlášený na rok 2026 byl podle stránek ČNB termín 2. 3. 2026.
• Úroveň, na které se vykazuje, se liší podle typu subjektu. U úvěrových institucí, centrálního depozitáře cenných papírů, obchodních systémů, pojišťoven a zajišťoven se podle informace ČNB předkládá na nejvyšší úrovni konsolidace v EU; u platebních institucí, poskytovatelů platebních služeb malého rozsahu, institucí elektronických peněz, obchodníků s cennými papíry, správců fondů, správcovských společností, zprostředkovatelů pojištění a poskytovatelů služeb skupinového financování na individuální úrovni.
• Bez kódu LEI výkaz neprojde. ČNB na to upozorňuje samostatně — kdo LEI nemá, musí si ho zřídit, jinak vykazovací povinnost nesplní.
• Výkazů k DORA vede ČNB v SDAT čtyři. Vedle registru informací, hlášení závažného incidentu a hlášení významné kybernetické hrozby je tu ještě hlášení bezpečnostních a provozních rizik (HLASRIZ01). Míří na vyjmenované kategorie subjektů — mimo jiné platební instituce a poskytovatele platebních služeb malého rozsahu, instituce elektronických peněz a jejich vydavatele malého rozsahu, obchodníky s cennými papíry, správce fondů a správcovské společnosti, zprostředkovatele pojištění a poskytovatele služeb skupinového financování — a předkládá se na základě výzvy ČNB, ve které je stanovené i datum.

K rozsahu registru existuje datovaný výklad ČNB. V odpovědích z webináře k výkaznictví DORA z 27. 3. 2025 ČNB uvedla, že prováděcí norma předpokládá všechny dodavatele služeb ICT, ale že za minimální standard dostatečnosti bude v té fázi považovat uvedení významných a kritických dodavatelů, tedy těch, jejichž služby mají zásadní vliv na provozní schopnosti, bezpečnost nebo kontinuitu. Je to výklad dozorového orgánu k prvnímu sběru dat, ne text normy — před podáním se hodí ověřit, co ČNB uvádí k aktuálnímu sběru.

Část pro dodavatele: co znamená čl. 30, když nejste banka

Definice dodavatele je záměrně široká a bez velikostního limitu. Čl. 3 bod 19 označuje za poskytovatele služeb ICT z řad třetích stran jakýkoli „podnik poskytující služby IKT“ a stejně široce je v čl. 3 bodu 21 vymezená i samotná služba: průběžně poskytované digitální a datové služby přes systémy ICT komukoli uvnitř i vně organizace, včetně hardwaru dodávaného jako služba a jeho podpory formou aktualizací softwaru či firmwaru. Jedinou výslovnou výjimkou jsou tradiční analogové telefonní služby.

Tříčlenný softwarový dům, který bance dodává jeden mikroservis, je tedy dodavatelem ICT stejně jako hyperscaler. Přímé povinnosti z nařízení mu obvykle nevznikají. Vznikají mu ze smlouvy, protože banka bez příslušných ustanovení smlouvu uzavřít nesmí. Právě proto od poloviny roku 2025 chodí softwarovým domům, poskytovatelům SaaS a řízených služeb smluvní dodatky a rozsáhlé bezpečnostní dotazníky — banka jimi neplní vlastní formalitu, ale zajišťuje si podklady k plnění čl. 28 a 30 a k registru informací.

Podle čl. 30 odst. 1 musí být práva a povinnosti rozděleny písemně a úplná smlouva včetně dohod o úrovni služeb má být v jednom dokumentu dostupném v papírové podobě nebo ve stažitelném, trvalém a přístupném formátu. Čl. 30 odst. 2 pak vyjmenovává minimum, které musí obsahovat každá smlouva o službách ICT, a čl. 30 odst. 3 k němu přidává další ustanovení pro případ, že vaše služba podporuje zásadní nebo důležitou funkci banky.

Co je zásadní nebo důležitá funkce, vymezuje čl. 3 bod 22 — zjednodušeně jde o činnost, bez které by banka měřitelně utrpěla po finanční stránce, nedokázala by udržet chod svých služeb, nebo by přestala plnit podmínky, za kterých má povolení k činnosti. O tom, jestli tam vaše služba patří, rozhoduje banka — a v praxi to poznáte podle toho, jak tvrdý dodatek dostanete.

• srozumitelný a úplný popis funkcí a služeb s uvedením, zda jsou povoleny subdodávky a za jakých podmínek
• místa — konkrétní regiony nebo země — kde se služba poskytuje a kde se data zpracovávají a uchovávají, plus povinnost dodavatele předem oznámit plánovanou změnu těchto míst
• ustanovení o dostupnosti, hodnověrnosti, integritě a důvěrnosti při ochraně údajů včetně osobních
• zajištění přístupu, obnovy a vrácení dat ve snadno přístupném formátu při insolvenci, řešení krize, přerušení činnosti dodavatele nebo ukončení smlouvy
• popis úrovně služeb včetně aktualizací a revizí
• povinnost poskytnout pomoc při ICT incidentu bez dodatečných nákladů, nebo za náklady stanovené předem — tohle je bod, který se v cenotvorbě podpory nejčastěji podcení
• povinnost plně spolupracovat s příslušnými orgány a orgány pro řešení krize
• práva na ukončení a související minimální výpovědní lhůty
• podmínky účasti dodavatele na programech zvyšování povědomí o bezpečnosti ICT a na školeních o digitální provozní odolnosti
• Navíc u zásadních nebo důležitých funkcí (čl. 30 odst. 3) platí následující body.
• Úplný popis úrovně služeb s přesnými kvalitativními i kvantitativními výkonnostními cíli, aby banka mohla službu účinně sledovat a neprodleně zasáhnout při nedodržení.
• Povinnost hlásit vývoj, který by mohl významně ovlivnit schopnost dodavatele službu poskytovat ve sjednané úrovni, plus výpovědní lhůty.
• Povinnost uplatňovat a testovat plány zachování provozu a mít bezpečnostní opatření, nástroje a politiky ICT zajišťující odpovídající úroveň bezpečnosti.
• Povinnost účastnit se penetračního testování na základě hrozeb u banky a plně na něm spolupracovat (čl. 26 a 27).
• Neomezené právo na přístup, kontrolu a audit vykonávané bankou, jí určenou třetí stranou i příslušným orgánem, včetně pořizování kopií dokumentace na místě. Podle čl. 30 odst. 3 písm. e) bodu i) nesmí být účinné uplatnění těchto práv brzděno jinou smluvní úpravou ani interní politikou dodavatele — obvyklá klauzule „audit pouze podle naší auditní politiky“ tady neprojde. Doplňkově je tu právo sjednat alternativní úroveň záruky, jsou-li dotčena práva jiných zákazníků, a povinnost spolupracovat při kontrolách na místě.
• Exit strategie s povinným přiměřeným přechodným obdobím, během kterého dodavatel dál poskytuje službu, aby banka mohla přejít k jinému dodavateli nebo si funkci převzít sama.

Dvě věci, které se vyjednat dají. Jednak čl. 30 odst. 4 předpokládá, že strany zváží použití standardních smluvních doložek vypracovaných veřejnými orgány — to je legitimní argument proti individuálním výmyslům v každém dodatku. Jednak u finančního subjektu, který je mikropodnikem, dovoluje čl. 30 odst. 3 poslední pododstavec dohodnout, že práva na přístup, kontrolu a audit vykonává nezávislá třetí strana určená dodavatelem. Podmínky, které finanční subjekt musí určit a posoudit při subdodávkách služeb ICT podporujících zásadní nebo důležité funkce, upřesňuje nařízení v přenesené pravomoci (EU) 2025/532 — prakticky to znamená, že dodavatel musí vědět, koho má pod sebou, a umět to doložit.

Souběh se zákonem o kybernetické bezpečnosti

Nejčastější dotaz na rozhraní obou předpisů zní, jestli je banka pod DORA, nebo pod zákonem č. 264/2025 Sb. Odpověď „pod DORA, ne pod ZKB“ je zkratka, která platí jen částečně.

Mechanismus je v čl. 4 směrnice NIS2: pokud odvětvové právní akty Unie vyžadují od základních nebo důležitých subjektů opatření k řízení kybernetických bezpečnostních rizik nebo oznamování významných incidentů a účinek těchto opatření je alespoň rovnocenný, příslušná ustanovení směrnice včetně dohledu a vymáhání se na tyto subjekty nepoužijí. DORA je právě takový odvětvový akt.

V českém provedení to vypadá takto. Finanční trh je jedním z odvětví podle zákona o kybernetické bezpečnosti a vyhláška č. 408/2025 Sb. v něm stanoví regulované služby — činnost úvěrové instituce, provoz obchodního systému a činnost ústřední protistrany (požadované směrnicí) a nad rámec směrnice činnost platební instituce a činnost instituce elektronických peněz.

NÚKIB k tomu v důvodové zprávě k vyhlášce vysvětluje, že tyto subjekty budou v otázce bezpečnostních opatření, hlášení incidentů a výkonu kontroly spadat pod režim DORA a ze zákona o kybernetické bezpečnosti se na ně použijí pouze ostatní ustanovení, zejména národní instituty. Výklad potvrdily oba úřady ve společném prohlášení ČNB a NÚKIB z 24. 6. 2026: požadavky DORA v oblasti řízení kybernetických rizik a hlášení incidentů mají zpravidla přednost, nejde ale o paušální vyloučení zákona. Co konkrétně z něj zůstává, je v odrážkách níž.

• Pro finanční subjekt: bezpečnostní opatření a hlášení incidentů řešíte podle DORA vůči ČNB. Zákon se ale dál uplatní tam, kde DORA danou oblast rovnocenně neupravuje — společné prohlášení jmenuje výslovně povinnou registraci subjektu u NÚKIB a stav kybernetického nebezpečí, k tomu zůstávají národní instituty, především protiopatření. Přidat se mohou i požadavky, které jsou v zákoně nebo v jiném předpise navázaném na NIS2 výrazně přísnější či podrobnější, než co řeší DORA. Formulace „jsme mimo ZKB“ je tedy nepřesná.
• Kdo kontroluje: hlavním dohledovým orgánem finančního sektoru zůstává ČNB. U specifických činností, kde rovnocenná úprava chybí — prohlášení uvádí služby vytvářející důvěru — přistupuje doplňkový dohled příslušného orgánu, tedy Digitální a informační agentury nebo NÚKIB. Úřady zároveň počítají se společnými kontrolami a se sdílením výsledků, takže se informace mezi ně dostane.
• Pro dodavatele: to, že nejste pod DORA přímo, neznamená, že jste bez regulace. Vyhláška č. 408/2025 Sb. stanoví v odvětví digitální infrastruktury a služeb jako regulované služby mimo jiné poskytování služby cloud computingu, služby datového centra, řízené služby a řízené bezpečnostní služby. Poskytovatel, který splní podmínku významnosti, plní zákon o kybernetické bezpečnosti sám za sebe a zároveň smluvní požadavky bank podle čl. 30 DORA — dva tituly, jedno bezpečnostní opatření, dvě sady dokladů.

Praktický pohled: dvojí režim se nevyplácí řešit dvěma projekty. Opatření jsou v obou předpisech z velké části stejná, liší se hlášení, dozorový orgán a formát dokladů — proto se dá postavit jedno posouzení rizik a jedna sada opatření a rozdíly pokrýt mapováním. My to tak děláme u dodavatelů, kteří obsluhují regulované klienty v několika odvětvích současně.

Kdo dozoruje a co hrozí

Českou adaptaci tvoří dva zákony ze dne 22. 1. 2025, vyhlášené 14. 2. 2025 a oba účinné od 15. 2. 2025: zákon č. 31/2025 Sb. o implementaci předpisů Evropské unie v oblasti digitalizace finančního trhu (zákon o digitalizaci finančního trhu) a zákon č. 32/2025 Sb., kterým se mění některé zákony v souvislosti s touto implementací a s financováním udržitelnosti.

Podle § 9 zákona č. 31/2025 Sb. je příslušným orgánem podle DORA Česká národní banka. Dozor vykonává nad každou osobou, na kterou se vztahují povinnosti nebo zákazy podle nařízení (§ 10), může ukládat opatření k nápravě (§ 11) a uplatnit pravomoci podle čl. 50 odst. 2 písm. a) až c) a čl. 50 odst. 4 písm. b) nebo c) DORA (§ 12). Splnění vymáhá donucovacími pokutami: jednotlivá nejvýš 5 000 000 Kč, souhrnně nejvýš 20 000 000 Kč (§ 14).

Jedna skupina dodavatelů pod ČNB nespadá. Podle čl. 31 určují evropské orgány dohledu (EBA, EIOPA a ESMA) prostřednictvím společného výboru poskytovatele služeb ICT, kteří jsou pro finanční subjekty kritičtí, a každému jmenují hlavní orgán dohledu z vlastních řad. Kritéria jsou v čl. 31 odst. 2 a upřesňuje je nařízení v přenesené pravomoci (EU) 2024/1502: systémový dopad rozsáhlého výpadku, systémová povaha závislých finančních subjektů, míra spoléhání u zásadních nebo důležitých funkcí a nahraditelnost.

Podklady pro určení pocházejí z registrů informací — proto se registr sbírá strukturovaně a každoročně. Seznam se podle čl. 31 odst. 9 zveřejňuje a každoročně aktualizuje, první vyšel 18. 11. 2025; kdo na něm není, může o určení podle čl. 31 odst. 11 požádat sám. Pro české softwarové domy je to scénář mimo dosah — určení míří na poskytovatele s celoevropským záběrem. Sankce za porušení DORA pak neurčuje nařízení, ale členský stát; v Česku jsou v § 18 a 19 zákona č. 31/2025 Sb. a jsou odstupňované podle toho, co bylo porušeno:

• Do 50 000 000 Kč pro finanční subjekt za nesplnění povinností u rámce pro řízení rizika ICT (čl. 6), politiky zachování provozu ICT (čl. 11), oznamovací povinnosti u závažných incidentů (čl. 19), testování digitální odolnosti (kapitola IV) a řízení rizik třetích stran (kapitola V oddíl I).
• Do 20 000 000 Kč za nesplnění dalších povinností při řízení rizika ICT (čl. 5, 7 až 10, 12 až 14 a 16), u procesu řízení incidentů (čl. 17), u klasifikace incidentů a hrozeb (čl. 18) a za porušení povinnosti uložené rozhodnutím podle čl. 42 odst. 6.
• Do 10 000 000 Kč za nesplnění oznámení o účasti v ujednání o sdílení informací (čl. 45 odst. 3) a za neposkytnutí součinnosti ČNB při dohledu podle čl. 50 odst. 2.
• Dodavatelé (§ 19): poskytovatel služeb ICT z řad třetích stran se dopustí přestupku tím, že neposkytne ČNB požadovanou součinnost při dohledu podle čl. 50 odst. 2 — pokuta do 10 000 000 Kč. U kritického poskytovatele se přestupkem stává i neposkytnutí součinnosti hlavnímu orgánu dohledu podle čl. 37 odst. 4, čl. 38 odst. 4 nebo čl. 39 odst. 6 a pokuta je do 20 000 000 Kč. U všech těchto přestupků lze uložit i zveřejnění rozhodnutí.
• Kritické poskytovatele ICT nedozoruje ČNB. Hlavní orgán dohledu jmenují podle čl. 31 odst. 1 písm. b) evropské orgány dohledu a je to jeden z nich — EBA, EIOPA nebo ESMA podle toho, kde je největší podíl aktiv závislých finančních subjektů. Nástrojem je penále až 1 % průměrného denního celosvětového obratu, ukládané denně nejdéle šest měsíců (čl. 35 odst. 6 až 8).
• Dva důsledky určení bez obdoby jinde v evropském právu. Poskytovatel ze třetí země musí podle čl. 31 odst. 12 do 12 měsíců založit dceřiný podnik v Unii, jinak jeho služby nelze využívat, a dohled si sám platí — poplatky stanoví nařízení (EU) 2024/1505.

Odpovědnost vedení není v DORA řešená jako sankce, ale jako přidělená role: čl. 5 odst. 2 písm. a) klade konečnou odpovědnost za řízení rizika ICT na vedoucí orgán a čl. 5 odst. 4 mu ukládá se v této oblasti pravidelně školit. Čl. 50 odst. 5 nad to předpokládá, že členské státy svěří orgánům pravomoc uplatnit správní sankce a nápravná opatření i na členy vedoucího orgánu a další osoby odpovědné podle vnitrostátního práva. Zápis z jednání, ve kterém vedení schválilo rámec pro řízení rizika ICT a přidělilo mu rozpočet, je proto doklad, který má cenu mít.

Data a lhůty, které se dají doložit

Osa obsahuje jen data s dohledatelným zdrojem. Průběžné lhůty jsou dole, protože nemají jedno datum — běží od události, ne od kalendáře.

Oficiální zdroje

Tento průvodce je informativní a není právním stanoviskem. Každé tvrzení o termínu nebo povinnosti výše vychází z některého z těchto zdrojů — pro autoritativní znění jděte vždy k nim.