DORA: digitális működési reziliencia

A DORA-rendelet 2025. január 17. óta vonatkozik a pénzforgalmi intézményekre, az elektronikuspénz-kibocsátó intézményekre, a befektetési vállalkozásokra, az alapkezelőkre, a kriptoeszköz-szolgáltatókra, a biztosítókra és más pénzügyi szervezetekre. A felügyeletet a ČNB látja el, amely 2025 óta ellenőrzi, hogyan teljesítik a cégek a DORA-t. Elkészítjük a teljes dokumentációt, átdolgozzuk az IKT-szolgáltatókkal kötött szerződéseket, összeállítjuk az információs nyilvántartást és kialakítjuk az incidensek bejelentését.

Frissítve: 2026. november 11.

Kikre vonatkozik a DORA?

Az (EU) 2022/2554 rendelet (DORA) a 2. cikk szerinti pénzügyi szervezetekre vonatkozik, többek között:

• bankokra, pénzforgalmi intézményekre és elektronikuspénz-kibocsátó intézményekre, beleértve a kis pénzforgalmi szolgáltatókat és a kis elektronikuspénz-kibocsátókat,
• kriptoeszköz-szolgáltatókra (CASP),
• befektetési vállalkozásokra, alternatív befektetésialap-kezelőkre és alapkezelő társaságokra,
• biztosítókra, viszontbiztosítókra és nagyobb biztosításközvetítőkre,
• közösségi finanszírozási szolgáltatókra (crowdfunding).

A DORA ezzel szemben nem vonatkozik például az ABAK-irányelv 3. cikk (2) bekezdése szerinti küszöbérték alatti alapkezelőkre, Csehországban jellemzően a ZISIF 15. §-a szerinti személyekre, sem a kis- és középvállalkozásnak minősülő biztosításközvetítőkre (DORA 2. cikk (3) bekezdés).

Mit ír elő a DORA?

1. IKT-kockázatkezelés (5–16. cikk): digitális működési rezilienciára vonatkozó stratégia, eszköznyilvántartás, biztonsági szabályzatok, üzletmenet-folytonosság, mentés és helyreállítás. A kis pénzforgalmi szolgáltatók, a kis elektronikuspénz-kibocsátók és a kis befektetési vállalkozások a 16. cikk szerinti egyszerűsített keretet alkalmazhatják.
2. Incidenskezelés és -bejelentés (17–23. cikk): az incidensek osztályozása és a súlyos incidensek bejelentése a ČNB-nek.
3. Tesztelés (24–27. cikk): tesztelési program, a kritikus rendszereket legalább évente egyszer. Fenyegetésalapú penetrációs tesztet (TLPT) legalább háromévente csak a ČNB által kijelölt szervezeteknek kell végezniük.
4. Harmadik fél általi kockázat kezelése (28–30. cikk): információs nyilvántartás az IKT-szolgáltatókkal kötött szerződésekről, kötelező szerződéses tartalom és kilépési stratégiák.

Mit ellenőriz a ČNB a gyakorlatban?

A ČNB 2025-ben kezdte meg az első DORA szerinti felügyeletet. Egy kísérleti vizsgálatba 16 befektetési és pénzforgalmi szolgáltatót vont be, és több mint 400 ellenőrző kérdést tartalmazó kérdőívet alkalmazott. A legtöbb munkát a cégeknek az IKT-szolgáltatókkal való kapcsolatok kezelése adta: módosítaniuk kellett a szerződéseket, ki kellett egészíteniük a szolgáltatók kötelezettségeit, és olyan nyilvántartást kellett vezetniük, amelyet korábban nem vezettek rendszeresen (Právní prostor, a ČNB 2025. évi jelentése, csehül).

Mi az információs nyilvántartás, és mikor kell benyújtani?

Az információs nyilvántartás az IKT-szolgáltatókkal kötött összes szerződést rögzíti, beleértve a felhőszolgáltatást, a szoftvert és az informatikai kiszervezést (DORA 28. cikk (3) bekezdés). A ČNB a SDAT rendszeren keresztül gyűjti be. 2026-ban a határidő 2026. március 2. volt. A kötelezettségről és a határidőről a ČNB felhívásban tájékoztatja az adatszolgáltatókat (ČNB, DORA – adatszolgáltatók, csehül).

Milyen gyorsan kell bejelenteni egy súlyos incidenst?

• első értesítés: az incidens súlyosként való besorolásától számított 4 órán belül, de legkésőbb a tudomásszerzéstől számított 24 órán belül,
• köztes jelentés: az első értesítéstől számított 72 órán belül,
• zárójelentés: az utolsó köztes jelentéstől számított egy hónapon belül.

A határidőket az (EU) 2025/301 felhatalmazáson alapuló bizottsági rendelet határozza meg. Az osztályozási és bejelentési eljárásnak ezért előre készen kell állnia, nem csak az incidens idején.

Hogyan viszonyul a DORA a cseh kiberbiztonsági törvényhez?

A pénzügyi szervezetek számára a DORA ágazati szabályozás. Ahol a kiberkockázatok kezelését és az incidensek bejelentését egyenértékűen szabályozza, elsőbbséget élvez a NIS2-irányelvet átültető, a kiberbiztonságról szóló 264/2025. sz. törvénnyel szemben. A kiberbiztonsági törvény azonban ott alkalmazandó, ahol a DORA az adott területet nem szabályozza, például a NÚKIB-nál történő regisztráció esetén. Az elsődleges felügyeletet a ČNB látja el, a NÚKIB kiegészítő jelleggel (a ČNB és a NÚKIB közös nyilatkozata, 2026. június 24., csehül).

Hogyan segítünk?

• Személyre szabott DORA-dokumentáció: stratégia, szabályzatok, belső utasítások, IKT-eszköznyilvántartás és folytonossági tervek.
• IKT-szolgáltatói szerződések: felülvizsgálat és kiegészítés a DORA 30. cikke szerint.
• Információs nyilvántartás: a nyilvántartás összeállítása és benyújtása a ČNB-nek.
• Incidensek: osztályozási és bejelentési eljárás, bejelentési sablonok a ČNB számára.
• Tesztelés: a digitális működési reziliencia tesztelési programja.
• ČNB-ellenőrzés: felkészülés a kérdőívre és a vizsgálatra.

A dokumentációt a DORA bevezetésére szolgáló szolgáltatáscsomagként szállítjuk. Az új ČNB-engedélykérelmezők számára közvetlenül a kérelem részeként készítjük el.

Gyakori kérdések

A DORA a kis pénzforgalmi intézményekre is vonatkozik?

Igen. A DORA a kis pénzforgalmi szolgáltatókra és a kis elektronikuspénz-kibocsátókra is vonatkozik. Ők azonban alkalmazhatják a 16. cikk szerinti egyszerűsített IKT-kockázatkezelési keretet.

Vonatkozik a DORA a ZISIF 15. §-a szerinti személyekre?

Nem. Az ABAK-irányelv 3. cikk (2) bekezdése szerinti küszöbérték alatti alapkezelők ki vannak zárva a DORA hatálya alól.

Kell TLPT penetrációs tesztet végeznünk?

Csak ha a ČNB kijelöli Önöket. A többi szervezet saját tesztelési programja szerint tesztel, a kritikus rendszereket legalább évente egyszer.

Módosítanunk kell a felhő- és szoftverszolgáltatókkal kötött szerződéseket?

A legtöbb esetben igen. A szerződéseknek tartalmazniuk kell a DORA 30. cikke szerinti elemeket, a kritikus vagy fontos funkciókat támogató szolgáltatásokra pedig szigorúbb követelmények vonatkoznak, például az auditjog és a kilépési stratégia.

Mennyibe kerül a DORA bevezetése?

Az ár a cég méretétől, a tevékenység terjedelmétől és a már meglévő dokumentációtól függ. Az első konzultációt követően személyre szabott írásos ajánlatot készítünk.

Írjon nekünk (info@stuchlikova.com), és egyeztessünk egy első konzultációt.

Források

• (EU) 2022/2554 rendelet a pénzügyi ágazat digitális működési rezilienciájáról (DORA)
• ČNB, DORA – adatszolgáltatók, csehül
• a ČNB és a NÚKIB közös nyilatkozata, 2026. június 24., csehül
• Právní prostor, a ČNB 2025. évi jelentése, csehül

Referenciák

Kiemelt kapcsolattartók

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová