Shrnutí · cheatsheet · DORA / dodavatel ICT
Dodavatel ICT · nařízení (EU) 2022/2554 · povinnosti obvykle nevznikají z nařízení, ale ze smlouvy podle čl. 30 · k tisku jako PDF
Povinnosti dodavatele ICT
Přehled pro dodavatele, kterému přišel od banky, pojišťovny nebo platební instituce smluvní dodatek k DORA: co v něm být musí, co se bude dít při auditu a v registru informací a co se dá vyjednat.
Poskytovatelem služeb ICT z řad třetích stran je podle čl. 3 bodu 19 jakýkoli podnik poskytující služby ICT; sama služba je v čl. 3 bodu 21 vymezená stejně široce — průběžně poskytované digitální a datové služby přes systémy ICT, včetně hardwaru dodávaného jako služba a jeho podpory aktualizacemi. Výslovnou výjimkou jsou jen tradiční analogové telefonní služby. Velikostní práh tu není: tříčlenný softwarový dům je dodavatelem ICT stejně jako hyperscaler. Přímé povinnosti z nařízení vám obvykle nevznikají — vznikají ze smlouvy, protože finanční subjekt ji bez nich uzavřít nesmí.
Úplný popis funkcí a služeb s uvedením, zda jsou povoleny subdodávky. Konkrétní regiony nebo země poskytování služby a zpracování a uchování dat, plus povinnost předem oznámit plánovanou změnu těchto míst. Ustanovení o ochraně údajů. Zajištění přístupu, obnovy a vrácení dat ve snadno přístupném formátu při insolvenci, přerušení činnosti nebo ukončení smlouvy. Popis úrovně služeb. Pomoc při ICT incidentu bez dodatečných nákladů, nebo za náklady stanovené předem. Spolupráce s orgány. Práva na ukončení a minimální výpovědní lhůty. Účast na školeních o digitální provozní odolnosti.
Jestli vaše služba podporuje zásadní nebo důležitou funkci (čl. 3 bod 22), rozhoduje finanční subjekt — poznáte to podle tvrdosti dodatku. Pak přibývá: úplný popis úrovně služeb s kvantitativními výkonnostními cíli, povinnost hlásit vývoj, který by mohl ovlivnit schopnost službu poskytovat, povinnost uplatňovat a testovat plány zachování provozu, povinnost účastnit se TLPT u zákazníka (čl. 26 a 27) a exit strategie s přiměřeným přechodným obdobím, během kterého službu dál poskytujete.
Neomezené právo na přístup, kontrolu a audit má finanční subjekt, jím určená třetí strana i příslušný orgán, včetně pořizování kopií dokumentace na místě. Podle čl. 30 odst. 3 písm. e) bodu i) je nesmí brzdit jiná smluvní úprava ani vaše interní politika — klauzule „audit jen podle naší auditní politiky“ neprojde. Vyjednat jde dvojí: čl. 30 odst. 4 počítá se standardními smluvními doložkami veřejných orgánů, a je-li zákazníkem mikropodnik, smí audit vykonávat nezávislá třetí strana, kterou určíte vy.
Finanční subjekt vede podle čl. 28 odst. 3 registr všech ujednání o službách ICT; formát dává prováděcí nařízení 2024/2956 — patnáct provázaných tabulek. Bude po vás chtít kód LEI (bez něj výkaz neprojde, alternativou je EUID), zařazení služby podle typologie S01 až S19, země poskytování a uložení dat a seznam subdodavatelů. Přímý dodavatel má pořadí 1, subdodavatel vyšší; pevný počet vrstev norma nestanoví. Uvádějí se ti, kdo fakticky zajišťují služby k zásadním nebo důležitým funkcím (čl. 3 odst. 2).
Evropské orgány dohledu (EBA, EIOPA, ESMA) určují společným výborem poskytovatele kritické pro finanční subjekty a jmenují každému hlavní orgán dohledu. Kritéria jsou v čl. 31 odst. 2 a upřesňuje je nařízení 2024/1502: systémový dopad rozsáhlého výpadku, systémová povaha závislých subjektů, míra spoléhání u zásadních funkcí a nahraditelnost. Podklady pocházejí z registrů informací. Seznam se zveřejňuje a ročně aktualizuje, první vyšel 18. 11. 2025. Pro české softwarové domy je to scénář mimo dosah; kdo na seznamu chce být, může požádat sám (čl. 31 odst. 11).
Finanční subjekt jimi plní čl. 28 odst. 4 a 5: před smlouvou musí posoudit rizika ujednání včetně zesílení rizika koncentrace, provést due diligence a ověřit, že splňujete příslušné normy bezpečnosti informací. Obrana je jedna — postavit jednu vlastní dokumentaci (rozsah služby, architektura, opatření, plán reakce na incidenty, výsledky testů, subdodavatelé se zeměmi) a dotazníky obsluhovat z ní. Jinak odpovídáte každému zvlášť a po pár desítkách jste v rozporu sami se sebou.
Přímé sankce jsou úzké: podle § 19 zákona č. 31/2025 Sb. je přestupkem neposkytnutí součinnosti ČNB při dohledu podle čl. 50 odst. 2 — pokuta do 10 000 000 Kč. U kritického poskytovatele je přestupkem i nesoučinnost s hlavním orgánem dohledu a pokuta je do 20 000 000 Kč; ten má navíc penále až 1 % průměrného denního celosvětového obratu, ukládané denně nejdéle šest měsíců (čl. 35 odst. 6 až 8). Podstatnější je riziko obchodní: bez ustanovení podle čl. 30 s vámi finanční subjekt smlouvu uzavřít nesmí a podle čl. 28 odst. 7 ji musí umět ukončit.
Pomůžeme s implementací
Posoudíme vaši situaci proti nařízení DORA, připravíme podklady pro registr informací, nacvičíme hlášení incidentu nebo s vámi projdeme smluvní dodatek od banky. Konzultace je nezávazná.