DORA: цифрова операційна стійкість

Регламент DORA діє з 17 січня 2025 року для платіжних установ, установ електронних грошей, інвестиційних фірм, керуючих фондами, надавачів послуг, пов’язаних із криптоактивами, страховиків та інших фінансових установ. Нагляд здійснює ČNB, яка з 2025 року перевіряє, як компанії виконують DORA. Ми підготуємо повну документацію, адаптуємо договори з ІКТ-постачальниками, складемо реєстр інформації та налаштуємо повідомлення про інциденти.

Оновлено 11 листопада 2026 року

На кого поширюється DORA?

Регламент (ЄС) 2022/2554 (DORA) поширюється на фінансові установи згідно зі ст. 2, зокрема на:

• банки, платіжні установи та установи електронних грошей, включно з малими надавачами платіжних послуг і малими емітентами електронних грошей,
• надавачів послуг, пов’язаних із криптоактивами (CASP),
• інвестиційні фірми, керуючих альтернативними інвестиційними фондами та керуючі компанії,
• страховиків, перестраховиків і більших страхових посередників,
• надавачів послуг краудфандингу.

Натомість DORA не поширюється, наприклад, на керуючих фондами нижче порогових значень за ст. 3 ч. 2 директиви AIFMD, у Чехії типово на осіб за § 15 ZISIF, а також на страхових посередників, які є малими чи середніми підприємствами (ст. 2 ч. 3 DORA).

Що вимагає DORA?

1. Управління ІКТ-ризиками (ст. 5–16): стратегія цифрової операційної стійкості, реєстр активів, політики безпеки, безперервність діяльності, резервне копіювання та відновлення. Малі надавачі платіжних послуг, малі емітенти електронних грошей і малі інвестиційні фірми можуть застосовувати спрощену систему за ст. 16.
2. Управління інцидентами та повідомлення про них (ст. 17–23): класифікація інцидентів і повідомлення ČNB про серйозні інциденти.
3. Тестування (ст. 24–27): програма тестування, критичні системи щонайменше раз на рік. Тестування на проникнення на основі загроз (TLPT) щонайменше раз на три роки обов’язкове лише для установ, визначених ČNB.
4. Управління ризиками третіх сторін (ст. 28–30): реєстр інформації про договори з ІКТ-постачальниками, обов’язкові умови договорів і стратегії виходу.

Що ČNB перевіряє на практиці?

ČNB розпочала перший нагляд за DORA у 2025 році. До пілотної перевірки вона залучила 16 установ зі сфери інвестиційних і платіжних послуг і використала анкету з понад 400 контрольними питаннями. Найбільше роботи компаніям завдало управління відносинами з ІКТ-постачальниками: довелося змінити договори, доповнити обов’язки постачальників і почати вести облік, якого раніше систематично не вели (Právní prostor, річний звіт ČNB за 2025 рік, чеською).

Що таке реєстр інформації і коли його подавати?

Реєстр інформації містить усі договори з постачальниками ІКТ-послуг, зокрема хмарних, програмних і послуг ІТ-аутсорсингу (ст. 28 ч. 3 DORA). ČNB збирає його через систему SDAT. У 2026 році строк сплив 2 березня 2026 року. Про обов’язок і строк ČNB повідомляє звітуючі установи вимогою (ČNB, DORA – звітуючі установи, чеською).

Як швидко потрібно повідомити про серйозний інцидент?

• первинне повідомлення: протягом 4 годин після класифікації інциденту як серйозного, але не пізніше ніж через 24 години після його виявлення,
• проміжний звіт: протягом 72 годин після первинного повідомлення,
• остаточний звіт: протягом місяця після останнього проміжного звіту.

Строки встановлює Делегований регламент Комісії (ЄС) 2025/301. Тому процедура класифікації та повідомлення має бути готова заздалегідь, а не під час інциденту.

Як DORA співвідноситься з чеським законом про кібербезпеку?

Для фінансових установ DORA є галузевим регулюванням. Там, де він рівноцінно регулює управління кіберризиками та повідомлення про інциденти, він має пріоритет над Законом № 264/2025 Зб. про кібербезпеку, який імплементує директиву NIS2. Закон про кібербезпеку застосовується там, де DORA певну сферу не регулює, наприклад щодо реєстрації в NÚKIB. Основний нагляд здійснює ČNB, NÚKIB — додатково (спільна заява ČNB і NÚKIB, 24 червня 2026 року, чеською).

Як ми допоможемо?

• Документація DORA під ключ: стратегія, політики, внутрішні правила, реєстр ІКТ-активів і плани безперервності.
• Договори з ІКТ-постачальниками: перевірка та доповнення відповідно до ст. 30 DORA.
• Реєстр інформації: складання реєстру та його подання до ČNB.
• Інциденти: процедура класифікації та повідомлення, шаблони повідомлень для ČNB.
• Тестування: програма тестування цифрової операційної стійкості.
• Перевірка ČNB: підготовка до анкети та перевірки.

Документацію ми надаємо як пакет послуг з впровадження DORA. Новим заявникам на ліцензію ČNB готуємо її одразу як частину заяви.

Поширені запитання

Чи поширюється DORA й на малі платіжні установи?

Так. DORA поширюється й на малих надавачів платіжних послуг і малих емітентів електронних грошей. Вони, однак, можуть застосовувати спрощену систему управління ІКТ-ризиками за ст. 16.

Чи поширюється DORA на осіб за § 15 ZISIF?

Ні. Керуючі фондами нижче порогових значень за ст. 3 ч. 2 директиви AIFMD виключені зі сфери дії DORA.

Чи мусимо ми проводити тестування на проникнення TLPT?

Лише якщо вас визначить ČNB. Інші установи тестують за власною програмою, критичні системи щонайменше раз на рік.

Чи потрібно змінювати договори з постачальниками хмарних послуг і програмного забезпечення?

У більшості випадків так. Договори мають містити умови за ст. 30 DORA, а до послуг, що підтримують критичні чи важливі функції, застосовуються суворіші вимоги, наприклад право на аудит і стратегії виходу.

Скільки коштує впровадження DORA?

Ціна залежить від розміру компанії, обсягу діяльності та документації, яку ви вже маєте. Після первинної консультації ми підготуємо для вас індивідуальну письмову пропозицію.

Напишіть нам на info@stuchlikova.com і домовтеся про первинну консультацію.

Джерела

• Регламент (ЄС) 2022/2554 про цифрову операційну стійкість фінансового сектору (DORA), англійською
• ČNB, DORA – звітуючі установи, чеською
• спільна заява ČNB і NÚKIB, 24 червня 2026 року, чеською
• Právní prostor, річний звіт ČNB за 2025 рік, чеською

Рекомендації

Ключові контакти

Зузана Стухлікова

Максим Обухов

Бара Ванчурова