DORA in tretji ponudniki storitev IKT: kaj finančni subjekti potrebujejo od dobaviteljev

01Kje je DORA jeseni 2026

Uredba o digitalni operativni odpornosti za finančni sektor (odpre zunanje spletno mesto), Uredba (EU) 2022/2554, se uporablja od 17. januarja 2025. Kot uredba velja neposredno v vseh državah članicah; nacionalno pravo predvsem določa pristojne organe in kazni. V Sloveniji je to storila vlada z Uredbo o izvajanju uredbe (EU) o digitalni operativni odpornosti za finančni sektor (Uradni list RS, št. 25/25), ki velja od 26. aprila 2025. Podrobnosti so v tehničnih standardih, ki jih je sprejela Komisija: o okviru za obvladovanje tveganj IKT, razvrščanju incidentov in poročanju o njih, registru informacij, pogodbenih politikah, podizvajanju in penetracijskem testiranju na podlagi analize groženj.

Za finančne subjekte je DORA sektorski akt, ki nadomešča pravila direktive NIS 2 o obvladovanju tveganj IKT, poročanju o incidentih in nadzoru. Trije evropski nadzorni organi (EBA, EIOPA in ESMA) so 18. novembra 2025 objavili (odpre zunanje spletno mesto) prvi seznam ključnih tretjih ponudnikov storitev IKT, ki jih neposredno nadzorujejo.

02Finančni subjekti in njihovi ponudniki IKT

DORA zajema dvajset vrst finančnih subjektov, od kreditnih institucij, plačilnih institucij, institucij za izdajo elektronskega denarja in investicijskih podjetij do ponudnikov storitev v zvezi s kriptosredstvi, mest trgovanja, upraviteljev skladov, zavarovalnic, zavarovalnih posrednikov, institucij za poklicno pokojninsko zavarovanje, bonitetnih agencij in platform za množično financiranje. Sorazmernost je vgrajena: 4. člen zahteve prilagaja velikosti, profilu tveganja in kompleksnosti, 16. člen pa za nekatere manjše subjekte določa poenostavljen okvir.

Tretji ponudnik storitev IKT je vsako podjetje, ki zagotavlja storitve IKT, DORA pa jih opredeljuje široko: digitalne in podatkovne storitve, ki se prek sistemov IKT stalno zagotavljajo notranjim ali zunanjim uporabnikom. Gostovanje, upravljane storitve, programska oprema kot storitev, vzdrževanje in podpora aplikacij ter podatkovne storitve praviloma sodijo mednje. Dobavitelji po uredbi DORA niso nadzorovani, razen če so določeni kot ključni, vendar njihove stranke obveznosti prenesejo v vsako pogodbo.

03Tveganje IKT nosi upravljalni organ

5. člen upravljalnemu organu nalaga končno odgovornost za tveganje IKT. Organ opredeli, potrdi in nadzoruje okvir za obvladovanje tveganj IKT, določi strategijo digitalne operativne odpornosti in toleranco do tveganja, potrdi politiko neprekinjenega poslovanja ter načrte odziva in obnovitve ter potrdi in pregleduje politiko uporabe storitev IKT tretjih ponudnikov. Njegovi člani morajo znanje redno posodabljati, tudi z usposabljanjem.

04Večji incidenti: 4 ure, 72 ur, en mesec

Finančni subjekti incidente, povezane z IKT, razvrščajo po merilih iz 18. člena, ki jih podrobneje določa Delegirana uredba (EU) 2024/1772 (odpre zunanje spletno mesto): prizadete stranke in transakcije, trajanje in čas nedelovanja, geografska razširjenost, izguba podatkov, kritičnost prizadetih storitev in gospodarski učinek. O večjem incidentu poročajo pristojnemu organu v treh korakih, z roki iz Delegirane uredbe (EU) 2025/301 (odpre zunanje spletno mesto):

Stranke, katerih finančni interesi so prizadeti, je treba obvestiti brez nepotrebnega odlašanja. Finančni subjekt lahko samo poročanje prepusti tretji osebi, vendar zanj ostaja v celoti odgovoren (peti odstavek 19. člena).

Za dobavitelje je to zelo konkretno. Vsaka pogodba za storitve IKT mora vsebovati obveznost ponudnika, da pomaga, ko pride do incidenta, povezanega z njegovo storitvijo, brez dodatnih stroškov ali po vnaprej dogovorjeni ceni (točka (f) drugega odstavka 30. člena). Štiriurno okno stranke deluje le, če so spremljanje, dnevniki in kontakti dobavitelja vzpostavljeni pred incidentom.

05Testiranje, vse do penetracijskih testov na podlagi analize groženj

24. člen zahteva program testiranja na podlagi tveganj, ki ga izvajajo neodvisni notranji ali zunanji preizkuševalci, z ustreznimi testi vseh sistemov in aplikacij IKT, ki podpirajo kritične ali pomembne funkcije, vsaj enkrat na leto. Subjekti, ki jih določi pristojni organ, morajo vsaj vsaka tri leta izvesti tudi penetracijsko testiranje na podlagi analize groženj na produkcijskih sistemih v živo, po Delegirani uredbi (EU) 2025/1190 (odpre zunanje spletno mesto), ki sledi okviru TIBER-EU.

Kadar so storitve dobavitelja v obsegu TLPT, mora finančni subjekt zagotoviti, da dobavitelj sodeluje (tretji odstavek 26. člena), pogodbe za kritične ali pomembne funkcije pa morajo to obveznost vsebovati (točka (d) tretjega odstavka 30. člena). Če bi sodelovanje dobavitelja lahko škodovalo njegovim drugim strankam, DORA dovoljuje skupno testiranje, pri katerem dobavitelj neposredno najame zunanjega preizkuševalca v imenu več finančnih subjektov (četrti odstavek 26. člena).

06Tveganje tretjih strani: strategija, register in izhod

28. člen tveganje tretjih strani na področju IKT uvršča v okvir za obvladovanje tveganj IKT, finančni subjekt pa ostaja v celoti odgovoren za skladnost, ne glede na to, kaj prenese na zunanje izvajalce. Glavne dolžnosti:

• Strategija za tveganje tretjih strani na področju IKT, vključno s politiko za storitve IKT, ki podpirajo kritične ali pomembne funkcije, ki jo upravljalni organ redno pregleduje.
• Register informacij o vseh pogodbenih dogovorih za storitve IKT, na ravni subjekta in skupine, ki ločuje dogovore, ki podpirajo kritične ali pomembne funkcije. Predloge določa Izvedbena uredba (EU) 2024/2956 (odpre zunanje spletno mesto). Subjekti o registru vsaj enkrat na leto poročajo pristojnemu organu in na zahtevo predložijo celotnega.
• Skrbni pregled pred podpisom: ali storitev podpira kritično ali pomembno funkcijo, tveganja, vključno s tveganjem koncentracije, primernost dobavitelja in morebitna nasprotja interesov. Dobavitelji morajo uporabljati ustrezne standarde informacijske varnosti, za kritične ali pomembne funkcije pa najsodobnejše in najkakovostnejše.
• Pravice do odpovedi, med drugim ob bistveni kršitvi dobavitelja, dokazanih slabostih v njegovem obvladovanju tveganj IKT ali okoliščinah, ki onemogočajo učinkovit nadzor.
• Izhodne strategije za storitve IKT, ki podpirajo kritične ali pomembne funkcije, dokumentirane in preizkušene, da lahko subjekt odide, ne da bi zmotil poslovanje, omejil skladnost ali škodoval storitvam za svoje stranke.

Kaj mora vsebovati pogodba

30. člen določa najmanjšo vsebino pogodb. Vsaka pogodba za storitve IKT mora biti pisna, v enem dokumentu, ki vključuje ravni storitev, in mora zajemati vsaj:

• popoln opis funkcij in storitev ter ali in pod katerimi pogoji je dovoljeno podizvajanje;
• lokacije, kjer se storitve zagotavljajo in kjer se podatki obdelujejo in hranijo, z vnaprejšnjim obvestilom o vsaki spremembi;
• razpoložljivost, avtentičnost, celovitost in zaupnost podatkov, vključno z osebnimi podatki;
• dostop do podatkov, njihovo obnovitev in vračilo v lahko dostopni obliki ob insolventnosti, prenehanju poslovanja ali odpovedi;
• opise ravni storitev;
• pomoč ob incidentih IKT, povezanih s storitvijo, brez dodatnih stroškov ali po vnaprej dogovorjeni ceni;
• polno sodelovanje s pristojnimi organi in organi za reševanje;
• pravice do odpovedi in najkrajše odpovedne roke;
• sodelovanje v programih ozaveščanja o varnosti IKT in usposabljanjih o digitalni operativni odpornosti finančnega subjekta.

Za storitve, ki podpirajo kritične ali pomembne funkcije, tretji odstavek 30. člena dodaja natančne količinske in kakovostne cilje uspešnosti, dolžnosti obveščanja in poročanja, načrte neprekinjenega poslovanja, ki jih dobavitelj izvaja in preizkuša, sodelovanje pri TLPT, neomejene pravice dostopa, pregleda in revizije za subjekt in njegov nadzorni organ ter izhodno strategijo z obveznim prehodnim obdobjem. Delegirana uredba (EU) 2025/532 (odpre zunanje spletno mesto) dodaja, kaj mora subjekt oceniti, kadar so take storitve oddane podizvajalcem.

07Ključni tretji ponudniki storitev IKT

Po 31. členu evropski nadzorni organi določijo ponudnike IKT, ki so ključni za finančni sektor, glede na njihov sistemski vpliv, pomen finančnih subjektov, ki se nanje zanašajo, njihovo vlogo pri kritičnih ali pomembnih funkcijah in to, kako lahko jih je nadomestiti. Vsak ključni ponudnik dobi glavnega nadzornika, enega od treh organov, ki lahko zahteva informacije, izvaja preiskave in inšpekcijske preglede ter izdaja priporočila.

Prvi seznam (odpre zunanje spletno mesto), objavljen 18. novembra 2025, je določil 19 ponudnikov, od operaterjev oblaka in podatkovnih centrov do podjetij za telekomunikacije, storitve IT, tržne podatke in poslovno programsko opremo. Določitev finančnega subjekta ne razbremeni nobene dolžnosti: za vsakega od teh ponudnikov še vedno vodi register, ima pogodbene določbe in izhodno strategijo.

08Kaj naj ima ponudnik IKT pripravljeno

Večina dobaviteljev finančnih subjektov nikoli ne bo določena kot ključna, vendar se vsi z uredbo DORA srečajo prek pogodb, skrbnih pregledov in revizij. Dobavitelj, ki ima pripravljeno naslednje, skrajša postopek izbire in stranki olajša dialog z nadzornim organom:

• Podatki za register. Kar stranka potrebuje za register informacij: pravna oseba in identifikatorji, zagotovljene storitve in funkcije, ki jih podpirajo, lokacije in podizvajalci v verigi.
• Pogodbene določbe, skladne s 30. členom. Najbolje standardni dodatek za uredbo DORA, ki pokrije oba seznama, namesto pogajanj o vsaki določbi posebej.
• Dokazi ob incidentih. Spremljanje, dnevniki z zanesljivimi časovnimi žigi in postopek obveščanja, ki stranki omogoči razvrstitev in poročanje v nekaj urah.
• Preizkušena neprekinjenost. Načrti neprekinjenega poslovanja in testi obnovitve, z datumi in rezultati.
• Varnost, ki jo lahko pokažete. Standardi informacijske varnosti, nadzor dostopa, varen razvojni cikel in obravnava ranljivosti, kjer je mogoče z neodvisnimi dokazi.
• Pripravljenost na revizije in teste. Izvedljiv način za izvedbo revizij in inšpekcijskih pregledov ter za sodelovanje pri TLPT, tudi pri skupnem testiranju, kjer je smiselno.
• Izhodni načrt. Vračilo podatkov v uporabnih oblikah, dokumentacija in podpora pri prehodu za dogovorjeno obdobje.

Tako delamo kot dobavitelj IKT finančnim subjektom: dogovorimo pogodbene določbe, ki jih zahteva DORA, incidente sporočamo po dogovorjenem kanalu, dokumentiramo izhodne načrte, sodelujemo pri testiranju odpornosti in zagotovimo podatke, ki jih potrebuje vaš register. Na strani Zaupanje in skladnost opisujemo, kako delamo, vključno z našim sistemom upravljanja informacijske varnosti s certifikatom ISO/IEC 27001.

09Praktičen načrt za obe strani

1. 01Dopolnite register. Vsako pogodbo za storitve IKT povežite s funkcijami, ki jih podpira, in označite kritične ali pomembne.
2. 02Zaprite vrzeli v pogodbah. Vsako pogodbo primerjajte s 30. členom in se dogovorite za dodatek, kjer določbe manjkajo.
3. 03Uskladite obravnavo incidentov. Z vsakim kritičnim dobaviteljem se dogovorite o vhodnih podatkih za razvrščanje, kontaktih in rokih obveščanja ter jih preizkusite.
4. 04Testiranje načrtujte z dobavitelji. Vključite jih v program testiranja in, kjer je smiselno, v določanje obsega TLPT.
5. 05Napišite in preizkusite izhodne strategije. Za vsako kritično ali pomembno funkcijo: alternative, vračilo podatkov in prehodno obdobje.
6. 06Spremljajte koncentracijo. Več kritičnih funkcij pri istem ponudniku je tveganje, ki ga je treba dokumentirati in obvladovati (29. člen).

10Vaš pristojni organ v Sloveniji

DORA je povsod isto besedilo, nadzor pa je za večino finančnih subjektov nacionalen. V Sloveniji vladna uredba o izvajanju uredbe DORA kot pristojne organe določa:

• Banko Slovenije za kreditne institucije, razen bonitetnih nalog, prenesenih na Evropsko centralno banko, ter za plačilne institucije in institucije za izdajo elektronskega denarja;
• Agencijo za trg vrednostnih papirjev (ATVP) za investicijska podjetja in druge subjekte trga kapitala;
• Agencijo za zavarovalni nadzor (AZN) za zavarovalnice, zavarovalne posrednike in institucije za poklicno pokojninsko zavarovanje.

Finančni subjekti o večjih incidentih, povezanih z IKT, poročajo svojemu pristojnemu organu in skupinam CSIRT. Penetracijsko testiranje na podlagi analize groženj izvaja Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). Obliko in kanal za register informacij ter za poročila o incidentih preverite v usmeritvah svojega organa.

11Na kaj biti pozorni v prihodnjih mesecih

• Nadzorne prioritete in ugotovitve vašega pristojnega organa glede registra informacij in poročanja o incidentih.
• Nadzor glavnih nadzornikov nad ključnimi tretjimi ponudniki storitev IKT in morebitna priporočila, ki zadevajo storitve, ki jih uporabljate.
• Predlog zbirnega svežnja za digitalno področje (odpre zunanje spletno mesto) Komisije, COM(2025) 837, po katerem bi poročila o večjih incidentih po uredbi DORA tekla prek enotne vstopne točke, ki bi jo upravljala agencija ENISA. Oktobra 2026 je bil še v obravnavi v Evropskem parlamentu; dokler ni sprejet in se ne začne uporabljati, ostajajo sedanji kanali in roki.

Organizacije zunaj finančnega sektorja imajo podobne dolžnosti v dobavni verigi po direktivi NIS 2 in Zakonu o informacijski varnosti (ZInfV-1); glejte članek NIS 2 in Zakon o informacijski varnosti: kaj morajo storiti organizacije in dobavitelji. Evropski nadzorni organi pregled tehničnih standardov in okvira nadzora vodijo na svojih straneh o uredbi DORA (odpre zunanje spletno mesto).