DORA: digitální provozní odolnost

Nařízení DORA platí od 17. 1. 2025 pro platební instituce, instituce elektronických peněz, obchodníky s cennými papíry, správce fondů, poskytovatele služeb souvisejících s kryptoaktivy, pojišťovny a další finanční subjekty. Dohled vykonává ČNB a od roku 2025 kontroluje, jak firmy DORA plní. Připravíme kompletní dokumentaci, upravíme smlouvy s ICT dodavateli, sestavíme registr informací a nastavíme hlášení incidentů.

Aktualizováno 11. 11. 2026

Koho se DORA týká?

Nařízení (EU) 2022/2554 (DORA) se vztahuje na finanční subjekty podle čl. 2, mimo jiné na:

• banky, platební instituce a instituce elektronických peněz, a to včetně poskytovatelů platebních služeb malého rozsahu a vydavatelů elektronických peněz malého rozsahu,
• poskytovatele služeb souvisejících s kryptoaktivy (CASP),
• obchodníky s cennými papíry, správce alternativních investičních fondů a investiční společnosti,
• pojišťovny, zajišťovny a větší zprostředkovatele pojištění,
• poskytovatele služeb skupinového financování (crowdfunding).

DORA se naopak nevztahuje například na správce fondů pod limitem podle čl. 3 odst. 2 směrnice AIFMD, v Česku typicky na osoby podle § 15 ZISIF, ani na zprostředkovatele pojištění, kteří jsou malými nebo středními podniky (čl. 2 odst. 3 DORA).

Co DORA vyžaduje?

1. Řízení rizik IKT (čl. 5 až 16): strategie digitální provozní odolnosti, katalog aktiv, bezpečnostní politiky, kontinuita provozu, zálohování a obnova. Poskytovatele platebních služeb malého rozsahu, vydavatele elektronických peněz malého rozsahu a malé obchodníky s cennými papíry čeká zjednodušený rámec podle čl. 16.
2. Řízení a hlášení incidentů (čl. 17 až 23): klasifikace incidentů a hlášení závažných incidentů ČNB.
3. Testování (čl. 24 až 27): program testování, kritické systémy alespoň jednou ročně. Penetrační testy vedené hrozbami (TLPT) alespoň jednou za tři roky musí jen subjekty, které určí ČNB.
4. Řízení rizik třetích stran (čl. 28 až 30): registr informací o smlouvách s ICT dodavateli, povinné náležitosti smluv a strategie ukončení spolupráce.

Co ČNB kontroluje v praxi?

ČNB zahájila v roce 2025 první dohled podle DORA. Do pilotního šetření zapojila 16 subjektů z investičních a platebních služeb a použila dotazník s více než 400 kontrolními otázkami. Nejvíc práce firmám dalo řízení vztahů s ICT dodavateli: musely upravit smlouvy, doplnit závazky dodavatelů a začít vést evidenci, kterou dosud systematicky nevedly (Právní prostor, výroční zpráva ČNB za rok 2025).

Co je registr informací a kdy se odevzdává?

Registr informací eviduje všechny smlouvy s poskytovateli ICT služeb, včetně cloudu, softwaru a outsourcingu IT (čl. 28 odst. 3 DORA). ČNB ho sbírá v systému SDAT. V roce 2026 byl termín 2. 3. 2026. O povinnosti a termínu informuje ČNB vykazující osoby výzvou (ČNB, DORA – vykazující osoby).

Jak rychle se hlásí závažný incident?

• prvotní oznámení: do 4 hodin od klasifikace incidentu jako závažného, nejpozději do 24 hodin od zjištění,
• průběžná zpráva: do 72 hodin od prvotního oznámení,
• závěrečná zpráva: do 1 měsíce od poslední průběžné zprávy.

Lhůty stanoví nařízení Komise v přenesené pravomoci (EU) 2025/301. Postup klasifikace a hlášení proto musí být připravený předem, ne až během incidentu.

Jak se DORA potkává se zákonem o kybernetické bezpečnosti?

Pro finanční subjekty je DORA odvětvovým předpisem. Tam, kde řízení kybernetických rizik a hlášení incidentů upravuje rovnocenně, má přednost před zákonem č. 264/2025 Sb., o kybernetické bezpečnosti, který provádí směrnici NIS2. Zákon o kybernetické bezpečnosti se ale použije tam, kde DORA danou oblast neupravuje, například u registrace u NÚKIB. Primární dohled vykonává ČNB, NÚKIB doplňkově (společné prohlášení ČNB a NÚKIB, 24. 6. 2026).

Jak vám pomůžeme?

• Dokumentace DORA na míru: strategie, politiky, směrnice, katalog IKT aktiv a plány kontinuity, viz přehled dokumentace podle DORA.
• Smlouvy s ICT dodavateli: revize a doplnění podle čl. 30 DORA.
• Registr informací: sestavení registru a jeho předání ČNB.
• Incidenty: postup klasifikace a hlášení, šablony hlášení pro ČNB.
• Testování: program testování digitální provozní odolnosti.
• Kontrola ČNB: příprava na dotazník a šetření.

Dokumentaci dodáváme jako balíček služeb k implementaci DORA. Pro nové žadatele o licenci ČNB ji připravujeme rovnou jako součást žádosti.

Časté otázky

Týká se DORA i malých platebních institucí?

Ano. DORA se vztahuje i na poskytovatele platebních služeb malého rozsahu a vydavatele elektronických peněz malého rozsahu. Ti ale mohou použít zjednodušený rámec řízení rizik IKT podle čl. 16.

Týká se DORA osob podle § 15 ZISIF?

Ne. Správci fondů pod limitem podle čl. 3 odst. 2 směrnice AIFMD jsou z působnosti DORA vyňati.

Musíme dělat penetrační testy TLPT?

Jen pokud vás k tomu určí ČNB. Ostatní subjekty testují podle vlastního programu testování, kritické systémy alespoň jednou ročně.

Musíme měnit smlouvy s dodavateli cloudu a softwaru?

Ve většině případů ano. Smlouvy musí obsahovat náležitosti podle čl. 30 DORA a u služeb, které podporují kritické nebo důležité funkce, platí přísnější požadavky, například právo na audit a strategie ukončení spolupráce.

Kolik stojí implementace DORA?

Cena závisí na velikosti firmy, rozsahu činností a na tom, jakou dokumentaci už máte. Po úvodní konzultaci vám připravíme písemnou nabídku na míru.

Napište nám na info@stuchlikova.com a domluvte si úvodní konzultaci.

Zdroje

• Nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru (DORA)
• ČNB: DORA – vykazující osoby (registr informací)
• ČNB a NÚKIB: společné prohlášení k DORA a zákonu o kybernetické bezpečnosti (24. 6. 2026)
• Právní prostor: Čím se zabývala ČNB v roce 2025?

Reference

Klíčové kontakty

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová