DORA a poskytovatelé ICT služeb: co finanční subjekty potřebují od dodavatelů

01DORA na podzim 2026

Nařízení o digitální provozní odolnosti (otevře externí web), nařízení (EU) 2022/2554, se uplatňuje od 17. ledna 2025. Jako nařízení platí přímo v každém členském státě; národní právo hlavně určuje příslušné orgány a stanoví sankce. Podrobnosti obsahují technické normy přijaté Komisí: k rámci pro řízení rizik ICT, ke klasifikaci a hlášení incidentů, k registru informací, ke smluvním politikám, k subdodávkám a k penetračnímu testování na základě hrozeb.

V Česku je příslušným orgánem podle DORA Česká národní banka. Vyplývá to z § 9 a § 10 zákona č. 31/2025 Sb., o digitalizaci finančního trhu (otevře externí web), účinného od 15. února 2025: Česká národní banka dohlíží na dodržování nařízení a může ukládat opatření k nápravě.

Pro finanční subjekty je DORA odvětvovým předpisem, který nahrazuje pravidla NIS2 pro řízení rizik ICT, hlášení incidentů a dohled. Tři evropské orgány dohledu (EBA, EIOPA a ESMA) zveřejnily (otevře externí web) 18. listopadu 2025 první seznam kritických poskytovatelů služeb ICT z řad třetích stran, nad kterými vykonávají přímý dohled.

02Finanční subjekty a jejich poskytovatelé ICT

DORA se vztahuje na dvacet typů finančních subjektů, od úvěrových institucí, platebních institucí, institucí elektronických peněz a investičních podniků po poskytovatele služeb souvisejících s kryptoaktivy, obchodní systémy, správce fondů, pojišťovny, zprostředkovatele pojištění, instituce zaměstnaneckého penzijního pojištění, ratingové agentury a poskytovatele služeb skupinového financování. Přiměřenost je zabudovaná: článek 4 přizpůsobuje požadavky velikosti, rizikovému profilu a složitosti a článek 16 stanoví zjednodušený rámec pro některé menší subjekty.

Česká národní banka vykonává dohled nad finančním trhem v Česku: nad bankami, družstevními záložnami, kapitálovým trhem, pojišťovnictvím, penzijními společnostmi, směnárnami a platebními institucemi. Které z dohlížených subjektů spadají pod DORA, určuje výčet v článku 2 nařízení.

Poskytovatel služeb ICT z řad třetích stran je jakýkoli podnik, který poskytuje služby ICT, a DORA je vymezuje široce: digitální a datové služby poskytované prostřednictvím systémů ICT interním nebo externím uživatelům průběžně. Hosting, řízené služby, software jako služba, údržba a podpora aplikací a datové služby do této definice zpravidla spadají. Dodavatelé pod dohledem podle DORA nejsou, pokud nejsou určeni jako kritičtí, ale jejich zákazníci povinnosti promítají do každé smlouvy.

03Riziko v oblasti ICT nese vedoucí orgán

Článek 5 svěřuje konečnou odpovědnost za riziko v oblasti ICT vedoucímu orgánu. Ten vymezuje a schvaluje rámec pro řízení rizika v oblasti ICT a dohlíží na něj, stanoví strategii digitální provozní odolnosti a toleranci k riziku, schvaluje politiku kontinuity činností a plány reakce a obnovy a schvaluje a přezkoumává politiku využívání ICT služeb od poskytovatelů třetích stran. Jeho členové si musí udržovat aktuální znalosti, mimo jiné pravidelným školením.

04Závažné incidenty: 4 hodiny, 72 hodin, jeden měsíc

Finanční subjekty klasifikují incidenty související s ICT podle kritérií v článku 18, která podrobně rozvádí nařízení v přenesené pravomoci (EU) 2024/1772 (otevře externí web): dotčení klienti a transakce, doba trvání a výpadku, zeměpisný rozsah, ztráty dat, kritičnost dotčených služeb a ekonomický dopad. Závažný incident se hlásí příslušnému orgánu, v Česku České národní bance, ve třech krocích s lhůtami podle nařízení v přenesené pravomoci (EU) 2025/301 (otevře externí web):

Klienty, jejichž finanční zájmy jsou dotčeny, je třeba informovat bez zbytečného odkladu. Finanční subjekt může samotné hlášení svěřit třetí straně, ale zůstává za ně plně odpovědný (čl. 19 odst. 5).

Pro dodavatele je to konkrétní. Každá smlouva o ICT službách musí obsahovat povinnost poskytovatele pomoci při incidentu souvisejícím s jeho službou, a to bez dalších nákladů nebo za cenu dohodnutou předem (čl. 30 odst. 2 písm. f)). Čtyřhodinové okno zákazníka funguje jen tehdy, když monitoring, logy a kontakty dodavatele existují dřív než incident.

05Testování až po penetrační testování na základě hrozeb

Článek 24 vyžaduje program testování založený na riziku, prováděný nezávislými interními nebo externími testery, s vhodnými testy nejméně jednou ročně u všech systémů a aplikací ICT, které podporují zásadní nebo důležité funkce. Subjekty určené příslušným orgánem musí navíc nejméně každé tři roky provést penetrační testování na základě hrozeb na živých produkčních systémech podle nařízení v přenesené pravomoci (EU) 2025/1190 (otevře externí web), které vychází z rámce TIBER-EU.

Když služby dodavatele spadají do rozsahu TLPT, finanční subjekt musí zajistit jeho účast (čl. 26 odst. 3) a smlouvy pro zásadní nebo důležité funkce musí tuto povinnost obsahovat (čl. 30 odst. 3 písm. d)). Pokud by účast dodavatele mohla poškodit jeho další klienty, DORA umožňuje sdružené testování, při kterém dodavatel přímo za několik finančních subjektů najme externího testera (čl. 26 odst. 4).

06Rizika třetích stran: strategie, registr a ukončení

Článek 28 dělá z rizika v oblasti ICT spojeného s třetími stranami součást rámce pro řízení rizika v oblasti ICT a finanční subjekt zůstává plně odpovědný za dodržování předpisů bez ohledu na to, co svěří externím dodavatelům. Hlavní povinnosti:

• Strategie pro riziko v oblasti ICT spojené s třetími stranami, včetně politiky pro ICT služby podporující zásadní nebo důležité funkce, kterou vedoucí orgán pravidelně přezkoumává.
• Registr informací o všech smluvních ujednáních o ICT službách na úrovni subjektu i skupiny, který odlišuje ujednání podporující zásadní nebo důležité funkce. Šablony stanoví prováděcí nařízení (EU) 2024/2956 (otevře externí web). Subjekty o něm nejméně jednou ročně podávají zprávu příslušnému orgánu a na požádání předkládají celý registr.
• Náležitá péče před podpisem: zda služba podporuje zásadní nebo důležitou funkci, rizika včetně rizika koncentrace, vhodnost dodavatele a případné střety zájmů. Dodavatelé musí uplatňovat vhodné normy bezpečnosti informací, u zásadních nebo důležitých funkcí ty nejaktuálnější a nejkvalitnější.
• Práva na ukončení, mimo jiné při závažném porušení ze strany dodavatele, při prokázaných slabinách v jeho řízení rizik ICT nebo za okolností, které brání účinnému dohledu.
• Strategie ukončení pro ICT služby podporující zásadní nebo důležité funkce, zdokumentované a otestované, aby subjekt mohl odejít bez narušení své činnosti, bez omezení souladu s předpisy a bez poškození služeb svým klientům.

Co musí obsahovat smlouva

Článek 30 stanoví minimální smluvní ujednání. Každá smlouva o ICT službách musí být písemná, v jednom dokumentu včetně úrovní služeb, a obsahovat nejméně:

• úplný popis funkcí a služeb a informaci, zda a za jakých podmínek jsou povoleny subdodávky;
• místa, kde se služby poskytují a kde se data zpracovávají a ukládají, s předchozím oznámením každé změny;
• dostupnost, autenticitu, integritu a důvěrnost dat včetně osobních údajů;
• přístup k datům, jejich obnovu a vrácení ve snadno přístupném formátu při platební neschopnosti, ukončení činnosti nebo ukončení smlouvy;
• popis úrovní služeb;
• pomoc při incidentech ICT souvisejících se službou, bez dalších nákladů nebo za cenu dohodnutou předem;
• plnou součinnost s příslušnými orgány a s orgány příslušnými k řešení krize;
• práva na ukončení a minimální výpovědní lhůty;
• účast na programech zvyšování povědomí o bezpečnosti ICT a na školeních digitální provozní odolnosti finančního subjektu.

U služeb podporujících zásadní nebo důležité funkce přidává čl. 30 odst. 3 přesné kvantitativní a kvalitativní výkonnostní cíle, oznamovací a informační povinnosti, plány kontinuity, které dodavatel zavádí a testuje, účast na TLPT, neomezená práva na přístup, kontrolu a audit pro subjekt i jeho orgán dohledu a strategii ukončení s povinným přechodným obdobím. Nařízení v přenesené pravomoci (EU) 2025/532 (otevře externí web) doplňuje, co musí subjekt posoudit, když se takové služby zajišťují prostřednictvím subdodavatelů.

07Kritičtí poskytovatelé služeb ICT z řad třetích stran

Podle článku 31 určují evropské orgány dohledu poskytovatele ICT, kteří jsou pro finanční sektor kritičtí, podle jejich systémového dopadu, významu finančních subjektů, které na ně spoléhají, jejich role u zásadních nebo důležitých funkcí a toho, jak snadno je lze nahradit. Každý kritický poskytovatel má hlavní orgán dohledu (Lead Overseer), jeden z těchto tří orgánů, který může žádat informace, provádět šetření a kontroly a vydávat doporučení.

První seznam (otevře externí web), zveřejněný 18. listopadu 2025, určil 19 poskytovatelů, od provozovatelů cloudu a datových center po telekomunikační firmy, IT služby, poskytovatele tržních dat a výrobce podnikového softwaru. Určení nezbavuje finanční subjekt žádné povinnosti: i u těchto poskytovatelů dál vede registr, smluvní ujednání a strategii ukončení.

08Co má mít poskytovatel ICT připraveno

Většina dodavatelů finančních subjektů nikdy nebude určena jako kritická, ale všichni se s DORA setkají přes smlouvy, náležitou péči a audity. Dodavatel, který má připraveno následující, zkrátí zadávací řízení a usnadní zákazníkovi komunikaci s orgánem dohledu:

• Údaje do registru. Co zákazník potřebuje do registru informací: právnickou osobu a identifikátory, poskytované služby a funkce, které podporují, místa plnění a subdodavatele v řetězci.
• Smluvní ujednání podle článku 30. Ideálně standardní dodatek pro DORA, který pokrývá oba výčty, místo vyjednávání každé klauzule od začátku.
• Podklady k incidentům. Monitoring, logy se spolehlivým časem a postup oznámení, díky kterému zákazník incident klasifikuje a nahlásí během několika hodin.
• Otestovaná kontinuita. Plány kontinuity a testy obnovy s daty a výsledky.
• Doložitelná bezpečnost. Normy bezpečnosti informací, řízení přístupu, bezpečný životní cyklus vývoje a řešení zranitelností, pokud možno s nezávislým doložením.
• Připravenost na audit a testy. Funkční způsob, jak hostit audity a kontroly a účastnit se TLPT, včetně sdruženého testování, kde to dává smysl.
• Plán ukončení. Vrácení dat v použitelných formátech, dokumentace a podpora při přechodu po dohodnutou dobu.

Takto pracujeme jako dodavatel ICT pro finanční subjekty: dohodneme smluvní ujednání, která DORA vyžaduje, oznamujeme incidenty dohodnutým kanálem, dokumentujeme plány ukončení, účastníme se testování odolnosti a dodáváme údaje, které potřebuje váš registr. Na stránce Důvěra a compliance popisujeme, jak pracujeme, včetně našeho systému řízení bezpečnosti informací certifikovaného podle ISO/IEC 27001.

09Praktický plán pro obě strany

1. 01Doplňte registr. Každou smlouvu o ICT službách propojte s funkcemi, které podporuje, a označte zásadní nebo důležité.
2. 02Uzavřete mezery ve smlouvách. Porovnejte každou smlouvu s článkem 30 a tam, kde ujednání chybí, dohodněte dodatek.
3. 03Sjednoťte řešení incidentů. S každým kritickým dodavatelem dohodněte vstupy pro klasifikaci, kontakty a lhůty pro oznámení a vyzkoušejte je.
4. 04Plánujte testování s dodavateli. Zahrňte je do programu testování a tam, kde je to relevantní, do vymezení rozsahu TLPT.
5. 05Sepište a otestujte strategie ukončení. Pro každou zásadní nebo důležitou funkci: alternativy, vrácení dat a přechodné období.
6. 06Hlídejte koncentraci. Několik zásadních nebo důležitých funkcí u stejného poskytovatele je riziko, které je třeba zdokumentovat a řídit (článek 29).

10Váš příslušný orgán

DORA je všude stejný text, ale dohled nad většinou finančních subjektů je národní: podle typu subjektu centrální banka, orgán obezřetnostního dohledu nebo orgán dohledu nad trhy a u významných bank ECB. Formát a kanál pro registr informací a pro hlášení incidentů i orgán odpovědný za TLPT se stanoví na národní úrovni.

V Česku vykonává dohled nad finančním trhem Česká národní banka a podle zákona č. 31/2025 Sb. je i příslušným orgánem podle DORA. Předpisy k digitální provozní odolnosti shrnuje na své stránce o DORA (otevře externí web). Aktuální požadavky na registr informací a hlášení incidentů si ověřte přímo u ní.

11Co sledovat v příštích měsících

• Priority a zjištění dohledu České národní banky k registru informací a hlášení incidentů.
• Dohled hlavních orgánů dohledu nad kritickými poskytovateli služeb ICT z řad třetích stran a doporučení, která se dotknou služeb, jež používáte.
• Návrh Komise Digital Omnibus (otevře externí web), COM(2025) 837, podle kterého by hlášení závažných incidentů podle DORA procházela jediným vstupním místem provozovaným agenturou ENISA. V říjnu 2026 byl návrh stále projednáván v Evropském parlamentu; dokud nebude přijat a nezačne se uplatňovat, platí dosavadní kanály a lhůty.

Organizace mimo finanční sektor mají podobné povinnosti v dodavatelském řetězci podle NIS2; viz náš článek o zákonu o kybernetické bezpečnosti a dodavatelích softwaru. Evropské orgány dohledu udržují přehled technických norem a rámce dohledu na svých stránkách o DORA (otevře externí web).