DORA: חוסן תפעולי דיגיטלי

תקנת DORA חלה מאז 17 בינואר 2025 על מוסדות תשלום, מוסדות כסף אלקטרוני, חברות השקעה, מנהלי קרנות, נותני שירותים בנכסי קריפטו, מבטחים וגופים פיננסיים אחרים. הפיקוח נעשה בידי ČNB, שמאז 2025 בודק כיצד חברות עומדות ב־DORA. אנו מכינים את כל התיעוד, מתאימים את החוזים עם ספקי ICT, עורכים את מרשם המידע ומגדירים את הדיווח על אירועים.

עודכן ב־11 בנובמבר 2026

על מי חלה DORA?

תקנה (EU) 2022/2554 (DORA) חלה על גופים פיננסיים לפי סעיף 2, ובהם:

• בנקים, מוסדות תשלום ומוסדות כסף אלקטרוני, כולל נותני שירותי תשלום קטנים ומנפיקי כסף אלקטרוני קטנים,
• נותני שירותים בנכסי קריפטו (CASP),
• חברות השקעה, מנהלי קרנות השקעה חלופיות וחברות ניהול,
• מבטחים, מבטחי משנה ומתווכי ביטוח גדולים,
• נותני שירותי מימון המונים (crowdfunding).

לעומת זאת DORA אינה חלה, למשל, על מנהלי קרנות מתחת לסף לפי סעיף 3(2) להנחיית AIFMD, בצ׳כיה בדרך כלל גופים לפי § 15 ZISIF, וגם לא על מתווכי ביטוח שהם עסקים קטנים או בינוניים (סעיף 2(3) ל־DORA).

מה DORA דורשת?

1. ניהול סיכוני ICT (סעיפים 5–16): אסטרטגיית חוסן תפעולי דיגיטלי, מצאי נכסים, מדיניות אבטחה, המשכיות עסקית, גיבוי ושחזור. נותני שירותי תשלום קטנים, מנפיקי כסף אלקטרוני קטנים וחברות השקעה קטנות רשאים להחיל את המסגרת המפושטת לפי סעיף 16.
2. ניהול אירועים ודיווח עליהם (סעיפים 17–23): סיווג אירועים ודיווח ל־ČNB על אירועים חמורים.
3. בדיקות (סעיפים 24–27): תוכנית בדיקות, מערכות קריטיות לפחות פעם בשנה. בדיקות חדירה מבוססות איומים (TLPT) לפחות אחת לשלוש שנים נדרשות רק מגופים ש־ČNB קובע.
4. ניהול סיכוני צד שלישי (סעיפים 28–30): מרשם מידע על חוזים עם ספקי ICT, תנאי חוזה מחייבים ואסטרטגיות יציאה.

מה ČNB בודק בפועל?

ČNB החל ב־2025 בפיקוח הראשון לפי DORA. הוא כלל בבדיקת פיילוט 16 גופים מתחום שירותי ההשקעה והתשלום והשתמש בשאלון עם יותר מ־400 שאלות בקרה. הכי הרבה עבודה הסב לחברות ניהול הקשרים עם ספקי ICT: הן נאלצו לשנות חוזים, להשלים את התחייבויות הספקים ולהתחיל לנהל רישום שלא נוהל עד אז באופן שיטתי (Právní prostor, הדוח השנתי של ČNB לשנת 2025, בצ׳כית).

מהו מרשם המידע ומתי מגישים אותו?

מרשם המידע כולל את כל החוזים עם ספקי שירותי ICT, כולל ענן, תוכנה ומיקור חוץ של IT (סעיף 28(3) ל־DORA). ČNB אוסף אותו באמצעות מערכת SDAT. ב־2026 המועד היה 2 במרץ 2026. על החובה ועל המועד ČNB מודיע לגופים המדווחים בהודעה (ČNB, DORA – גופים מדווחים, בצ׳כית).

כמה מהר יש לדווח על אירוע חמור?

• הודעה ראשונית: בתוך 4 שעות מסיווג האירוע כחמור, ולא יאוחר מ־24 שעות מהגילוי,
• דוח ביניים: בתוך 72 שעות מההודעה הראשונית,
• דוח סופי: בתוך חודש מדוח הביניים האחרון.

המועדים נקבעו בתקנה המואצלת של הנציבות (EU) 2025/301. לכן נוהל הסיווג והדיווח צריך להיות מוכן מראש, ולא רק בזמן האירוע.

מה הקשר בין DORA לחוק הסייבר הצ׳כי?

לגבי גופים פיננסיים DORA היא חקיקה מגזרית. במקום שבו היא מסדירה באופן שווה ערך את ניהול סיכוני הסייבר ואת הדיווח על אירועים, היא גוברת על חוק מס׳ 264/2025 בדבר אבטחת סייבר, המיישם את הנחיית NIS2. עם זאת, חוק הסייבר חל בתחומים ש־DORA אינה מסדירה, למשל רישום ב־NÚKIB. הפיקוח העיקרי בידי ČNB, ו־NÚKIB בתפקיד משלים (הצהרה משותפת של ČNB ו־NÚKIB, 24 ביוני 2026, בצ׳כית).

איך נעזור לכם?

• תיעוד DORA מותאם: אסטרטגיה, מדיניות, נהלים פנימיים, מצאי נכסי ICT ותוכניות המשכיות.
• חוזים עם ספקי ICT: בדיקה והשלמה לפי סעיף 30 ל־DORA.
• מרשם מידע: עריכת המרשם והגשתו ל־ČNB.
• אירועים: נוהל סיווג ודיווח, תבניות דיווח ל־ČNB.
• בדיקות: תוכנית בדיקות לחוסן התפעולי הדיגיטלי.
• ביקורת ČNB: הכנה לשאלון ולבדיקה.

אנו מספקים את התיעוד כחבילת שירותים ליישום DORA. למבקשי רישיון ČNB חדשים אנו מכינים אותו ישירות כחלק מהבקשה.

שאלות נפוצות

האם DORA חלה גם על מוסדות תשלום קטנים?

כן. DORA חלה גם על נותני שירותי תשלום קטנים ועל מנפיקי כסף אלקטרוני קטנים. עם זאת, הם רשאים להחיל את המסגרת המפושטת לניהול סיכוני ICT לפי סעיף 16.

האם DORA חלה על גופים לפי § 15 ZISIF?

לא. מנהלי קרנות מתחת לסף לפי סעיף 3(2) להנחיית AIFMD מוחרגים מתחולת DORA.

האם עלינו לבצע בדיקות חדירה מסוג TLPT?

רק אם ČNB יקבע זאת לגביכם. גופים אחרים בודקים לפי תוכנית הבדיקות שלהם, מערכות קריטיות לפחות פעם בשנה.

האם צריך לשנות חוזים עם ספקי ענן ותוכנה?

ברוב המקרים כן. החוזים חייבים לכלול את התנאים שבסעיף 30 ל־DORA, ועל שירותים התומכים בפונקציות קריטיות או חשובות חלות דרישות מחמירות יותר, כמו זכות ביקורת ואסטרטגיות יציאה.

כמה עולה יישום DORA?

המחיר תלוי בגודל החברה, בהיקף הפעילות ובתיעוד שכבר יש לכם. לאחר פגישת ייעוץ ראשונית נכין עבורכם הצעה כתובה מותאמת.

כתבו לנו ל־info@stuchlikova.com ונתאם פגישת ייעוץ ראשונית.

מקורות

• תקנה (EU) 2022/2554 בדבר חוסן תפעולי דיגיטלי של המגזר הפיננסי (DORA), באנגלית
• ČNB, DORA – גופים מדווחים, בצ׳כית
• הצהרה משותפת של ČNB ו־NÚKIB, 24 ביוני 2026, בצ׳כית
• Právní prostor, הדוח השנתי של ČNB לשנת 2025, בצ׳כית

לקוחות נבחרים

אנשי קשר מרכזיים

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová