DORA: khả năng chống chịu hoạt động số

Quy định DORA áp dụng từ ngày 17/1/2025 cho các tổ chức thanh toán, tổ chức tiền điện tử, công ty đầu tư, công ty quản lý quỹ, nhà cung cấp dịch vụ tài sản mã hóa, công ty bảo hiểm và các tổ chức tài chính khác. Cơ quan giám sát là ČNB, từ năm 2025 đã kiểm tra việc tuân thủ DORA. Chúng tôi chuẩn bị toàn bộ tài liệu, điều chỉnh hợp đồng với nhà cung cấp CNTT, lập sổ đăng ký thông tin và thiết lập quy trình báo cáo sự cố.

Cập nhật ngày 11/11/2026

DORA áp dụng cho ai?

Quy định (EU) 2022/2554 (DORA) áp dụng cho các tổ chức tài chính theo Điều 2, trong đó có:

• ngân hàng, tổ chức thanh toán và tổ chức tiền điện tử, kể cả nhà cung cấp dịch vụ thanh toán quy mô nhỏ và tổ chức phát hành tiền điện tử quy mô nhỏ,
• nhà cung cấp dịch vụ tài sản mã hóa (CASP),
• công ty đầu tư, công ty quản lý quỹ đầu tư thay thế và công ty quản lý,
• công ty bảo hiểm, tái bảo hiểm và các trung gian bảo hiểm lớn,
• nhà cung cấp dịch vụ gọi vốn cộng đồng (crowdfunding).

Ngược lại, DORA không áp dụng, ví dụ, cho các nhà quản lý quỹ dưới ngưỡng theo Điều 3(2) của Chỉ thị AIFMD, tại Séc thường là các chủ thể theo § 15 ZISIF, cũng như các trung gian bảo hiểm là doanh nghiệp nhỏ và vừa (Điều 2(3) DORA).

DORA yêu cầu những gì?

1. Quản lý rủi ro CNTT-TT (Điều 5–16): chiến lược khả năng chống chịu hoạt động số, danh mục tài sản, chính sách an ninh, duy trì hoạt động liên tục, sao lưu và phục hồi. Nhà cung cấp dịch vụ thanh toán quy mô nhỏ, tổ chức phát hành tiền điện tử quy mô nhỏ và công ty đầu tư nhỏ có thể áp dụng khuôn khổ đơn giản hóa theo Điều 16.
2. Quản lý và báo cáo sự cố (Điều 17–23): phân loại sự cố và báo cáo sự cố nghiêm trọng cho ČNB.
3. Kiểm thử (Điều 24–27): chương trình kiểm thử, các hệ thống trọng yếu ít nhất mỗi năm một lần. Kiểm thử xâm nhập dựa trên mối đe dọa (TLPT) ít nhất ba năm một lần chỉ bắt buộc với các tổ chức do ČNB chỉ định.
4. Quản lý rủi ro bên thứ ba (Điều 28–30): sổ đăng ký thông tin về hợp đồng với nhà cung cấp CNTT, điều khoản hợp đồng bắt buộc và chiến lược rút lui.

ČNB kiểm tra gì trong thực tế?

Năm 2025, ČNB bắt đầu đợt giám sát đầu tiên theo DORA. ČNB đưa 16 tổ chức thuộc lĩnh vực dịch vụ đầu tư và thanh toán vào đợt kiểm tra thí điểm, sử dụng bảng câu hỏi với hơn 400 câu hỏi kiểm tra. Việc khiến doanh nghiệp tốn nhiều công sức nhất là quản lý quan hệ với nhà cung cấp CNTT: họ phải sửa hợp đồng, bổ sung nghĩa vụ của nhà cung cấp và bắt đầu lưu hồ sơ mà trước đó chưa lưu một cách hệ thống (Právní prostor, báo cáo thường niên của ČNB năm 2025, tiếng Séc).

Sổ đăng ký thông tin là gì và nộp khi nào?

Sổ đăng ký thông tin ghi nhận mọi hợp đồng với nhà cung cấp dịch vụ CNTT, kể cả điện toán đám mây, phần mềm và thuê ngoài CNTT (Điều 28(3) DORA). ČNB thu thập sổ này qua hệ thống SDAT. Năm 2026, thời hạn là ngày 2/3/2026. ČNB thông báo về nghĩa vụ và thời hạn cho các tổ chức báo cáo bằng văn bản yêu cầu (ČNB, DORA – các tổ chức báo cáo, tiếng Séc).

Phải báo cáo sự cố nghiêm trọng nhanh đến mức nào?

• thông báo ban đầu: trong vòng 4 giờ kể từ khi phân loại sự cố là nghiêm trọng, chậm nhất 24 giờ kể từ khi phát hiện,
• báo cáo giữa kỳ: trong vòng 72 giờ kể từ thông báo ban đầu,
• báo cáo cuối cùng: trong vòng 1 tháng kể từ báo cáo giữa kỳ gần nhất.

Thời hạn được quy định tại Quy định ủy quyền (EU) 2025/301 của Ủy ban châu Âu. Vì vậy, quy trình phân loại và báo cáo phải được chuẩn bị trước, không phải đợi đến khi có sự cố.

DORA liên quan thế nào đến luật an ninh mạng của Séc?

Đối với tổ chức tài chính, DORA là quy định chuyên ngành. Ở những nội dung DORA quy định tương đương về quản lý rủi ro an ninh mạng và báo cáo sự cố, DORA được ưu tiên áp dụng so với Luật số 264/2025 về an ninh mạng, luật nội luật hóa Chỉ thị NIS2. Tuy nhiên, luật an ninh mạng vẫn áp dụng cho những nội dung DORA không điều chỉnh, ví dụ việc đăng ký với NÚKIB. ČNB thực hiện giám sát chính, NÚKIB giám sát bổ sung (tuyên bố chung của ČNB và NÚKIB ngày 24/6/2026, tiếng Séc).

Chúng tôi hỗ trợ gì?

• Tài liệu DORA theo yêu cầu: chiến lược, chính sách, quy chế nội bộ, danh mục tài sản CNTT và kế hoạch duy trì hoạt động.
• Hợp đồng với nhà cung cấp CNTT: rà soát và bổ sung theo Điều 30 DORA.
• Sổ đăng ký thông tin: lập sổ và nộp cho ČNB.
• Sự cố: quy trình phân loại và báo cáo, mẫu báo cáo gửi ČNB.
• Kiểm thử: chương trình kiểm thử khả năng chống chịu hoạt động số.
• Kiểm tra của ČNB: chuẩn bị cho bảng câu hỏi và đợt kiểm tra.

Chúng tôi cung cấp tài liệu dưới dạng gói dịch vụ triển khai DORA. Với các tổ chức mới xin giấy phép ČNB, chúng tôi chuẩn bị luôn trong hồ sơ xin phép.

Câu hỏi thường gặp

DORA có áp dụng cho tổ chức thanh toán nhỏ không?

Có. DORA áp dụng cả cho nhà cung cấp dịch vụ thanh toán quy mô nhỏ và tổ chức phát hành tiền điện tử quy mô nhỏ. Tuy nhiên, họ có thể áp dụng khuôn khổ quản lý rủi ro CNTT-TT đơn giản hóa theo Điều 16.

DORA có áp dụng cho chủ thể theo § 15 ZISIF không?

Không. Các nhà quản lý quỹ dưới ngưỡng theo Điều 3(2) Chỉ thị AIFMD được loại trừ khỏi phạm vi của DORA.

Chúng tôi có phải thực hiện kiểm thử xâm nhập TLPT không?

Chỉ khi ČNB chỉ định. Các tổ chức khác kiểm thử theo chương trình riêng, các hệ thống trọng yếu ít nhất mỗi năm một lần.

Có phải sửa hợp đồng với nhà cung cấp đám mây và phần mềm không?

Trong đa số trường hợp là có. Hợp đồng phải có các điều khoản theo Điều 30 DORA, và các dịch vụ hỗ trợ chức năng trọng yếu hoặc quan trọng phải đáp ứng yêu cầu chặt chẽ hơn, ví dụ quyền kiểm toán và chiến lược rút lui.

Chi phí triển khai DORA là bao nhiêu?

Chi phí tùy thuộc vào quy mô công ty, phạm vi hoạt động và tài liệu Quý khách đã có. Sau buổi tư vấn ban đầu, chúng tôi sẽ gửi Quý khách báo giá bằng văn bản.

Hãy viết cho chúng tôi tại info@stuchlikova.com để hẹn buổi tư vấn ban đầu.

Nguồn

• Quy định (EU) 2022/2554 về khả năng chống chịu hoạt động số của khu vực tài chính (DORA), tiếng Anh
• ČNB, DORA – các tổ chức báo cáo, tiếng Séc
• tuyên bố chung của ČNB và NÚKIB ngày 24/6/2026, tiếng Séc
• Právní prostor, báo cáo thường niên của ČNB năm 2025, tiếng Séc

Khách hàng tiêu biểu

Đầu mối liên hệ chính

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová