DORA je nařízení Evropské unie o digitální provozní odolnosti finančního sektoru. Níže najdete jeho působnost, pět pilířů, klíčové lhůty, dohled a to, co text skutečně říká o sankcích.
DORA (Digital Operational Resilience Act) je nařízení (EU) 2022/2554 Evropského parlamentu a Rady ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru. Jako nařízení platí přímo ve všech členských státech a nevyžaduje transpozici.
Digitální provozní odolností se podle článku 3 rozumí schopnost finančního subjektu budovat, zajišťovat a revidovat svoji provozní integritu a spolehlivost, a to i tam, kde je zajišťuje nepřímo přes poskytovatele služeb IKT z řad třetích stran.
Nařízení vstoupilo v platnost 16. ledna 2023 a použije se od 17. ledna 2025. Povinnosti upřesňuje 13 regulačních a prováděcích technických norem: přehled najdete v průvodci normami RTS a ITS, úplné znění na EUR-Lex.
Působnost vymezuje článek 2 a pokrývá 21 kategorií finančních subjektů, mimo jiné
Platí zásada proporcionality: mikropodnik podle článku 3 uplatňuje zjednodušený rámec pro řízení rizika v oblasti IKT, není však vyňat z jádra povinností. Poskytovatel služeb IKT sám povinnou osobou není: dokud není určen jako kritický, přenášejí se na něj požadavky smluvně podle článků 28 až 30.
Dohled probíhá ve dvou rovinách. Na vnitrostátní úrovni jej vykonávají příslušné orgány členských států, v České republice Česká národní banka.
Na unijní úrovni zajišťují evropské orgány dohledu (EBA, ESMA a EIOPA) prostřednictvím společného výboru rámec dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran. Každému určenému poskytovateli je přidělen hlavní orgán dohledu, který podle článku 35 může požadovat informace, provádět šetření a kontroly a vydávat doporučení. Skupinu 19 kritických poskytovatelů zveřejnily v listopadu 2025.
Článek 50 svěřuje stanovení sankcí členským státům. Nařízení samo nestanoví žádný unijní strop pokuty pro finanční subjekty, pouze žádá, aby správní sankce a nápravná opatření byly účinné, přiměřené a odrazující. Konkrétní rozsah vyplývá z vnitrostátní úpravy a liší se podle země dohledu. Článek 52 navíc členským státům umožňuje stanovit trestní sankce.
Jediný podíl na obratu, který DORA sama stanoví, se týká kritických poskytovatelů služeb IKT z řad třetích stran: podle článku 35 jim hlavní orgán dohledu může uložit penále až do výše 1 % průměrného denního celosvětového obratu za předchozí účetní období, ukládané denně nejvýše po dobu šesti měsíců. Unijní strop vyjádřený podílem na obratu v textu nařízení není.
Nástroj pro analýzu nedostatků →
DORA je zkratka pro Digital Operational Resilience Act, tedy nařízení (EU) 2022/2554 o digitální provozní odolnosti finančního sektoru. Platí přímo ve všech členských státech Evropské unie.
Nařízení vstoupilo v platnost 16. ledna 2023 a použije se od 17. ledna 2025. Od tohoto data mají dotčené finanční subjekty plnit požadavky v plném rozsahu.
DORA je vůči směrnici NIS2 zvláštní úpravou pro finanční sektor a v rozsahu, který upravuje, má přednost. NIS2 pokrývá širší okruh odvětví, zatímco DORA cílí na digitální provozní odolnost finančních subjektů. Poskytovatel služeb IKT může spadat pod obě úpravy současně.
Přímo pouze na ty, kdo jsou určeni jako kritičtí poskytovatelé služeb IKT z řad třetích stran podle článku 31. Na ostatní se požadavky přenášejí smluvně podle článků 28 až 30, tedy přes jejich klienty z řad finančních subjektů.
Článek 50 svěřuje správní sankce a nápravná opatření členským státům a nestanoví unijní strop pro finanční subjekty. Sankce musí být účinné, přiměřené a odrazující a jejich výše vyplývá z vnitrostátní úpravy. Pro kritické poskytovatele služeb IKT z řad třetích stran umožňuje článek 35 penále až do výše 1 % průměrného denního celosvětového obratu, ukládané denně nejvýše po dobu šesti měsíců.
Registr informací je podle článku 28 evidence všech smluvních ujednání o využívání služeb IKT poskytovaných třetími stranami. Zaznamenává poskytovatele, sjednané služby, zařazení funkce jako zásadní nebo důležité a řetězce subdodávek. Veřejný není, finanční subjekty jej předkládají svému příslušnému orgánu.
Tato stránka představuje odbornou podporu, nikoli právní poradenství. · Anglická verze