DORA i treće strane pružatelji IKT usluga: što financijski subjekti trebaju od dobavljača

01Gdje je DORA u jesen 2026.

Uredba o digitalnoj operativnoj otpornosti za financijski sektor (otvara vanjsku stranicu) (DORA), Uredba (EU) 2022/2554, primjenjuje se od 17. siječnja 2025. Kao uredba izravno se primjenjuje u svakoj državi članici; nacionalno pravo uglavnom određuje nadležna tijela i propisuje sankcije. Pojedinosti su u tehničkim standardima koje je donijela Komisija, o okviru za upravljanje IKT rizicima, klasifikaciji i prijavljivanju incidenata, registru informacija, ugovornim politikama, podugovaranju i penetracijskom testiranju vođenom prijetnjama.

Za financijske subjekte DORA je sektorski propis koji zamjenjuje pravila Direktive NIS 2 o upravljanju IKT rizicima, prijavljivanju incidenata i nadzoru. Tri europska nadzorna tijela (EBA, EIOPA i ESMA) objavila su (otvara vanjsku stranicu) 18. studenoga 2025. prvi popis ključnih trećih strana pružatelja IKT usluga koje izravno nadziru.

02Financijski subjekti i njihovi pružatelji IKT usluga

DORA obuhvaća dvadeset vrsta financijskih subjekata, od kreditnih institucija, institucija za platni promet, institucija za elektronički novac i investicijskih društava do pružatelja usluga povezanih s kriptoimovinom, mjesta trgovanja, upravitelja fondova, društava za osiguranje, posrednika u osiguranju, institucija za strukovno mirovinsko osiguranje, agencija za kreditni rejting i pružatelja usluga skupnog financiranja. Razmjernost je ugrađena: članak 4. prilagođava zahtjeve veličini, profilu rizičnosti i složenosti, a članak 16. propisuje pojednostavnjeni okvir za neke manje subjekte.

Treća strana pružatelj IKT usluga svako je poduzeće koje pruža IKT usluge, a DORA ih definira široko: digitalne i podatkovne usluge koje se putem sustava IKT-a kontinuirano pružaju unutarnjim ili vanjskim korisnicima. Hosting, upravljane usluge, softver kao usluga, održavanje i podrška aplikacija te podatkovne usluge obično ulaze u tu definiciju. Dobavljači nisu pod nadzorom prema DORA-i, osim ako su određeni kao ključni, ali njihovi kupci obveze prenose u svaki ugovor.

03Upravljačko tijelo nosi IKT rizik

Članak 5. upravljačkom tijelu daje konačnu odgovornost za IKT rizik. Ono definira, odobrava i nadzire okvir za upravljanje IKT rizicima, utvrđuje strategiju digitalne operativne otpornosti i toleranciju rizika, odobrava politiku kontinuiteta poslovanja te planove odgovora i oporavka, a odobrava i preispituje i politiku korištenja IKT usluga trećih strana pružatelja. Njegovi članovi moraju održavati svoje znanje ažurnim, među ostalim redovitim osposobljavanjem.

04Značajni IKT incidenti: 4 sata, 72 sata, mjesec dana

Financijski subjekti incidente povezane s IKT-om klasificiraju prema kriterijima iz članka 18., razrađenima u Delegiranoj uredbi (EU) 2024/1772 (otvara vanjsku stranicu): broj pogođenih klijenata i transakcija, trajanje i vrijeme nedostupnosti usluge, zemljopisna rasprostranjenost, gubitak podataka, kritičnost pogođenih usluga i ekonomski učinak. Značajni IKT incident prijavljuje se nadležnom tijelu u tri koraka, s rokovima iz Delegirane uredbe (EU) 2025/301 (otvara vanjsku stranicu):

Klijente čiji su financijski interesi pogođeni treba obavijestiti bez nepotrebne odgode. Financijski subjekt samu prijavu može eksternalizirati trećoj strani, ali za nju ostaje u potpunosti odgovoran (članak 19. stavak 5.).

Za dobavljače je to konkretno. Svaki ugovor o IKT uslugama mora uključivati obvezu pružatelja da pomogne kad nastane incident povezan s njegovom uslugom, bez dodatnog troška ili uz trošak dogovoren unaprijed (članak 30. stavak 2. točka (f)). Rok od četiri sata kod kupca funkcionira samo ako su nadzor, zapisi i kontakti dobavljača spremni prije incidenta.

05Testiranje, sve do penetracijskih testova vođenih prijetnjama

Članak 24. zahtijeva program testiranja temeljen na riziku, koji provode neovisni unutarnji ili vanjski ispitivači, s primjerenim testovima najmanje jednom godišnje na svim sustavima i aplikacijama IKT-a koji podupiru ključne ili važne funkcije. Subjekti koje odredi nadležno tijelo moraju najmanje svake tri godine provesti i penetracijsko testiranje vođeno prijetnjama, na sustavima u produkciji, prema Delegiranoj uredbi (EU) 2025/1190 (otvara vanjsku stranicu), koja slijedi okvir TIBER-EU.

Kad su usluge dobavljača obuhvaćene TLPT-om, financijski subjekt mora osigurati da dobavljač sudjeluje (članak 26. stavak 3.), a ugovori za ključne ili važne funkcije moraju uključivati tu obvezu (članak 30. stavak 3. točka (d)). Ako bi sudjelovanje dobavljača moglo naštetiti njegovim drugim klijentima, DORA dopušta skupno testiranje, u kojem dobavljač izravno angažira vanjskog ispitivača u ime nekoliko financijskih subjekata (članak 26. stavak 4.).

06Rizik povezan s trećim stranama: strategija, registar i izlaz

Članak 28. IKT rizik povezan s trećim stranama čini dijelom okvira za upravljanje IKT rizicima, a financijski subjekt ostaje u potpunosti odgovoran za usklađenost, što god eksternalizirao. Glavne obveze:

• Strategija za IKT rizik povezan s trećim stranama, uključujući politiku za IKT usluge koje podupiru ključne ili važne funkcije, koju upravljačko tijelo redovito preispituje.
• Registar informacija o svim ugovornim aranžmanima za IKT usluge, na razini subjekta i grupe, u kojem se izdvajaju aranžmani koji podupiru ključne ili važne funkcije. Predloške propisuje Provedbena uredba (EU) 2024/2956 (otvara vanjsku stranicu). Subjekti o registru izvješćuju nadležno tijelo najmanje jednom godišnje, a na zahtjev dostavljaju cijeli registar.
• Dubinska analiza prije potpisivanja: podupire li usluga ključnu ili važnu funkciju, rizici uključujući koncentracijski rizik, prikladnost dobavljača i eventualni sukobi interesa. Dobavljači moraju primjenjivati odgovarajuće norme informacijske sigurnosti, a za ključne ili važne funkcije najnovije norme najviše kvalitete.
• Pravo na raskid, među ostalim zbog znatne povrede obveza dobavljača, dokazanih slabosti u njegovu upravljanju IKT rizicima ili okolnosti koje sprječavaju djelotvoran nadzor.
• Izlazne strategije za IKT usluge koje podupiru ključne ili važne funkcije, dokumentirane i testirane, kako bi subjekt mogao izaći bez poremećaja u poslovanju, ograničavanja usklađenosti ili štete za usluge svojim klijentima.

Što mora pisati u ugovoru

Članak 30. propisuje minimalne ugovorne odredbe. Svaki ugovor o IKT uslugama mora biti u pisanom obliku, u jednom dokumentu koji uključuje razine usluge, i obuhvaćati barem:

• potpun opis funkcija i usluga te je li podugovaranje dopušteno i pod kojim uvjetima;
• lokacije na kojima se usluge pružaju i podaci obrađuju i pohranjuju, uz prethodnu obavijest o svakoj promjeni;
• dostupnost, autentičnost, cjelovitost i povjerljivost podataka, uključujući osobne podatke;
• pristup podacima, njihov oporavak i povrat u lako dostupnom formatu u slučaju insolventnosti, prestanka poslovanja ili raskida;
• opise razina usluge;
• pomoć pri incidentima povezanima s IKT-om koji se odnose na uslugu, bez dodatnog troška ili uz trošak dogovoren unaprijed;
• punu suradnju s nadležnim tijelima i tijelima za sanaciju;
• prava na raskid i minimalne otkazne rokove;
• sudjelovanje u programima subjekta za podizanje svijesti o sigurnosti IKT-a i osposobljavanje za digitalnu operativnu otpornost.

Za usluge koje podupiru ključne ili važne funkcije članak 30. stavak 3. dodaje precizne kvantitativne i kvalitativne ciljeve izvedbe, obveze obavješćivanja i izvješćivanja, planove kontinuiteta poslovanja koje dobavljač provodi i testira, sudjelovanje u TLPT-u, neograničena prava pristupa, inspekcije i revizije za subjekt i njegovo nadzorno tijelo te izlaznu strategiju s obveznim prijelaznim razdobljem. Delegirana uredba (EU) 2025/532 (otvara vanjsku stranicu) dodaje što subjekt mora procijeniti kad se takve usluge podugovaraju.

07Ključne treće strane pružatelji IKT usluga

Prema članku 31. europska nadzorna tijela određuju pružatelje IKT usluga koji su ključni za financijski sektor, na temelju njihova sistemskog učinka, važnosti financijskih subjekata koji se na njih oslanjaju, njihove uloge u ključnim ili važnim funkcijama i toga koliko ih je lako zamijeniti. Svaki ključni pružatelj dobiva glavno nadzorno tijelo (Lead Overseer), jedno od triju europskih tijela, koje može tražiti informacije, provoditi istrage i inspekcije te izdavati preporuke.

Prvi popis (otvara vanjsku stranicu), objavljen 18. studenoga 2025., odredio je 19 pružatelja, od pružatelja usluga računalstva u oblaku i podatkovnih centara do telekomunikacijskih tvrtki, pružatelja IT usluga, podataka o tržištu i poslovnog softvera. Određivanje ne uklanja nijednu obvezu financijskog subjekta: on i dalje za svakog od tih pružatelja vodi registar, ugovorne odredbe i izlaznu strategiju.

08Što pružatelj IKT usluga treba imati spremno

Većina dobavljača financijskih subjekata nikad neće biti određena kao ključna, ali svi se s DORA-om susreću kroz ugovore, dubinske analize i revizije. Dobavljač koji ima sljedeće skraćuje nabavu i kupcu olakšava razgovor s nadzornim tijelom:

• Podaci za registar. Ono što kupcu treba za registar informacija: pravni subjekt i identifikatori, pružene usluge i funkcije koje podupiru, lokacije i podizvođači u lancu.
• Ugovorne odredbe usklađene s člankom 30. Najbolje standardni dodatak ugovoru za DORA-u koji pokriva oba popisa, umjesto pregovaranja o svakoj odredbi iznova.
• Dokazi o incidentima. Nadzor, zapisi s pouzdanim vremenskim oznakama i postupak obavješćivanja koji kupcu omogućuje klasifikaciju i prijavu u roku od nekoliko sati.
• Provjeren kontinuitet. Planovi kontinuiteta poslovanja i testovi vraćanja podataka, s datumima i rezultatima.
• Sigurnost koju možete pokazati. Norme informacijske sigurnosti, kontrola pristupa, siguran životni ciklus razvoja i postupanje s ranjivostima, uz neovisne dokaze gdje je to moguće.
• Spremnost za reviziju i testiranje. Izvediv način za provođenje revizija i inspekcija te za sudjelovanje u TLPT-u, uključujući skupno testiranje gdje to odgovara.
• Izlazni plan. Povrat podataka u upotrebljivim formatima, dokumentacija i pomoć pri prijelazu tijekom dogovorenog razdoblja.

Tako radimo kao dobavljač IKT usluga financijskim subjektima: dogovaramo ugovorne odredbe koje DORA zahtijeva, incidente prijavljujemo dogovorenim kanalom, dokumentiramo izlazne planove, sudjelujemo u testiranju otpornosti i dostavljamo podatke koji trebaju za vaš registar. Naša stranica Povjerenje i usklađenost opisuje kako radimo, uključujući naš certificirani sustav upravljanja informacijskom sigurnošću (ISO/IEC 27001).

09Praktičan plan za obje strane

1. 01Dovršite registar. Svaki ugovor o IKT uslugama povežite s funkcijama koje podupire i označite ključne ili važne.
2. 02Zatvorite praznine u ugovorima. Usporedite svaki ugovor s člankom 30. i dogovorite dodatak gdje odredbe nedostaju.
3. 03Uskladite postupanje s incidentima. Sa svakim ključnim dobavljačem dogovorite ulazne podatke za klasifikaciju, kontakte i rokove obavješćivanja te ih testirajte.
4. 04Planirajte testiranje s dobavljačima. Uključite ih u program testiranja i, gdje je relevantno, u određivanje opsega TLPT-a.
5. 05Napišite i testirajte izlazne strategije. Za svaku ključnu ili važnu funkciju: alternative, povrat podataka i prijelazno razdoblje.
6. 06Pratite koncentraciju. Više ključnih funkcija kod istog pružatelja rizik je koji treba dokumentirati i njime upravljati (članak 29.).

10Nadležna tijela u Hrvatskoj

DORA je svugdje isti tekst, ali je nadzor za većinu financijskih subjekata nacionalan; značajne banke nadzire Europska središnja banka (ESB). U Hrvatskoj DORA-u provodi Zakon o provedbi Uredbe (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (NN 136/2024 (otvara vanjsku stranicu)), na snazi od 17. siječnja 2025. Nadležna tijela za provedbu Uredbe DORA u Hrvatskoj su Hrvatska narodna banka (HNB) i Hrvatska agencija za nadzor financijskih usluga (HANFA), svako za svoje subjekte:

• HNB: među ostalima kreditne institucije, osim značajnih koje nadzire ESB, institucije za platni promet, pružatelji usluga pružanja informacija o računu i institucije za elektronički novac.
• HANFA: među ostalima investicijska društva, društva za osiguranje i reosiguranje, posrednici u osiguranju, mirovinska društva, društva za upravljanje fondovima, pružatelji usluga povezanih s kriptoimovinom i infrastruktura tržišta kapitala.

Format i kanal za registar informacija i prijave incidenata te tijelo nadležno za TLPT određuju se na nacionalnoj razini. Provjerite upute tijela koje nadzire vaš subjekt.

11Što pratiti sljedećih mjeseci

• Nadzorne prioritete i nalaze HNB-a ili HANFA-e o registru informacija i prijavljivanju incidenata, ovisno o tome tko nadzire vaš subjekt.
• Nadzor ključnih trećih strana pružatelja IKT usluga koji provode glavna nadzorna tijela i preporuke koje se tiču usluga koje koristite.
• Prijedlog Digitalnog omnibusa (otvara vanjsku stranicu) Komisije, COM(2025) 837, kojim bi se prijave značajnih IKT incidenata prema DORA-i usmjeravale kroz jedinstvenu ulaznu točku kojom upravlja ENISA. U listopadu 2026. prijedlog je još bio pred Europskim parlamentom; dok ne bude donesen i ne počne se primjenjivati, vrijede postojeći kanali i rokovi.

Organizacije izvan financijskog sektora slične obveze u lancu opskrbe imaju prema Direktivi NIS 2, u Hrvatskoj prema Zakonu o kibernetičkoj sigurnosti; pogledajte naš članak o Zakonu o kibernetičkoj sigurnosti i dobavljačima softvera. Europska nadzorna tijela održavaju pregled tehničkih standarda i okvira nadzora na svojim stranicama o DORA-i (otvara vanjsku stranicu).