DORA: Nová pravidla pro ICT rizika ve finančním sektoru

DORA: Digitální operační odolnost

Co je DORA?

DORA (Digital Operational Resilience Act) je nařízení EU zaměřené na posílení digitální odolnosti finančního sektoru. Vstoupilo v účinnost 17. ledna 2025.

Koho se týká?

• Banky a úvěrové instituce
• Pojišťovny a zajišťovny
• Investiční společnosti
• Poskytovatelé platebních služeb
• Poskytovatelé služeb kryptoaktiv (CASP)

Klíčové požadavky

1. ICT Risk Management

• Definovat strategii ICT řízení rizik
• Identifikovat a klasifikovat ICT aktiva
• Implementovat ochranná opatření
• Pravidelně přezkoumat a aktualizovat

2. Incident Reporting

• Klasifikovat ICT incidenty
• Reportovat závažné incidenty regulátorům
• Lhůty: 4h pro počáteční notifikaci

3. Testování digitální odolnosti

• Základní testování: všechny entity
• Pokročilé penetrační testy (TLPT): významné entity
• Frekvence: minimálně 1x ročně

4. Third Party Risk

• Due diligence poskytovatelů ICT
• Smluvní požadavky
• Exit strategie

Sankce

Porušení může vést k pokutám až do výše:

• 1% celosvětového obratu pro právnické osoby
• €1 milion pro fyzické osoby