Shrnutí · cheatsheet · DORA / finanční subjekt
Finanční subjekt podle čl. 2 · nařízení (EU) 2022/2554 se používá od 17. 1. 2025 · dozor vykonává ČNB · k tisku jako PDF
Povinnosti finančního subjektu
Přehled povinností, které DORA ukládá přímo finančnímu subjektu — pro vedení, IT a compliance. U každého bodu je článek, podle kterého se dá dohledat úřední znění.
Uzavřený výčet je v čl. 2 odst. 1: písmena a) až t) jsou finanční subjekty, písmeno u) dodavatelé ICT. Vedle bank a pojišťoven sem patří platební instituce a instituce elektronických peněz včetně vyňatých, investiční podniky, obchodní systémy, centrální depozitáře, ústřední protistrany, správci fondů, zprostředkovatelé pojištění i poskytovatelé služeb ke kryptoaktivům. Výjimky má čl. 2 odst. 3 — šest písmen, mimo jiné zprostředkovatelé pojištění, kteří jsou mikropodnikem, malým nebo středním podnikem. Část subjektů plní jen zjednodušený rámec podle čl. 16 (poslední dlaždice).
Zdokumentovaný rámec pro řízení rizika ICT jako součást systému řízení rizik, přezkoumávaný alespoň jednou ročně a po závažných incidentech (čl. 6 odst. 1 a 5). Subjekty jiné než mikropodniky svěří řízení nezávislé kontrolní funkci (odst. 4) a rámec podrobují internímu auditu s formálním odstraňováním kritických zjištění (odst. 6 a 7). Součástí je strategie digitální provozní odolnosti (odst. 8). Konečnou odpovědnost nese vedoucí orgán — schvaluje rámec, dává mu rozpočet a sám se školí (čl. 5 odst. 2 a 4).
Závažný je incident, kterým jsou dotčeny významné služby a zároveň buď došlo k úspěšnému zlovolnému a neoprávněnému přístupu s možnou ztrátou údajů, nebo jsou dosaženy dvě a více jiných prahových hodnot (čl. 8 odst. 1 nařízení 2024/1772). Lhůty podle čl. 5 nařízení 2025/301: prvotní oznámení do 4 h od klasifikace, nejpozději do 24 h od zjištění; průběžná zpráva do 72 h; závěrečná do jednoho měsíce po průběžné. Odklad na poledne příštího pracovního dne se u prvních dvou nepoužije na úvěrové instituce, ústřední protistrany a obchodní systémy (odst. 5).
Program testování jako součást rámce; testy dělají nezávislé interní nebo externí subjekty (čl. 24). Takt: alespoň jednou ročně testy všech systémů podporujících zásadní nebo důležité funkce (čl. 24 odst. 6). Nejvyšší úroveň je TLPT — penetrační testování na základě hrozeb (čl. 26): jednou za tři roky, ale jen u subjektů určených příslušným orgánem; netýká se subjektů podle čl. 16 odst. 1 ani mikropodniků, kritéria určení dává nařízení 2025/1190. Běží za provozu a bez vědomí obránců. Rámcem je TIBER-EU — ČNB k němu přistoupila v září 2024 a v březnu 2025 vydala Implementační průvodce TIBER-CZ.
Odpovědnost zůstává vždy finančnímu subjektu, i když službu nakupuje (čl. 28 odst. 1). Před smlouvou due diligence, posouzení rizik včetně zesílení rizika koncentrace a střetů zájmů (odst. 4 a 5); u zásadních nebo důležitých funkcí otestovaná strategie ukončení (odst. 8). Smlouva musí mít minimum podle čl. 30. Registr informací (odst. 3) se vede na úrovni subjektu i konsolidovaně a rozlišuje ujednání k zásadním funkcím; formát dává prováděcí nařízení 2024/2956 — patnáct provázaných tabulek, identifikace kódem LEI.
Účast v ujednáních o sdílení indikátorů narušení, taktik, technik a postupů je dobrovolná — ale povinně se oznamuje příslušnému orgánu (čl. 45 odst. 3). Jediná tvrdá povinnost celé kapitoly, a protože visí na dobrovolné aktivitě, přehlíží se nejčastěji. V Česku je nesplnění samostatným přestupkem.
Není to úleva „pro malé“, ale jmenovitý výčet: malé a nepropojené investiční podniky, platební instituce vyňaté podle směrnice 2015/2366, instituce vyňaté podle směrnice 2013/36/EU, u nichž stát neuplatnil možnost podle čl. 2 odst. 4, instituce elektronických peněz vyňaté podle směrnice 2009/110/ES a malé instituce zaměstnaneckého penzijního pojištění. Nepoužijí se na ně čl. 5 až 15 — místo nich plní osm povinností podle čl. 16 odst. 1 druhého pododstavce a nepodléhají TLPT ani strategii pro riziko třetích stran (čl. 26 odst. 1, čl. 28 odst. 2). Mikropodnik zjednodušený režim neznamená — vyňatý není, jen se mu místy zužuje rozsah.
Příslušným orgánem je Česká národní banka (§ 9 zákona č. 31/2025 Sb.). Pokuty podle § 18: do 50 000 000 Kč za rámec pro řízení rizika ICT (čl. 6), politiku zachování provozu (čl. 11), hlášení závažných incidentů (čl. 19), testování a řízení rizik třetích stran; do 20 000 000 Kč za další povinnosti řízení rizika ICT a za proces a klasifikaci incidentů (čl. 17 a 18); do 10 000 000 Kč za neoznámení sdílení informací a za nesoučinnost s ČNB. Splnění se vymáhá donucovacími pokutami do 5 000 000 Kč jednotlivě a 20 000 000 Kč souhrnně (§ 14).
Pomůžeme s implementací
Posoudíme vaši situaci proti nařízení DORA, připravíme podklady pro registr informací, nacvičíme hlášení incidentu nebo s vámi projdeme smluvní dodatek od banky. Konzultace je nezávazná.