Digitalizace změnila způsob fungování finančního sektoru. Banky, pojišťovny a další finanční instituce dnes stojí na rozsáhlých IT infrastrukturách, cloudových službách a sítích dodavatelů. Tato závislost přináší nové možnosti, ale také nová rizika – od kybernetických útoků přes výpadky kritických systémů až po selhání externích dodavatelů.
Jednou z reakcí Evropské unie je nařízení (EU) 2022/2554 o digitální provozní odolnosti finančních subjektů (Digital Operational Resilience Act – DORA). Od ledna 2025 zavádí jednotný rámec pro řízení rizik v oblasti informačních a komunikačních technologií pro finanční instituce a jejich dodavatele.
DORA není pouze úkolem pro IT oddělení nebo compliance týmy. Mění způsob, jakým finanční organizace přemýšlejí o provozních rizicích. Odpovědnost za digitální odolnost se přesouvá na úroveň vedení organizace a zahrnuje nejen technologie, ale také procesy, zaměstnance, dodavatelské vztahy a schopnost rychle obnovit provoz po incidentu.
Co vedlo ke vzniku DORA
Evropský finanční sektor byl dlouhodobě regulován v oblasti IT bezpečnosti různými dílčími pravidly. Rizika spojená s informačními technologiemi byla často součástí širšího rámce operačních rizik, ale neexistoval jednotný evropský přístup.
DORA tento přístup sjednocuje. Jejím cílem není pouze zvýšit úroveň ochrany informačních systémů a dat, ale především zajistit, aby finanční instituce dokázaly na incidenty reagovat, omezit jejich dopad a obnovit klíčové služby. Regulace reaguje na realitu současného finančního trhu: organizace jsou stále více závislé na cloudu, automatizaci a externích technologických partnerech. Selhání jednoho významného dodavatele může ovlivnit velké množství institucí najednou.
DORA se týká nejen bank, ale také služeb s kryptoaktivy
Nařízení dopadá na více než 20 kategorií finančních subjektů. Patří mezi ně například banky, pojišťovny, investiční společnosti, platební instituce, instituce elektronických peněz nebo poskytovatelé služeb souvisejících s kryptoaktivy.
Novinkou je výrazný důraz na řízení rizik dodavatelského řetězce. Finanční instituce už nemohou posuzovat bezpečnost pouze uvnitř vlastní organizace. Musí mít přehled o tom, na jakých externích technologiích stojí jejich klíčové procesy a jak jsou tato rizika řízena.
U běžných dodavatelů informačních a komunikačních technologií (IKT) musí organizace například provádět jejich hodnocení, vést o nich evidenci a nastavit smluvní podmínky týkající se bezpečnosti, ochrany dat a ukončení spolupráce.
U dodavatelů, kteří podporují zásadní nebo důležité funkce finanční instituce (tzv. CIF), jsou požadavky přísnější. Patří mezi ně například právo na audit, jasně nastavené parametry kvality služeb (SLA), spolupráce při testování odolnosti nebo připravená strategie odchodu k jinému dodavateli.
DORA zavádí také přímý dohled evropských orgánů nad kritickými poskytovateli technologických služeb třetích stran (CTPP), například významnými poskytovateli cloudových služeb.
Pět oblastí, které DORA mění
1. Řízení rizik IKT
Za řízení technologických rizik nese konečnou odpovědnost vedení organizace. DORA vyžaduje, aby finanční instituce měly jasnou strategii digitální odolnosti, pravidla informační bezpečnosti a připravené plány pro zachování provozu a obnovu po havárii. Součástí povinností je také pravidelné vzdělávání vedení a zaměstnanců v oblasti digitálních rizik.
2. Řízení a hlášení incidentů
DORA sjednocuje pravidla pro klasifikaci a hlášení významných IT incidentů. Organizace musí mít nastavené procesy, které umožní incident rychle identifikovat, vyhodnotit jeho dopad a informovat příslušné orgány v požadovaných lhůtách. Součástí je také následná analýza příčin a opatření, která mají zabránit opakování podobných situací.
3. Testování digitální odolnosti
Odolnost nelze ověřit pouze dokumentací. Finanční instituce musí pravidelně testovat své systémy a procesy – od hodnocení zranitelností až po komplexní simulace krizových scénářů. Největší subjekty čeká také pokročilé penetrační testování založené na reálných hrozbách (TLPT).
4. Řízení rizik dodavatelů
DORA klade velký důraz na to, aby finanční instituce rozuměly své technologické závislosti. Základem je detailní evidence smluv s poskytovateli IKT a pravidelné hodnocení rizik. Odpovědnost za kontinuitu služeb nelze jednoduše přenést na dodavatele.
5. Sdílení informací o hrozbách
Nařízení podporuje spolupráci mezi finančními institucemi při sdílení informací o kybernetických hrozbách. Cílem je rychlejší reakce na rizika, která mohou zasáhnout celý sektor.
Jak DORA souvisí s další regulací?
DORA není izolovaný předpis. V praxi se propojuje s dalšími evropskými pravidly.
NIS2 a český zákon o kybernetické bezpečnosti:
Ve vztahu k finančním subjektům funguje DORA jako zvláštní úprava. V oblastech, které pokrývá, mají přednost její konkrétní požadavky. Spolupráce s širším kyberbezpečnostním rámcem ale zůstává důležitá, například při řešení incidentů.
GDPR:
Kybernetický incident může mít současně dopad na ochranu osobních údajů. DORA proto nenahrazuje povinnosti podle GDPR, například oznámení porušení zabezpečení osobních údajů příslušnému dozorovému orgánu.
AI Act a další digitální regulace:
Vztah k umělé inteligenci vzniká především přes řízení technologických rizik a dodavatelů. Pokud finanční instituce využívá AI systém od externího poskytovatele, musí řešit také jeho bezpečnost, spolehlivost a řízení rizik.
Co si z DORA mohou vzít firmy mimo finanční sektor?
Ačkoliv DORA míří primárně na finanční instituce, její principy budou relevantní i pro další organizace. Rostoucí závislost na digitálních službách, cloudu a externích dodavatelích se netýká pouze bank. Firmy mohou využít především důraz na přehled o dodavatelích, připravenost na výpadky a pravidelné testování krizových scénářů.
DORA přináší finančním institucím nové povinnosti, ale také systematický rámec pro práci s riziky, která už dnes existují. Organizace, které mají přehled o svých technologiích, dodavatelích a kritických procesech, budou lépe připravené reagovat na situace, kdy technologie selžou. Digitální odolnost se tak stává součástí strategického řízení – stejně jako finanční stabilita, řízení lidí nebo vztahy s klíčovými partnery.
Jindřich Kalíšek
Jindřich Kalíšek je CEO české firmy regfor, která vyvíjí intuitivní nástroj pro efektivní a přehlednou správu legislativních a regulatorních požadavků, řízení rizik a podnikové compliance, management dodavatelského řetězce, automatizaci auditů, správu incidentů a vzdělávání v digitálních kompetencích.
Působí též jako advokát se specializací na právo informačních a nových technologií, regulatoriku a compliance, především v oblastech ochrany informací a osobních údajů, kybernetické bezpečnosti, digitální provozní odolnosti finančních institucí, vývoje a ochrany software a poskytování IT služeb. O kybernetické bezpečnosti a ochraně osobních údajů přednáší na Právnické fakultě UK v Praze i odborných konferencích a vzdělávacích akcích.