Shrnutí · cheatsheet · DORA / finanční subjekt

POVINNOSTI FINANČNÍHO SUBJEKTU

Finanční subjekt podle čl. 2 · nařízení (EU) 2022/2554 se používá od 17. 1. 2025 · dozor vykonává ČNB · k tisku jako PDF

← Zpět na průvodce DORA
Shrnutí · cheatsheet · DORA / finanční subjekt
Finanční subjekt podle čl. 2 · nařízení (EU) 2022/2554 se používá od 17. 1. 2025 · dozor vykonává ČNB · k tisku jako PDF
Orientační dokument Tento dokument je zjednodušeným informativním přehledem vybraných povinností nařízení (EU) 2022/2554 (DORA) a navazujících nařízení v přenesené pravomoci (EU) 2024/1772 a (EU) 2025/301. Není to závazné právní stanovisko ani úplný výklad nařízení. CypherOn je konzultační společnost v oblasti kybernetické bezpečnosti, ne advokátní kancelář. Rozhodné je úřední znění v EUR-Lexu (odkazy ve zdrojích); ve výkladových a vykazovacích otázkách je pro Česko určující Česká národní banka.
Přímé povinnosti z nařízení Finanční subjekt podle čl. 2 · nařízení (EU) 2022/2554 se používá od 17. 1. 2025 · dozor vykonává ČNB · k tisku jako PDF

Přehled povinností, které DORA ukládá přímo finančnímu subjektu — pro vedení, IT a compliance. U každého bodu je článek, podle kterého se dá dohledat úřední znění.

Pro koho platí

Uzavřený výčet je v čl. 2 odst. 1: písmena a) až t) jsou finanční subjekty, písmeno u) dodavatelé ICT. Vedle bank a pojišťoven sem patří platební instituce a instituce elektronických peněz včetně vyňatých, investiční podniky, obchodní systémy, centrální depozitáře, ústřední protistrany, správci fondů, zprostředkovatelé pojištění i poskytovatelé služeb ke kryptoaktivům. Výjimky má čl. 2 odst. 3 — šest písmen, mimo jiné zprostředkovatelé pojištění, kteří jsou mikropodnikem, malým nebo středním podnikem. Část subjektů plní jen zjednodušený rámec podle čl. 16 (poslední dlaždice).

Pět oblastí nařízení a kdo z nich má úlevu

1. Řízení rizik ICT (kap. II, čl. 5–16)

Zdokumentovaný rámec pro řízení rizika ICT jako součást systému řízení rizik, přezkoumávaný alespoň jednou ročně a po závažných incidentech (čl. 6 odst. 1 a 5). Subjekty jiné než mikropodniky svěří řízení nezávislé kontrolní funkci (odst. 4) a rámec podrobují internímu auditu s formálním odstraňováním kritických zjištění (odst. 6 a 7). Součástí je strategie digitální provozní odolnosti (odst. 8). Konečnou odpovědnost nese vedoucí orgán — schvaluje rámec, dává mu rozpočet a sám se školí (čl. 5 odst. 2 a 4).

2. Hlášení incidentů (kap. III, čl. 17–23)

Závažný je incident, kterým jsou dotčeny významné služby a zároveň buď došlo k úspěšnému zlovolnému a neoprávněnému přístupu s možnou ztrátou údajů, nebo jsou dosaženy dvě a více jiných prahových hodnot (čl. 8 odst. 1 nařízení 2024/1772). Lhůty podle čl. 5 nařízení 2025/301: prvotní oznámení do 4 h od klasifikace, nejpozději do 24 h od zjištění; průběžná zpráva do 72 h; závěrečná do jednoho měsíce po průběžné. Odklad na poledne příštího pracovního dne se u prvních dvou nepoužije na úvěrové instituce, ústřední protistrany a obchodní systémy (odst. 5).

3. Testování odolnosti (kap. IV, čl. 24–27)

Program testování jako součást rámce; testy dělají nezávislé interní nebo externí subjekty (čl. 24). Takt: alespoň jednou ročně testy všech systémů podporujících zásadní nebo důležité funkce (čl. 24 odst. 6). Nejvyšší úroveň je TLPT — penetrační testování na základě hrozeb (čl. 26): jednou za tři roky, ale jen u subjektů určených příslušným orgánem; netýká se subjektů podle čl. 16 odst. 1 ani mikropodniků, kritéria určení dává nařízení 2025/1190. Běží za provozu a bez vědomí obránců. Rámcem je TIBER-EU — ČNB k němu přistoupila v září 2024 a v březnu 2025 vydala Implementační průvodce TIBER-CZ.

4. Dodavatelé a registr informací (kap. V, čl. 28–44)

Odpovědnost zůstává vždy finančnímu subjektu, i když službu nakupuje (čl. 28 odst. 1). Před smlouvou due diligence, posouzení rizik včetně zesílení rizika koncentrace a střetů zájmů (odst. 4 a 5); u zásadních nebo důležitých funkcí otestovaná strategie ukončení (odst. 8). Smlouva musí mít minimum podle čl. 30. Registr informací (odst. 3) se vede na úrovni subjektu i konsolidovaně a rozlišuje ujednání k zásadním funkcím; formát dává prováděcí nařízení 2024/2956 — patnáct provázaných tabulek, identifikace kódem LEI.

5. Sdílení informací o hrozbách (kap. VI, čl. 45)

Účast v ujednáních o sdílení indikátorů narušení, taktik, technik a postupů je dobrovolná — ale povinně se oznamuje příslušnému orgánu (čl. 45 odst. 3). Jediná tvrdá povinnost celé kapitoly, a protože visí na dobrovolné aktivitě, přehlíží se nejčastěji. V Česku je nesplnění samostatným přestupkem.

Zjednodušený režim podle čl. 16 — kdo do něj patří

Není to úleva „pro malé“, ale jmenovitý výčet: malé a nepropojené investiční podniky, platební instituce vyňaté podle směrnice 2015/2366, instituce vyňaté podle směrnice 2013/36/EU, u nichž stát neuplatnil možnost podle čl. 2 odst. 4, instituce elektronických peněz vyňaté podle směrnice 2009/110/ES a malé instituce zaměstnaneckého penzijního pojištění. Nepoužijí se na ně čl. 5 až 15 — místo nich plní osm povinností podle čl. 16 odst. 1 druhého pododstavce a nepodléhají TLPT ani strategii pro riziko třetích stran (čl. 26 odst. 1, čl. 28 odst. 2). Mikropodnik zjednodušený režim neznamená — vyňatý není, jen se mu místy zužuje rozsah.

Doklady, kterými plnění prokážete

Dozor a sankce v Česku

Příslušným orgánem je Česká národní banka (§ 9 zákona č. 31/2025 Sb.). Pokuty podle § 18: do 50 000 000 Kč za rámec pro řízení rizika ICT (čl. 6), politiku zachování provozu (čl. 11), hlášení závažných incidentů (čl. 19), testování a řízení rizik třetích stran; do 20 000 000 Kč za další povinnosti řízení rizika ICT a za proces a klasifikaci incidentů (čl. 17 a 18); do 10 000 000 Kč za neoznámení sdílení informací a za nesoučinnost s ČNB. Splnění se vymáhá donucovacími pokutami do 5 000 000 Kč jednotlivě a 20 000 000 Kč souhrnně (§ 14).

Doporučené první kroky

Nejdřív
Určit, jestli plníte plný rámec, nebo zjednodušený režim podle čl. 16, a jestli jste mikropodnik. Od toho se odvíjí rozsah všeho dalšího.
Do 30 dnů
Zápis vedoucího orgánu ke schválení rámce a strategie, kontrola platnosti kódu LEI, soupis dodavatelských ujednání proti tabulkám nařízení 2024/2956.
Do 60 dnů
Klasifikační pravidlo podle nařízení 2024/1772 přímo v plánu reakce na incidenty a nacvičené hlášení do SDAT ve čtyřhodinové lhůtě.
Do 90 dnů
Plán ročního testování zásadních systémů, revize smluv podle čl. 30 a exit plán u nejméně nahraditelného dodavatele.

Pomůžeme s implementací

Nejste si jistí,
kde začít?

Posoudíme vaši situaci proti nařízení DORA, připravíme podklady pro registr informací, nacvičíme hlášení incidentu nebo s vámi projdeme smluvní dodatek od banky. Konzultace je nezávazná.