DORA a poskytovatelia IKT služieb: čo finančné subjekty potrebujú od dodávateľov

01Kde je DORA na jeseň 2026

Nariadenie o digitálnej prevádzkovej odolnosti (otvorí externú stránku), nariadenie (EÚ) 2022/2554, sa uplatňuje od 17. januára 2025. Ako nariadenie platí priamo v každom členskom štáte; vnútroštátne právo najmä určuje orgány dohľadu a sankcie. Podrobnosti sú v technických normách, ktoré Komisia prijala k rámcu riadenia IKT rizika, klasifikácii a hláseniu incidentov, registru informácií, zmluvným politikám, subdodávkam a penetračnému testovaniu na základe konkrétnej hrozby.

Na Slovensku vykonáva dohľad nad finančným trhom Národná banka Slovenska podľa zákona č. 747/2004 Z. z. o dohľade nad finančným trhom a osobitných predpisov, ktoré tento zákon uvádza a medzi ktoré patrí aj DORA. Pre finančné subjekty je DORA odvetvový predpis, ktorý nahrádza pravidlá NIS2 o riadení IKT rizika, hlásení incidentov a dohľade. Európske orgány dohľadu (EBA, EIOPA a ESMA) 18. novembra 2025 zverejnili (otvorí externú stránku) prvý zoznam kritických externých poskytovateľov IKT služieb, nad ktorými vykonávajú priamy dohľad.

02Finančné subjekty a ich poskytovatelia IKT služieb

DORA zahŕňa dvadsať typov finančných subjektov, od úverových inštitúcií, platobných inštitúcií, inštitúcií elektronického peňažníctva a investičných spoločností po poskytovateľov služieb kryptoaktív, obchodné miesta, správcov fondov, poisťovne, sprostredkovateľov poistenia, inštitúcie zamestnaneckého dôchodkového zabezpečenia, ratingové agentúry a platformy kolektívneho financovania. Proporcionalita je zabudovaná priamo: článok 4 prispôsobuje požiadavky veľkosti, rizikovému profilu a zložitosti a článok 16 stanovuje zjednodušený rámec pre niektoré menšie subjekty.

Externým poskytovateľom IKT služieb je každý podnik, ktorý poskytuje IKT služby, a DORA ich vymedzuje široko: digitálne a dátové služby poskytované prostredníctvom systémov IKT interným alebo externým používateľom priebežne. Zvyčajne sem patrí hosting, riadené služby, softvér ako služba, údržba a podpora aplikácií a dátové služby. Dodávatelia nie sú pod dohľadom podľa DORA, pokiaľ nie sú určení ako kritickí, ale ich zákazníci prenášajú povinnosti do každej zmluvy.

03IKT riziko nesie riadiaci orgán

Článok 5 dáva riadiacemu orgánu konečnú zodpovednosť za IKT riziko. Riadiaci orgán vymedzuje, schvaľuje a dohliada na rámec riadenia IKT rizika, určuje stratégiu digitálnej prevádzkovej odolnosti a toleranciu rizika, schvaľuje politiku kontinuity činností a plány reakcie a obnovy a schvaľuje a preskúmava politiku využívania IKT služieb od externých poskytovateľov. Jeho členovia si musia udržiavať aktuálne znalosti, okrem iného pravidelným školením.

04Závažné incidenty: 4 hodiny, 72 hodín, jeden mesiac

Finančné subjekty klasifikujú incidenty súvisiace s IKT podľa kritérií článku 18, ktoré podrobne rozpracúva delegované nariadenie (EÚ) 2024/1772 (otvorí externú stránku): zasiahnutí klienti a transakcie, trvanie a výpadok, geografický rozsah, straty údajov, kritickosť zasiahnutých služieb a ekonomický dosah. Závažný incident sa hlási orgánu dohľadu v troch krokoch, s lehotami podľa delegovaného nariadenia (EÚ) 2025/301 (otvorí externú stránku). Na Slovensku finančné subjekty v rozsahu DORA hlásia závažné IKT incidenty Národnej banke Slovenska (otvorí externú stránku).

Klientov, ktorých finančné záujmy sú dotknuté, treba informovať bez zbytočného odkladu. Finančný subjekt môže samotné hlásenie zveriť tretej strane, ale zostáva zaň plne zodpovedný (článok 19 ods. 5).

Pre dodávateľov je to celkom konkrétne. Každá zmluva o IKT službách musí obsahovať povinnosť poskytovateľa pomôcť pri incidente súvisiacom s jeho službou, bez dodatočných nákladov alebo za vopred dohodnutú cenu (článok 30 ods. 2 písm. f)). Štvorhodinové okno zákazníka funguje, len ak sú monitoring, logy a kontakty dodávateľa pripravené ešte pred incidentom.

05Testovanie až po penetračné testovanie na základe konkrétnej hrozby

Článok 24 vyžaduje program testovania založený na rizikách, ktorý vykonávajú nezávislí interní alebo externí testeri, s primeranými testami najmenej raz ročne na všetkých systémoch a aplikáciách IKT, ktoré podporujú kritické alebo dôležité funkcie. Subjekty, ktoré určí orgán dohľadu, musia navyše najmenej raz za tri roky vykonať penetračné testovanie na základe konkrétnej hrozby na živých produkčných systémoch, podľa delegovaného nariadenia (EÚ) 2025/1190 (otvorí externú stránku), ktoré nadväzuje na rámec TIBER-EU.

Keď sú služby dodávateľa v rozsahu TLPT, finančný subjekt musí zabezpečiť jeho účasť (článok 26 ods. 3) a zmluvy pre kritické alebo dôležité funkcie musia túto povinnosť obsahovať (článok 30 ods. 3 písm. d)). Ak by účasť dodávateľa mohla poškodiť jeho iných klientov, DORA umožňuje spoločné testovanie, pri ktorom dodávateľ priamo uzavrie zmluvu s externým testerom v mene viacerých finančných subjektov (článok 26 ods. 4).

06Externé IKT riziko: stratégia, register a ukončenie

Článok 28 robí z externého IKT rizika súčasť rámca riadenia IKT rizika a finančný subjekt zostáva plne zodpovedný za dodržiavanie predpisov bez ohľadu na to, čo zveril externým dodávateľom. Hlavné povinnosti:

• Stratégia pre externé IKT riziko vrátane politiky pre IKT služby, ktoré podporujú kritické alebo dôležité funkcie, pravidelne preskúmavaná riadiacim orgánom.
• Register informácií o všetkých zmluvných dojednaniach o IKT službách na úrovni subjektu aj skupiny, ktorý rozlišuje dojednania podporujúce kritické alebo dôležité funkcie. Vzory stanovuje vykonávacie nariadenie (EÚ) 2024/2956 (otvorí externú stránku). Subjekty o ňom podávajú správy orgánu dohľadu najmenej raz ročne a na požiadanie predkladajú celý register.
• Náležitá starostlivosť pred podpisom: či služba podporuje kritickú alebo dôležitú funkciu, riziká vrátane rizika koncentrácie, vhodnosť dodávateľa a prípadné konflikty záujmov. Dodávatelia musia uplatňovať primerané normy informačnej bezpečnosti a pri kritických alebo dôležitých funkciách tie najaktuálnejšie a najkvalitnejšie.
• Práva na ukončenie, okrem iného pri závažnom porušení zo strany dodávateľa, preukázaných nedostatkoch v jeho riadení IKT rizika alebo okolnostiach, ktoré bránia účinnému dohľadu.
• Stratégie ukončenia pre IKT služby, ktoré podporujú kritické alebo dôležité funkcie, zdokumentované a otestované, aby subjekt mohol odísť bez narušenia činnosti, obmedzenia súladu s predpismi alebo poškodenia služieb pre klientov.

Čo musí obsahovať zmluva

Článok 30 stanovuje minimálne zmluvné podmienky. Každá zmluva o IKT službách musí byť písomná, v jednom dokumente, ktorý obsahuje aj úroveň služieb, a pokrývať najmenej:

• úplný opis funkcií a služieb a informáciu, či a za akých podmienok sú povolené subdodávky;
• miesta, kde sa služby poskytujú a kde sa údaje spracúvajú a uchovávajú, s vopred oznámenou každou zmenou;
• dostupnosť, autenticitu, integritu a dôvernosť údajov vrátane osobných údajov;
• prístup k údajom, ich obnovu a vrátenie v ľahko dostupnom formáte pri platobnej neschopnosti, ukončení činnosti alebo ukončení zmluvy;
• opis úrovne služieb;
• pomoc pri incidentoch IKT súvisiacich so službou bez dodatočných nákladov alebo za vopred dohodnutú cenu;
• plnú spoluprácu s orgánmi dohľadu a orgánmi pre riešenie krízových situácií;
• práva na ukončenie a minimálne výpovedné lehoty;
• účasť na programoch subjektu na zvyšovanie povedomia o bezpečnosti IKT a na školeniach o digitálnej prevádzkovej odolnosti.

Pri službách, ktoré podporujú kritické alebo dôležité funkcie, článok 30 ods. 3 dopĺňa presné kvantitatívne a kvalitatívne výkonnostné ciele, oznamovacie a ohlasovacie povinnosti, plány kontinuity činností, ktoré dodávateľ zavedie a testuje, účasť na TLPT, neobmedzené právo subjektu a orgánu dohľadu na prístup, kontrolu a audit a stratégiu ukončenia s povinným prechodným obdobím. Delegované nariadenie (EÚ) 2025/532 (otvorí externú stránku) dopĺňa, čo musí subjekt posúdiť, keď sa takéto služby zabezpečujú subdodávateľsky.

07Kritickí externí poskytovatelia IKT služieb

Podľa článku 31 európske orgány dohľadu určujú poskytovateľov IKT služieb, ktorí sú pre finančný sektor kritickí, podľa ich systémového dosahu, významu finančných subjektov, ktoré sa na nich spoliehajú, ich úlohy pri kritických alebo dôležitých funkciách a toho, ako ľahko sa dajú nahradiť. Každý kritický poskytovateľ dostane hlavný orgán dozoru, jeden z troch európskych orgánov, ktorý môže žiadať informácie, vykonávať vyšetrovania a kontroly a vydávať odporúčania.

Prvý zoznam (otvorí externú stránku), zverejnený 18. novembra 2025, určil 19 poskytovateľov, od prevádzkovateľov cloudu a dátových centier po telekomunikačné spoločnosti, IT služby, poskytovateľov trhových dát a výrobcov podnikového softvéru. Určenie finančný subjekt nezbavuje žiadnej povinnosti: aj pri týchto poskytovateľoch vedie register, uplatňuje zmluvné podmienky a má stratégiu ukončenia.

08Čo by mal mať poskytovateľ IKT služieb pripravené

Väčšina dodávateľov finančných subjektov nikdy nebude určená ako kritická, ale všetci sa s DORA stretnú cez zmluvy, náležitú starostlivosť a audity. Dodávateľ, ktorý má pripravené nasledujúce, skracuje obstarávanie a uľahčuje zákazníkovi komunikáciu s Národnou bankou Slovenska alebo iným orgánom dohľadu:

• Údaje do registra. To, čo zákazník potrebuje do registra informácií: právnickú osobu a identifikátory, poskytované služby a funkcie, ktoré podporujú, miesta a subdodávateľov v reťazci.
• Zmluvné podmienky v súlade s článkom 30. Ideálne štandardný dodatok k zmluve podľa DORA, ktorý pokrýva oba zoznamy, namiesto vyjednávania každej doložky od začiatku.
• Podklady k incidentom. Monitoring, logy so spoľahlivými časovými údajmi a postup oznamovania, s ktorým zákazník zvládne incident klasifikovať a nahlásiť v priebehu hodín.
• Otestovaná kontinuita. Plány kontinuity činností a testy obnovy s dátumami a výsledkami.
• Bezpečnosť, ktorú viete preukázať. Normy informačnej bezpečnosti, riadenie prístupu, bezpečný životný cyklus vývoja a riešenie zraniteľností, podľa možnosti s nezávislými dôkazmi.
• Pripravenosť na audit a testy. Funkčný spôsob, ako umožniť audity a kontroly a zúčastniť sa na TLPT, vrátane spoločného testovania, kde je vhodné.
• Plán ukončenia. Vrátenie údajov v použiteľných formátoch, dokumentácia a podpora pri prechode počas dohodnutého obdobia.

Takto pracujeme ako dodávateľ IKT služieb pre finančné subjekty: dohodneme zmluvné ustanovenia, ktoré DORA vyžaduje, incidenty oznamujeme dohodnutým kanálom, plány ukončenia dokumentujeme, zúčastňujeme sa na testovaní odolnosti a dodávame informácie, ktoré potrebujete do registra. Na stránke Dôvera a súlad s predpismi opisujeme, ako pracujeme, vrátane systému riadenia informačnej bezpečnosti s certifikáciou ISO/IEC 27001.

09Praktický plán pre obe strany

1. 01Doplňte register. Každú zmluvu o IKT službách priraďte k funkciám, ktoré podporuje, a označte kritické alebo dôležité.
2. 02Uzavrite medzery v zmluvách. Porovnajte každú zmluvu s článkom 30 a kde podmienky chýbajú, dohodnite dodatok.
3. 03Zosúlaďte riešenie incidentov. S každým kritickým dodávateľom dohodnite vstupy pre klasifikáciu, kontakty a lehoty na oznámenie a otestujte ich.
4. 04Testovanie plánujte s dodávateľmi. Zahrňte ich do programu testovania a kde je to relevantné, aj do vymedzenia rozsahu TLPT.
5. 05Spíšte a otestujte stratégie ukončenia. Pre každú kritickú alebo dôležitú funkciu: alternatívy, vrátenie údajov a prechodné obdobie.
6. 06Sledujte koncentráciu. Viac kritických funkcií u toho istého poskytovateľa je riziko, ktoré treba zdokumentovať a riadiť (článok 29).

10Váš orgán dohľadu

DORA je všade rovnaký text, ale dohľad nad väčšinou finančných subjektov je vnútroštátny: podľa typu subjektu centrálna banka, prudenciálny orgán dohľadu alebo orgán pre trhy a pri významných bankách ECB. Na Slovensku je to Národná banka Slovenska ako orgán dohľadu nad finančným trhom vrátane DORA; dohliada na bankovníctvo, kapitálový trh, poisťovníctvo a dôchodkové sporenie. Formát a kanál pre register informácií a pre hlásenia incidentov sa určujú na vnútroštátnej úrovni. Overte si usmernenia Národnej banky Slovenska.

11Čo sledovať v najbližších mesiacoch

• Priority a zistenia dohľadu Národnej banky Slovenska k registru informácií a hláseniu incidentov.
• Dohľad hlavných orgánov dozoru nad kritickými externými poskytovateľmi IKT služieb a odporúčania, ktoré sa týkajú služieb, ktoré využívate.
• Návrh Komisie Digital Omnibus (otvorí externú stránku), COM(2025) 837, podľa ktorého by hlásenia závažných incidentov podľa DORA išli cez jedno vstupné miesto prevádzkované agentúrou ENISA. V októbri 2026 bol stále v Európskom parlamente; kým nebude prijatý a nezačne sa uplatňovať, platia súčasné kanály a lehoty.

Organizácie mimo finančného sektora majú podobné povinnosti v dodávateľskom reťazci podľa NIS2; pozrite si náš článok o NIS2 a dodávateľoch softvéru. Európske orgány dohľadu udržiavajú prehľad o technických normách a rámci dohľadu na svojich stránkach o DORA (otvorí externú stránku) (v angličtine).