Přehled · DORA a technické normy
Které technické normy nařízení DORA doplňují, který článek každá z nich rozvádí a komu z toho vzniká práce. Stav k 9. srpnu 2026: dvanáct předpisů.
Nařízení (EU) 2022/2554 (DORA) má 64 článků a na řadě míst neříká, jak přesně se povinnost splní — místo toho zmocňuje evropské orgány dohledu, aby připravily technickou normu, a Komisi, aby ji přijala. Tyhle normy se vydávají ve dvou podobách. Regulační technická norma (RTS) se přijímá jako nařízení Komise v přenesené pravomoci a upřesňuje obsah povinnosti. Prováděcí technická norma (ITS) se přijímá jako prováděcí nařízení Komise a stanoví jednotné formuláře, vzory a postupy.
Praktický rozdíl je menší, než se zdá: v obou případech jde o nařízení, které je závazné v celém rozsahu a přímo použitelné ve všech členských státech. Do českého práva se nepřepisují a neexistuje jejich česká „prováděcí vyhláška“ — platí přímo, v českém znění Úředního věstníku.
Rozpoznat, co která norma řeší, jde nejrychleji z její preambule. Hned v úvodu je věta „s ohledem na nařízení … a zejména na čl. X uvedeného nařízení“ a právě tenhle článek je zmocnění, tedy odpověď na otázku, kterou část DORA daná norma rozvádí. V přehledu níž je u každé normy uvedený, protože je to jediné spolehlivé vodítko — názvy norem jsou dlouhé a mezi sebou podobné.
K 9. srpnu 2026 existuje dvanáct takových aktů. Deset z nich jsou nařízení v přenesené pravomoci a dvě prováděcí nařízení (ITS) — 2024/2956 a 2025/302. Dvě z těch deseti, 2024/1502 a 2024/1505, přitom nejsou RTS v úzkém smyslu: jsou to akty v přenesené pravomoci, které Komise přijímá přímo podle DORA, ne na základě návrhu normy od evropských orgánů dohledu. Dvě normy vycházejí z téhož zmocnění a jedna naplňuje dvě zmocnění najednou, takže počet zmocňovacích ustanovení a počet norem si neodpovídají.
Pro orientaci v tom, koho co dělá, je užitečné dělit normy na tři skupiny, které tahle stránka drží i ve struktuře: co musí umět finanční subjekt uvnitř (řízení rizika, incidenty, testování), co si musí ošetřit vůči dodavatelům (politika, registr, subdodávky) a co se týká výhradně dohledu nad kritickými poskytovateli. Dodavatele ICT se z dvanácti norem prakticky dotýkají tři.
Nařízení Komise v přenesené pravomoci (EU) 2024/1774 ze dne 13. března 2024 je z celé dvanáctky nejobsáhlejší a nejpodrobnější. Upřesňuje nástroje, metody, postupy a politiky řízení rizika v oblasti IKT a zároveň zjednodušený rámec pro řízení tohoto rizika. Zvláštní je tím, že naplňuje dvě zmocnění najednou: čl. 15 čtvrtý pododstavec a čl. 16 odst. 3 čtvrtý pododstavec DORA. Jedním předpisem je tedy pokrytý plný i zjednodušený režim.
Struktura odpovídá tomu, jak se řízení rizika v praxi člení. Po úvodním článku o celkovém rizikovém profilu a složitosti následuje část k plnému rámci s kapitolami o politikách a nástrojích bezpečnosti IKT, o lidských zdrojích a řízení přístupu, o detekci a reakci na incidenty, o řízení zachování provozu a o zprávě o přezkumu rámce. Druhá část pak stejná témata pokrývá pro zjednodušený rámec, do vlastních kapitol a s vlastní zprávou o přezkumu.
Pro praktické použití je podstatné, že jde o normu, kterou lze číst jako katalog požadavků: jednotlivé články odpovídají oblastem, které jsou v bezpečnostních rámcích běžné — správa aktiv, šifrování a správa klíčů, řízení zranitelností a oprav, protokolování, bezpečnost sítí, řízení změn, fyzická bezpečnost, správa identit a řízení přístupu, testování plánů zachování provozu. Kdo má zavedený systém řízení bezpečnosti informací, řeší většinou rozdíly, ne stavbu na zelené louce.
Zjednodušený rámec není totéž co výjimka. Norma pro něj obsahuje vlastní ucelenou sadu požadavků — řízení a organizaci, politiku bezpečnosti informací, klasifikaci aktiv, řízení přístupu, bezpečnost provozu, testování bezpečnosti IKT, řízení projektů a změn a plány zachování provozu včetně jejich testování. Menší rozsah, stejná logika.
Hlášení incidentů řeší trojice norem a je užitečné vědět, která odpovídá na kterou otázku. Nařízení v přenesené pravomoci (EU) 2024/1772 ze dne 13. března 2024, přijaté podle čl. 18 odst. 4 třetího pododstavce DORA, odpovídá na otázku „je to závažné?“. Upřesňuje kritéria klasifikace incidentů souvisejících s IKT a kybernetických hrozeb, stanoví prahové hodnoty významnosti a upřesňuje údaje v hlášeních závažných incidentů.
Kritéria jsou v jednotlivých článcích rozepsaná do měřitelných veličin: dotčení klienti, finanční protistrany a transakce, poškození dobré pověsti, doba trvání incidentu a doba odstávky služby, územní rozsah, ztráty údajů, význam dotčených služeb a ekonomický dopad. Na ně navazují články o závažných incidentech a o prahových hodnotách významnosti, a samostatně vysoké prahové hodnoty pro určování významných kybernetických hrozeb.
Nařízení v přenesené pravomoci (EU) 2025/301 ze dne 23. října 2024, přijaté podle čl. 20 třetího pododstavce DORA, odpovídá na otázku „co a kdy se posílá“. Stanoví obsah prvotního oznámení, průběžné a závěrečné zprávy, obsah dobrovolného oznámení o významných kybernetických hrozbách a lhůty: prvotní oznámení co nejdříve, v každém případě do čtyř hodin od klasifikace incidentu jako závažného a nejpozději do 24 hodin od okamžiku, kdy se subjekt o incidentu dozvěděl; průběžná zpráva nejpozději do 72 hodin od prvotního oznámení; závěrečná zpráva nejpozději jeden měsíc po průběžné zprávě nebo po její poslední aktualizaci.
Prováděcí nařízení (EU) 2025/302 z téhož dne, přijaté podle čl. 20 čtvrtého pododstavce, odpovídá na otázku „na čem a jak“. Obsahuje vzor pro hlášení závažných incidentů a postupy: současné předložení více zpráv, opakující se incidenty, používání zabezpečených elektronických kanálů, překlasifikování incidentu, oznámení o externím zajištění hlášení, souhrnné hlášení a oznamování významných kybernetických hrozeb.
Rozhodovací strom ke klasifikaci incidentu a k výpočtu lhůt je v této kategorii samostatně, na stránce o klasifikaci incidentu a lhůtách hlášení. Tenhle přehled odpovídá jen na otázku, který předpis kterou část procesu upravuje.
Tahle trojice je pro dodavatele ICT nejdůležitější částí celého přehledu, protože právě z ní pochází většina toho, co se objevuje ve smluvních dodatcích a v bezpečnostních dotaznících.
Nařízení v přenesené pravomoci (EU) 2024/1773 ze dne 13. března 2024, přijaté podle čl. 28 odst. 10 třetího pododstavce DORA, upřesňuje podrobný obsah politiky týkající se smluvních ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce. Má jedenáct článků: systém správy a řízení, hlavní fáze životního cyklu smluvních ujednání, posouzení rizik ex ante, náležitou péči, střety zájmů, smluvní doložky, sledování ujednání a jejich ukončení. Je to vnitřní předpis finančního subjektu — ale právě jeho článek o smluvních doložkách určuje, co bude protistrana chtít mít ve smlouvě a jakými metodami bude ověřovat, že to platí.
Prováděcí nařízení (EU) 2024/2956 ze dne 29. listopadu 2024, přijaté podle čl. 28 odst. 9 druhého pododstavce, stanoví standardní vzory pro registr informací. Sedm článků a čtyři přílohy; příloha I obsahuje patnáct provázaných vzorů, příloha II licencované činnosti podle typu subjektu, příloha III uzavřený číselník typů služeb IKT s kódy S01 až S19 a příloha IV pokyn k vykázání celkových aktiv. Tady vzniká většina „administrativních“ otázek na dodavatele: identifikátor právnické osoby, země poskytování služby, pořadí v dodavatelském řetězci.
Nařízení v přenesené pravomoci (EU) 2025/532 ze dne 24. března 2025, přijaté podle čl. 30 odst. 5 čtvrtého pododstavce, je nejmladší z trojice a nejtvrdší v dopadech. Má sedm článků a upřesňuje, co musí finanční subjekt určit a posoudit při subdodávkách služeb IKT podporujících zásadní nebo důležité funkce: prvky proporcionality včetně délky a složitosti řetězce, uplatňování v rámci skupiny, náležitou péči a posouzení rizik před uzavřením smlouvy, podmínky, které musí být ve smlouvě, režim podstatných změn ujednání o subdodávkách a důvody ukončení smlouvy.
Pořadí, ve kterém tyhle tři normy dopadají na dodavatele, je obvykle opačné, než v jakém vznikly: první přijde dotazník (podklad pro náležitou péči podle 2024/1773), pak tabulka s údaji do registru (2024/2956) a nakonec dodatek s ustanoveními o subdodávkách (2025/532). Kdo to ví dopředu, může si podklady připravit jednou a použít je třikrát.
Nařízení Komise v přenesené pravomoci (EU) 2025/1190 ze dne 13. února 2025, přijaté podle čl. 26 odst. 11 čtvrtého pododstavce DORA, upravuje penetrační testování na základě hrozeb, v praxi označované zkratkou TLPT. Má sedmnáct článků a osm příloh, které stanoví obsah jednotlivých dokumentů — zásad projektu, dokumentu vymezujícího rozsah, zprávy o cílených operativních informacích o hrozbách, plánu a zprávy o testování metodou červeného týmu, zprávy o testování metodou modrého týmu, souhrnné zprávy podle čl. 26 odst. 6 DORA a osvědčení podle čl. 26 odst. 7.
Podstatné je nejdřív odlišit TLPT od běžného penetračního testu. Podle čl. 3 bodu 17 DORA jde o rámec napodobující taktiku, techniky a postupy skutečných aktérů hrozeb, který poskytuje řízené, individualizované a na operativních informacích založené testování kritických systémů finančního subjektu za provozu. Podle čl. 26 odst. 2 se test provádí na systémech skutečně využívaných za provozu, pokrývá některé nebo všechny zásadní a důležité funkce a jeho rozsah potvrzují příslušné orgány.
Norma stanoví, které subjekty testování provádět musí — kritéria dělí na faktory dopadu a systémové povahy (velikost, propojenost, význam a nahraditelnost služeb, složitost obchodního modelu) a na faktory rizika IKT (rizikový profil, prostředí hrozeb, závislost zásadních funkcí na IKT, složitost architektury, rozsah služeb od třetích stran, výsledky dohledových přezkumů, vyspělost plánů kontinuity a schopností detekce). Podle čl. 26 odst. 1 DORA se test u určených subjektů provádí alespoň jednou za tři roky, přičemž příslušný orgán může četnost podle rizikového profilu snížit nebo zvýšit.
Pro plánování je nejdůležitější jeden údaj: fáze aktivního testování metodou červeného týmu trvá podle čl. 11 odst. 5 v každém případě nejméně dvanáct týdnů a její délka je úměrná rozsahu testu a počtu zapojených subjektů a poskytovatelů. Do minimální doby se započítává i případné omezené testování metodou fialového týmu, k němuž lze za výjimečných okolností přejít po předchozím schválení orgánem pro TLPT.
Dvanáct týdnů aktivního testování je číslo, které se vyplatí znát oběma stranám. Pro finanční subjekt je to plánovací omezení, pro dodavatele zahrnutého do rozsahu kapacitní závazek, který nemá smysl slibovat bez rozvahy — a proto se ve smluvních dodatcích vyplatí řešit podmínky účasti, ne jen souhlas s ní.
Poslední skupina se netýká běžného finančního subjektu ani běžného dodavatele. Upravuje rámec, ve kterém evropské orgány dohledu určují poskytovatele služeb IKT kritické pro finanční sektor a vykonávají nad nimi přímý dohled.
Nařízení v přenesené pravomoci (EU) 2024/1502 ze dne 22. února 2024, přijaté podle čl. 31 odst. 6 DORA, upřesňuje kritéria pro určení kritických poskytovatelů. Má sedm článků a jde v nich o přístup k posouzení, systémový dopad výpadku na stabilitu, kontinuitu nebo kvalitu poskytování finančních služeb, systémovou povahu a význam služeb poskytovaných finančním subjektům, zásadnost nebo důležitost podporovaných funkcí, míru nahraditelnosti a zdroje informací pro posouzení. Podle čl. 31 odst. 7 DORA se určování nesmělo uskutečnit dřív, než Komise tento akt přijala.
Nařízení v přenesené pravomoci (EU) 2025/295 ze dne 24. října 2024 a (EU) 2025/420 ze dne 16. prosince 2024 vycházejí obě z čl. 41 odst. 2 druhého pododstavce DORA a doplňují se. První harmonizuje podmínky pro provádění činností dohledu: informace v žádosti poskytovatele, který chce být určen jako kritický dobrovolně, obsah a formát informací poskytovaných hlavnímu orgánu dohledu, informace po vydání doporučení a samostatnou šablonu pro poskytování informací o subdodavatelských ujednáních. Druhá upřesňuje kritéria pro určení složení společného kontrolního týmu, jeho zřízení, úkoly členů a organizaci práce.
Nařízení v přenesené pravomoci (EU) 2024/1505 ze dne 22. února 2024, přijaté podle čl. 43 odst. 2 DORA, stanoví výši poplatků za dohled, které hlavní orgán dohledu účtuje kritickým poskytovatelům, a způsob jejich úhrady — od odhadu výdajů orgánu přes použitelný obrat poskytovatele a výpočet poplatku až po režim v roce určení a u dobrovolných žádostí.
Praktický význam téhle skupiny pro ostatní je nepřímý: určení poskytovatele jako kritického mění režim, ve kterém se dohlíží na jeho fungování, a promítá se do toho, jaké informace o něm finanční subjekty dostávají. Samotné povinnosti finančního subjektu vůči takovému dodavateli se ale nemění — smlouva podle čl. 30 platí dál.
Dvanáct norem vypadá jako hodně, ale nikoho se netýkají všechny. Finanční subjekt mimo zjednodušený režim pracuje především s nařízením 2024/1774 uvnitř, s trojicí k incidentům při provozu, s trojicí k dodavatelům při nákupu a s normou k testování, pokud byl k testování určen. Subjekt ve zjednodušeném režimu má menší rozsah, ale ne nulový. Dodavatel ICT se prakticky potká se třemi: 2024/1773 přes dotazníky, 2024/2956 přes údaje do registru a 2025/532 přes ustanovení o subdodávkách.
Při čtení konkrétní normy se vyplatí začít od konce preambule, tedy od zmocňovacího článku, a teprve pak jít na text. Zmocnění říká, jakou otázku norma zodpovídá, a tím i to, jestli je pro vás relevantní. Druhý užitečný zvyk je nespoléhat na název: názvy jsou dlouhé, obsahují stejná sousloví a rozlišit je od sebe z paměti prakticky nejde. Číslo a rok jsou spolehlivější.
Dvě věci v tomhle přehledu schválně nejsou. První jsou společné pokyny evropských orgánů dohledu. Čl. 11 odst. 11 DORA neukládá vypracovat technickou normu, ale společné pokyny k odhadu souhrnných ročních nákladů a ztrát způsobených závažnými incidenty, které subjekty jiné než mikropodniky oznamují příslušným orgánům na jejich žádost podle čl. 11 odst. 10. Pokyny mají jiný právní režim než nařízení a mezi doprovodné normy nepatří.
Druhá je česká adaptace. DORA i doprovodné normy platí přímo, členským státům zůstává určení příslušného orgánu a sankce. Ty tedy nehledejte v technických normách, ale v české právní úpravě — orientace v ní je v průvodci nařízením v této kategorii.
Jedna praktická poznámka k datům. U většiny norem platí, že vstupují v platnost dvacátým dnem po vyhlášení a zvláštní datum použitelnosti nestanoví — povinnost samotná ale vychází z DORA, která se používá od 17. ledna 2025. Že norma vyšla později než toto datum, tedy neznamená, že se povinnost odkládá; znamená to, že se do jejího vydání plnila přímo podle textu nařízení.
Data vyhlášení v Úředním věstníku. Pořadí ukazuje, v jakém sledu se rámec doplňoval — a proč se první rok použitelnosti DORA řešily některé oblasti přímo podle textu nařízení, ještě než k nim vyšla technická norma.
Čísla, názvy a zmocňovací články na této stránce jsou převzaté z českého znění jednotlivých předpisů v Úředním věstníku, stav k 9. 8. 2026. Odkazy vedou na úplné znění v EUR-Lexu.
Které normy se týkají právě vás
Bezplatná úvodní konzultace nad vaší situací: co z technických norem na vás dopadá přímo, co přes smlouvy se zákazníky a co můžete s klidem přeskočit. Napište nám, jestli jste finanční subjekt, nebo jeho dodavatel, a co už máte hotové.