Co je nařízení DORA? Vysvětlení aktu EU o digitální provozní odolnosti

Nařízení DORA — akt o digitální provozní odolnosti (Digital Operational Resilience Act) — je právní předpis EU o kybernetické odolnosti finančního sektoru. Určuje finančním institucím, jak řídit kybernetická a IT rizika. Jednoduše řečeno: každá banka, platební společnost, investiční podnik, pojišťovna a kryptoburza v EU musí být schopna fungovat i při hackerském útoku, výpadku cloudu či chybné aktualizaci softwaru a sledovat IT dodavatele, na nichž závisí.

Tento průvodce je určen lidem bez právního či IT vzdělání. Vysvětluje, na koho se DORA vztahuje, co vyžaduje, jak rychle je nutné incident hlásit, jak se liší od NIS2 a GDPR, jaké hrozí sankce a co požadavky DORA znamenají pro fintechové a kryptospolečnosti. Závěrem najdete krátký kontrolní seznam souladu s DORA.

Co je DORA jednoduše?

DORA — někdy označovaná jako EU DORA nebo akt DORA — je nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru. „Digitální provozní odolnost“ zní složitě, ale znamená jedinou věc: dokáže vaše společnost dál poskytovat služby klientům, když selže IT? Pokud se dovnitř dostane hacker, aktualizace nefunguje nebo dodavatel vypadne — projdou platby, mohou se zákazníci přihlásit a jsou jejich data v bezpečí? DORA mění tuto dobrou praxi v zákonnou povinnost.

Před DORA měla každá země EU a každá část finančního sektoru vlastní pravidla IT bezpečnosti i vlastní formuláře incidentů. DORA tuto roztříštěnost nahrazuje jednotným souborem pravidel pro celý finanční sektor EU. Jelikož jde o nařízení, nikoli směrnici, platí doslova v každém členském státě — k jeho účinnosti není třeba vnitrostátní zákon.

Lhůta pro soulad s DORA již uplynula. Dvouleté přípravné období po přijetí skončilo, všechny povinnosti DORA jsou účinné a vnitrostátní finanční regulátoři je kontrolují. Rámec DORA stojí na pěti pilířích, které tento průvodce postupně vysvětluje:

• řízení ICT rizik — písemný plán IT rizik, za nějž odpovídá vedoucí orgán (představenstvo);
• řízení a hlášení incidentů souvisejících s ICT — zjišťování, zaznamenávání a oznamování IT incidentů orgánu dohledu;
• testování digitální provozní odolnosti — od běžných skenů zranitelností po úplné simulace útoků „red team“;
• řízení rizik ICT třetích stran — kontrola IT dodavatelů, na nichž podnik závisí, včetně jejich registru;
• sdílení informací — dobrovolná výměna informací o hrozbách mezi finančními subjekty.

Vysvětlení klíčových pojmů DORA

V každém článku nařízení DORA, formuláři dohledu i smlouvě s dodavatelem se opakuje několik definovaných pojmů. Jakmile jim porozumíte, zbytek se čte mnohem snáze.

Na koho se DORA vztahuje?

Působnost DORA určuje článek 2, který uvádí dvacet kategorií finančních subjektů. Má-li finanční instituce kteroukoli z těchto licencí kdekoli v EU, vztahuje se na ni DORA — bez ohledu na velikost — pokud neplatí konkrétní výjimka. Hlavní skupiny jsou uvedeny níže.

A co samotné IT společnosti? Cloudové platformy, datová centra, dodavatelé softwaru a společnosti řízeného zabezpečení nejsou finančními subjekty, DORA se jich však dotýká dvěma způsoby. Zaprvé každý finanční subjekt musí do smluv s nimi zahrnout podmínky ve stylu DORA, takže dodavatel, který je odmítne, riskuje ztrátu klienta. Zadruhé jsou největší poskytovatelé — významní dodavatelé cloudu, datových center, telekomunikací a finančního softwaru — označeni za kritické poskytovatele ICT třetích stran a podléhají přímému dohledu EU; seznam se aktualizuje každý rok.

Vztahuje se DORA na společnosti mimo EU? Přímo jen na podniky licencované v EU — včetně dceřiných společností a poboček skupin z UK, USA či Asie v EU. Nepřímo se vztahuje na každého zahraničního dodavatele poskytujícího služby finančnímu podniku EU, protože povinné smluvní doložky platí bez ohledu na sídlo dodavatele. Poskytovatel mimo EU označený za kritického musí do dvanácti měsíců zřídit dceřinou společnost v EU.

DORA je rovněž přiměřená: povinnosti rostou podle velikosti a složitosti finanční instituce. Mikropodniky — s méně než deseti zaměstnanci a obratem nebo bilanční sumou pod dva miliony eur — nemusí plnit několik požadavků, včetně TLPT a některých povinností řízení a vykazování. Vymezená skupina menších podniků, například malé a nepropojené investiční podniky a určité osvobozené platební instituce a instituce elektronických peněz, se řídí zjednodušeným rámcem řízení ICT rizik podle článku 16. Malá velikost licencovaný podnik z DORA nevyjímá; pouze snižuje zátěž.

Požadavky DORA: vysvětlení pěti pilířů

Požadavky na soulad s DORA spadají do pěti skupin. Společně tvoří jeden cyklus — předcházet, odhalovat, reagovat, obnovit, poučit se — a regulátor očekává důkazy pro každý krok.

Rámec řízení ICT rizik (články 5–16)

Jednoduše: vědět, jaké IT máte, co se s ním může pokazit, a mít písemný plán, jak je chránit a obnovit. Rámec musí uvádět IT aktiva a závislosti, způsob předcházení problémům a jejich odhalování, reakce a obnovy i získávání poučení z incidentů. Přezkoumává se nejméně jednou ročně a po každém závažném incidentu. Vedoucí orgán jej schvaluje, určuje přijatelnou míru rizika a zajišťuje rozpočet. Kritické funkce musí být zmapovány, zálohy skutečně testovány a musí existovat plán kontinuity IT vedle obecného plánu kontinuity podniku.

Hlášení incidentů: lhůty 4 hodiny, 72 hodin a jeden měsíc

Každý incident související s ICT musí být zaznamenán a klasifikován podle stejných kritérií v celé EU: počet dotčených klientů, dopad na pověst podniku, doba trvání, rozsah šíření, ztracená data, kritičnost služby a ohrožené peníze. Incident překračující prahové hodnoty je „závažný“ a musí být oznámen dohledu ve třech krocích: první oznámení do čtyř hodin od rozhodnutí, že je závažný (a nikdy ne později než 24 hodin od okamžiku, kdy se o něm podnik dozvěděl), průběžná zpráva do 72 hodin od prvního oznámení a závěrečná zpráva do jednoho měsíce od průběžné zprávy. Klienti, jejichž peníze nebo data jsou dotčeny, musí být informováni bez zbytečného odkladu. Závažné kybernetické hrozby, které se nestaly incidenty, lze hlásit dobrovolně.

Testování odolnosti a penetrační testování vedené hrozbami (TLPT)

Testování digitální provozní odolnosti je roční program: každý systém podporující kritickou či důležitou funkci musí projít skeny zranitelností, analýzami nedostatků, kontrolami zdrojového kódu, testy scénářů a výkonu i penetračními testy. Podniky, které dohled považuje za významné — kvůli jejich velikosti či dopadu selhání — musí navíc provádět TLPT nejméně jednou za tři roky. Jde o řízený útok kvalifikovaných etických hackerů na živé systémy podle uznávaného rámce. Mikropodniky a podniky ve zjednodušeném rámci jsou od TLPT osvobozeny a testují podle mírnějšího harmonogramu založeného na rizicích.

Riziko třetích stran, outsourcing a informační registr

Outsourcing IT — poskytovateli cloudových služeb či komukoli jinému — neznamená outsourcing odpovědnosti. Řízení rizika ICT třetích stran začíná písemnou strategií rizik dodavatelů; podnik musí dodavatele prověřit před podpisem, vyhnout se nadměrné závislosti na jednom poskytovateli a vést informační registr — strukturovaný seznam všech IT smluv — který nejméně jednou ročně předává dohledu. Smlouvy musí obsahovat pevně stanovené doložky: jaká služba se poskytuje a v jaké úrovni, kde jsou data uložena, právo na kontrolu a audit, povinnost pomoci při incidentech, způsob ukončení smlouvy a přechodu k jinému poskytovateli. Podnik zůstává plně odpovědný, i když je dodavatel kritickým poskytovatelem pod dohledem EU.

Sdílení informací o kybernetických hrozbách

Finanční subjekty mohou ve důvěryhodných skupinách sdílet informace o hrozbách — vzorce útoků či indikátory kompromitace. Nikdo se nemusí připojit, avšak subjekt, který tak učiní, musí informovat dohled a výměna musí respektovat pravidla důvěrnosti a ochrany dat.

DORA vs. NIS2 vs. GDPR: jak do sebe pravidla zapadají

Tři právní předpisy EU se překrývají v oblasti kybernetické odolnosti a hlášení incidentů a mnoho finančních institucí podléhá více než jednomu z nich. Tabulka ukazuje jejich působnost a rozdíly v lhůtách pro hlášení.

V praxi finanční podnik hlásí IT incidenty finančnímu dohledu, nikoli vnitrostátní agentuře pro kybernetickou bezpečnost. GDPR platí souběžně: pokud kybernetický útok unikne zákaznická data, podnik jej hlásí dvakrát — podle DORA finančnímu dohledu a podle GDPR orgánu ochrany osobních údajů — ve dvou samostatných lhůtách.

DORA a krypto: co znamená pro CASP a emitenty tokenů

Pro kryptopodniky tvoří nařízení DORA a rámec MiCA dvojici. MiCA určuje, kdo může v EU poskytovat kryptoslužby nebo vydávat tokeny; DORA určuje, jak musí být provozována technologie těchto služeb. Poskytovatel služeb kryptoaktiv povolený podle MiCA je finančním subjektem podle DORA od okamžiku udělení licence, stejně jako každý emitent tokenů vázaných na aktiva. MiCA sama odkazuje na DORA ohledně IT a bezpečnostních požadavků, proto oba předpisy dohled čte společně.

V praxi se odolnost kontroluje již během licenčního řízení, nikoli jen následně. Když dohled posuzuje žádost CASP, součástí spisu je rámec IT rizik, plán kontinuity činnosti, postupy pro incidenty a outsourcingová ujednání; DORA je měřítkem jejich posouzení. Kryptoburza ani správce kryptoměn nemohou získat ani udržet licenci s plánem odolnosti, který existuje jen na papíře.

Kryptopodniky mají také IT závislosti, které banka nemá: úschovu soukromých klíčů, poskytovatele blockchainových uzlů, infrastrukturu peněženek třetích stran, komponenty chytrých smluv a trhy obchodující nepřetržitě bez servisního okna. Podle DORA je každá z nich IT aktivem nebo dodavatelským vztahem, který musí být evidován, klasifikován, smluvně upraven a testován. Tak se s DORA setkávají i nelicencovaní dodavatelé hostingu, správy klíčů či blockchainové infrastruktury: prostřednictvím smluv svých klientů.

Sankce, pokuty a postihy DORA za nesoulad

Neexistuje jediná celoevropská tabulka sankcí DORA. Článek 50 místo toho ukládá každému členskému státu stanovit sankce, které jsou „účinné, přiměřené a odrazující“, a dává dohledu pravomoc vyžadovat dokumenty, provádět inspekce, nařizovat nápravu a zveřejňovat varování. Příslušný vnitrostátní orgán každého členského státu je uplatňuje podle vlastního licenčního práva daného sektoru, takže banka, platební společnost i kryptoburza čelí sankčnímu režimu svého sektoru.

Možná jste viděli „pokutu DORA“ ve výši jednoho procenta průměrného denního celosvětového obratu. Tento údaj je skutečný, ale týká se někoho jiného: jde o denní penále, které mohou evropské orgány dohledu uložit kritickému poskytovateli ICT třetí strany, jenž ignoruje rozhodnutí o dohledu, až po dobu šesti měsíců. Není to pokuta pro banky ani kryptospolečnosti. Často uváděná „2 % ročního obratu“ také nejsou v DORA: pocházejí z NIS2, kde jde o minimální strop pro základní subjekty. Pro finanční podnik jsou reálnými důsledky:

• dohledová opatření — příkazy k nápravě, omezení činnosti a v závažných případech pozastavení či ztráta licence;
• správní pokuty podle vnitrostátního práva daného sektoru;
• osobní odpovědnost členů představenstva, protože DORA činí představenstvo odpovědným za IT rámec;
• trestní odpovědnost v zemích, které se rozhodly ji doplnit, což článek 52 umožňuje;
• poškození pověsti a obchodní škoda — ztráta klientů, bankovních partnerů a investorů.

Kdo dohlíží na DORA? Regulátoři na vnitrostátní úrovni a úrovni EU

Každodenní dohled nad DORA zůstává u regulátora, který už podnik licencuje — centrální banky nebo finančního orgánu dohledu domovského členského státu. Tento příslušný orgán přijímá hlášení incidentů a informační registry, rozhoduje, kdo musí provádět TLPT, a kontroluje rámec IT rizik v rámci běžného dohledu. Většina z nich zveřejňuje na svých webech pokyny, šablony a lhůty DORA.

Na úrovni EU sdílejí práci tři orgány: Evropský orgán pro cenné papíry a trhy, Evropský orgán pro bankovnictví a EIOPA, orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění. Vypracovávají technické normy doplňující podrobnosti a společně určují kritické poskytovatele ICT třetích stran; nad každým z nich pak dohlíží jeden ze tří jako hlavní dohledový orgán.

Kontrolní seznam souladu s DORA: jak vyhovět

Ať podnik žádá o licenci, nebo již podléhá dohledu, stejný soubor dokumentů při auditu prokazuje soulad s DORA. Praktický výchozí bod pro implementační plán DORA či analýzu nedostatků:

• Potvrďte svou působnost: do které kategorie článku 2 spadáte a zda se na vás vztahuje zjednodušený rámec nebo výjimka pro mikropodniky.
• Zmapujte každé IT aktivum, systém a tok dat podporující kritickou či důležitou funkci.
• Přijměte politiku řízení ICT rizik schválenou představenstvem, s určenými odpovědnými osobami a ročním přezkumem.
• Zaveďte klasifikaci incidentů, registr incidentů a šablony hlášení odpovídající zákonným lhůtám.
• Vytvořte roční kalendář testování a ověřte, zda vás dohled zařadil na seznam TLPT.
• Sestavte informační registr všech IT poskytovatelů a aktualizujte jejich smlouvy o povinné doložky.
• Prověřte riziko koncentrace a připravte plány odchodu pro poskytovatele podporující kritické funkce.
• Nejméně jednou ročně otestujte zálohy, obnovu a plán kontinuity IT.
• Proškolte představenstvo a uchovejte důkaz, že školení proběhlo.

Eesti Firma radí fintechovým a kryptospolečnostem v právních otázkách DORA: určuje, které povinnosti se uplatní, slaďuje IT rámec s licenčními požadavky MiCA, kontroluje dodavatelské smlouvy a připravuje dokumenty, které dohled očekává. Kontaktujte nás a probereme, jak se nařízení vztahuje na vaše podnikání.

Požádat o konzultaci

Často kladené otázky o DORA