Nařízení (EU) 2022/2554 (DORA) ukládá finančním subjektům hlásit závažné incidenty související s IKT příslušnému orgánu v pevně daných lhůtách. Shrnujeme klasifikaci, lhůty a harmonizované vzory.
Kapitola III nařízení DORA, články 17 až 23, zavádí jednotný rámec pro řízení, klasifikaci a hlášení incidentů souvisejících s IKT. Finanční subjekt vymezí a uplatňuje proces, který incidenty detekuje, eviduje a klasifikuje podle stanovených kritérií.
Vedle hlášení incidentů vede finanční subjekt podle čl. 28 odst. 3 také registr informací o smluvních ujednáních s poskytovateli služeb IKT z řad třetích stran.
Nařízení Komise v přenesené pravomoci (EU) 2024/1772 stanoví kritéria a prahové hodnoty klasifikace. Incident je závažný, pokud naplní alespoň dvě primární kritéria, nebo jedno primární kritérium spolu s prahovou hodnotou hospodářského dopadu.
Zdokumentujte i klasifikaci, která k hlášení nevedla: rozhodnutí o nezávažnosti se dokládá stejně jako hlášení.
Jakmile je incident klasifikován jako závažný, běží tři lhůty. Rozhodujícím okamžikem je klasifikace, nikoli detekce.
| Hlášení | Lhůta | Obsah |
|---|---|---|
| Prvotní oznámení | Nejpozději 4 hodiny od klasifikace jako závažného, a nejpozději 24 hodin od zjištění incidentu | Údaje o subjektu, popis incidentu, dotčené služby, předběžný dopad, kontaktní místo |
| Průběžná zpráva | Do 72 hodin od prvotního oznámení, dále při každé podstatné změně stavu | Vývoj incidentu, předběžné příčiny, dopady na klienty a transakce, přijatá opatření |
| Závěrečná zpráva | Nejpozději jeden měsíc od průběžné zprávy | Analýza hlavních příčin, celkový dopad, nápravná a preventivní opatření |
Klasifikace sama musí proběhnout bez zbytečného odkladu. Vnitřní lhůta 24 hodin od zjištění je přiměřená, 72 hodin je pozdě.
Obsah a formát hlášení sjednocuje nařízení v přenesené pravomoci (EU) 2025/301 (regulační technické normy) a prováděcí nařízení (EU) 2025/302 (prováděcí technické normy). Všechny finanční subjekty vyplňují stejná datová pole.
Vzor se napříč třemi stupni doplňuje, nepřepisuje. Datová pole proto sbírejte už při evidenci incidentu: náš generátor hlášení incidentů je uspořádá podle oficiálních vzorů, přehled navazujících norem najdete v indexu RTS a ITS.
Hlášení se nepodává evropským orgánům dohledu, ale příslušnému orgánu podle článku 46. Podléhá-li finanční subjekt dohledu více vnitrostátních orgánů, členský stát určí jediný orgán jako vstupní bod. V České republice je pro finanční subjekty příslušným orgánem Česká národní banka.
Úvěrové instituce klasifikované jako významné hlásí vnitrostátnímu příslušnému orgánu, který zprávu neprodleně předává ECB. Příslušný orgán dále předává informace evropskému orgánu dohledu a agentuře ENISA podle čl. 19 odst. 6.
Praktický krok: přístup do portálu pro hlášení ověřte mimo incident. Hledání přihlašovacích údajů ve tři ráno ukrajuje ze čtyř hodin, které máte na prvotní oznámení.
Podle čl. 19 odst. 2 může finanční subjekt dobrovolně oznámit významnou kybernetickou hrozbu, považuje-li ji za relevantní pro finanční systém, uživatele služeb nebo klienty. Jde o hrozbu, jejíž technické vlastnosti naznačují, že by mohla vést k závažnému incidentu souvisejícímu s IKT.
Oznámení se podává stejným kanálem jako hlášení incidentů, vzorem pro oznámení hrozby podle RTS 2025/301: popis hrozby, pozorované taktiky, techniky a postupy, indikátory kompromitace, dotčené funkce a zmírňující opatření.
Povinnost to není. Rozhodování o oznámení se ale vyplatí zakotvit do řízení bezpečnostního dohledu, aby po pozorované hrozbě zůstalo dohledatelné rozhodnutí.
Prvotní oznámení podává finanční subjekt nejpozději 4 hodiny od klasifikace incidentu jako závažného a nejpozději 24 hodin od jeho zjištění. Průběžná zpráva následuje do 72 hodin od prvotního oznámení, závěrečná zpráva nejpozději jeden měsíc od průběžné zprávy.
Rozhoduje klasifikace podle nařízení v přenesené pravomoci (EU) 2024/1772 a jeho sedmi kritérií: zasažení klienti a transakce, dopad na pověst, doba trvání a výpadek, zeměpisné rozšíření, ztráty údajů, význam dotčených služeb a hospodářský dopad. Závažný je incident při naplnění dvou primárních kritérií, nebo jednoho spolu s prahovou hodnotou hospodářského dopadu.
Příslušnému orgánu určenému podle článku 46, v České republice České národní bance. Ta předává informace evropskému orgánu dohledu, ECB a agentuře ENISA. Přímo evropským orgánům dohledu se hlášení nepodává.
Obsah, formát a vzory sjednocují regulační technické normy (EU) 2025/301 a prováděcí technické normy (EU) 2025/302. Stejný vzor slouží pro prvotní oznámení, průběžnou i závěrečnou zprávu a v každém stupni se doplňuje.
Oznamování významných kybernetických hrozeb je podle čl. 19 odst. 2 dobrovolné. Povinné je hlášení závažných incidentů souvisejících s IKT, které již nastaly.
Nesplnění povinnosti podle článku 19 je porušením nařízení. Správní sankce a nápravná opatření podle článku 50 stanoví členské státy, nařízení neurčuje jednotný unijní strop. Jediný procentní údaj v DORA se týká penále pro kritické poskytovatele služeb IKT z řad třetích stran podle článku 35, nikoli finančních subjektů.
Tato stránka představuje odbornou podporu, nikoli právní poradenství. · Anglická verze