1.ABSTRAKT
Nariadenie DORA sa uplatňuje od 17. januára 2025. Povinnosti z neho vyplývajúce sa však priebežne aplikujú, niektoré ešte len nastanú a pre mnohé subjekty je nariadenie DORA stále veľkou neznámou.
Nariadenie DORA je súčasťou balíka opatrení EÚ, ktorých cieľom je ďalej umožniť a podporiť potenciál digitálnych financií v oblasti inovácií a hospodárskej súťaže a zároveň zmierniť príslušné riziká kybernetických útokov posilnením digitálnej prevádzkovej odolnosti inštitúcií pôsobiacich na finančnom trhu. Cieľom nariadenia DORA je konsolidovať a vylepšiť požiadavky na riziko informačných a komunikačných technológií ako súčasť požiadaviek na prevádzkové riziko. Zároveň nariadenie DORA upravuje vzťahy vo vybraných oblastiach kybernetickej bezpečnosti finančných inštitúcií, v ktorých je nariadenie DORA považované za nadradený právny akt.
DORA je nariadením, teda právnym aktom EÚ, ktorý je priamo účinný pre všetky relevantné subjekty.
Nebola potrebná transpozícia nariadenia DORA do slovenského právneho poriadku, avšak niektoré ustanovenia, ktoré sú nevyhnutné k harmonizácii slovenského právneho poriadku s týmto nariadením, bolo potrebné novelizovať. V tomto smere ešte na jeseň roka 2024, došlo v októbri 2024 k schváleniu novely zákona č. 747/2004 Z. z. o dohľade nad finančným trhom a o zmene a doplnení niektorých zákonov v platnom znení, ako aj novely ďalších zákonov, súvisiace s implementáciou smernice DORA v sektorových zákonoch finančného trhu – zákon o bankách, zákon o cenných papieroch, zákon o burze cenných papierov, zákon o doplnkovom dôchodkovom sporení, zákon o platobných službách, zákon o kolektívnom investovaní, zákon o riešení krízových situácií a zákon o poisťovníctve.
2. JEDNOTNĚ POŽIADAVKY
S cieľom dosiahnuť vysokú spoločnú úroveň digitálnej prevádzkovej odolnosti sa v tomto nariadení stanovujú tieto jednotné požiadavky týkajúce sa kyberbezpečnosti sietí a informačných systémov podporujúcich obchodné procesy finančných subjektov:
- riadenie a identifikácia rizík súvisiacich s informačno-komunikačnými technológiami (ďalej len „IKT“) –
DORA vymedzila základné požiadavky a povinnosti na kyberbezpečnosť, čo znamená, že manažment finančného subjektu je zodpovedný za riadenie rizík súvisiacich s IKT; finančné subjekty musia mať zavedený spoľahlivý, komplexný a dobre zdokumentovaný rámec riadenia rizík, ktorý im umožní riešiť IKT riziká rýchlo, efektívne a komplexne;
- incidenty súvisiace s IKT – finančné subjekty sú povinné vyvinúť a zaviesť proces riadenia IKT incidentov so schopnosťou monitorovať, riešiť a dosledovať tieto incidenty, závažné incidenty musia byť nahlásené príslušným dotknutým orgánom;
- simulácie a testovanie prevádzkovej digitálnej odolnosti – DORA zaviedla povinnosť testovania digitálnej prevádzkovej odolnosti; pre vybrané finančné subjekty sa testovanie posúva od bežného testovania až na testovanie treťou stranou, kde sa simuluje bežný incident alebo útok, aby sa overilo, nielen aký je bezpečnostný stav systémov, ale aj riadenie incidentov a schopnosť rozpoznať útok a reagovať;
- spolupráca a komunikácia medzi finančnými subjektmi –
aby sa posilnila digitálna prevádzková bezpečnosť a zvýšilo sa povedomie o aktuálnych hrozbách, finančné subjekty môžu medzi sebou zdieľať informácie o útokoch a rizikách v rámci dôveryhodných spoločenstiev a v súlade s ochranou dát, obchodného tajomstva a konkurencieschopnosti;
- outsourcing a riadenie tretích strán – DORA vyžaduje od finančných subjektov, aby viedli register zmlúv a zmluvných podmienok so všetkými dodávateľmi IKT; po novom sú IKT firmy hodnotené dohľadnými orgánmi Európskych dozorných úradov;
- vzdelávanie pracovníkov – pravidelné školenie pracovníkov podľa požiadaviek DORA má za cieľ pochopenie požiadaviek a krokov v súvislosti s bezpečnostnými hrozbami v kyberpriestore;
- pravidlá zriadenia a vykonávania rámca dozoru nad kritickými externými poskytovateľmi IKT služieb.
3. ROZSAH PÔSOBNOSTI A SUBJETKY
Nariadenie sa vzťahuje na rôzne druhy entít z finančného sektora – tzv. „finančné subjekty“.
Ide o (i) úverové inštitúcie, (ii) platobné inštitúcie vrátane platobných inštitúcií vyňatých podľa smernice (EÚ) 2015/2366, (iii) poskytovateľov služieb informovania o účte, (iv) inštitúcie elektronického peňažníctva vrátane inštitúcií elektronického peňažníctva vyňatých podľa smernice 2009/110/ES, (v) investičné spoločnosti, (vi) poskytovateľov služieb kryptoaktív, ktorým bolo udelené povolenie podľa nariadenia Európskeho parlamentu a Rady o trhoch s kryptoaktívami a o zmene nariadení (EÚ) č. 1093/2010 a (EÚ) č. 1095/2010 a smerníc 2013/36/EÚ a (EÚ) 2019/1937 (ďalej len „nariadenie o trhoch s kryptoaktívami“) a emitenti tokenov krytých aktívami, (vii) centrálne depozitáre cenných papierov, (viii) centrálne protistrany, (ix) obchodné miesta, (x) archívy obchodných údajov, (xi) správcov alternatívnych investičných fondov, (xii) správcovské spoločnosti, (xiii) poskytovateľov služieb vykazovania údajov, (xiv) poisťovne a zaisťovne, (xv) sprostredkovateľov poistenia, sprostredkovateľov zaistenia a sprostredkovateľov doplnkového poistenia, (xvi) inštitúcie zamestnaneckého dôchodkového zabezpečenia, (xvii) ratingové agentúry, (xviii) správcov kritických referenčných hodnôt, (xix) poskytovateľov služieb hromadného financovania, (xx) archívy sekuritizačných údajov a (xxi) externých poskytovateľov IKT služieb.
V skratke, nariadenie je priamo účinné a dotýka sa od bánk, poisťovní cez investičné spoločnosti až po štatutárnych audítorov, vrátane externých dodávateľov, ktorí poskytujú digitálne a dátové služby, vrátane cloud computingu, softvéru, služieb analýzy dát, dátových centier.
Naopak, nariadenie DORA sa neuplatňuje na (i) správcov alternatívnych investičných fondov, ako sa uvádza v článku 3 ods. 2 smernice 2011/61/EÚ; (ii) poisťovne a zaisťovne, ale iba podľa článku 4 smernice 2009/138/ES, (iii) inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré prevádzkujú dôchodkové plány, ktoré spolu nemajú viac ako 15 členov, (iv) fyzické alebo právnické osoby oslobodené podľa článkov 2 a 3 smernice 2014/65/EÚ, (v) sprostredkovateľov poistenia, sprostredkovateľov zaistenia a sprostredkovateľov doplnkového poistenia, ktorými sú mikropodniky alebo malé alebo stredné podniky, (vi) poštové sporožírové inštitúcie ako sa uvádza v článku 2 ods. 5 bode 3 smernice 2013/36/EÚ.
Výnimkou sú teda, v skratke povedané, poskytovatelia hardvérových komponentov a spoločnosti, ktoré poskytujú elektronické komunikačné služby alebo im bolo udelené povolenie podľa práva Únie.
4. VYMEDZENIE POJMOV
Považujeme za dôležité pred tým, než v ďalších článkoch prejdeme k praktickej stránke aplikácie nariadenia DORA, vymedziť niektoré pojmy, s ktorými nariadenie pracuje. Vyberáme iba niektoré pojmy, ktoré považujeme za kľúčové.
„Digitálna prevádzková odolnosť“ je schopnosť finančného subjektu budovať, zabezpečovať a preskúmavať svoju prevádzkovú integritu a spoľahlivosť tak, že priamo alebo nepriamo prostredníctvom využívania služieb poskytovaných externými poskytovateľmi IKT služieb zabezpečí celú škálu spôsobilostí súvisiacich s IKT, ktoré sú potrebné na zaistenie bezpečnosti sietí a informačných systémov, ktoré finančný subjekt využíva, a ktoré podporujú nepretržité poskytovanie finančných služieb a ich kvalitu, a to aj počas narušení.
„IKT riziko“ je každá primerane identifikovateľná okolnosť v súvislosti s používaním sietí a informačných systémov, ktorá, ak k nej dôjde, môže ohroziť bezpečnosť sietí a informačných systémov, akéhokoľvek nástroja alebo procesu závislého od technológií, ako aj bezpečnosť operácií a procesov alebo poskytovania služieb vytvorením nepriaznivých účinkov v digitálnom alebo fyzickom prostredí.
„IKT aktívum“ je softvérové alebo hardvérové aktívum v sieťach a informačných systémoch, ktoré používa finančný subjekt.
„Incident súvisiaci s IKT“ je jedna udalosť alebo séria prepojených udalostí, ktoré finančný subjekt neplánoval a ktoré narúšajú bezpečnosť sietí a informačných systémov a majú nepriaznivý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov alebo na služby, ktoré poskytuje finančný subjekt.
„Prevádzkový alebo bezpečnostný incident súvisiaci s platbami“ je jedna udalosť alebo séria prepojených udalostí, ktoré finančné subjekty neplánovali, bez ohľadu na to, či súvisia s IKT alebo nie, a ktoré majú nepriaznivý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov súvisiacich s platbami, alebo na služby súvisiace s platbami, ktoré poskytuje finančný subjekt.
„Závažný incident súvisiaci s IKT“ je incident súvisiaci s IKT, ktorý má veľký nepriaznivý vplyv na siete a informačné systémy, ktoré podporujú kritické alebo dôležité funkcie finančného subjektu.
„Závažný prevádzkový alebo bezpečnostný incident súvisiaci s platbami“ je prevádzkový alebo bezpečnostný incident súvisiaci s platbami, ktorý má veľký nepriaznivý vplyv na poskytované služby súvisiace s platbami.
„Významná kybernetická hrozba“ je kybernetická hrozba, ktorej technické charakteristiky naznačujú, že by mohla mať potenciál viesť k závažnému incidentu súvisiacemu s IKT alebo závažnému prevádzkovému alebo bezpečnostnému incidentu súvisiacemu s platbami.
„Kybernetický útok“ je zlomyseľný incident súvisiaci s IKT spôsobený prostredníctvom pokusu, ktorého sa dopustil akýkoľvek aktér hrozby, o zničenie, odhalenie, zmenu, znefunkčnenie, krádež alebo získanie neoprávneného prístupu k aktívu, alebo o neoprávnené použitie aktíva.
„Penetračné testovanie na základe konkrétnej hrozby“ alebo „TLPT“)“ je rámec, ktorý simuluje taktiku, techniky a postupy reálnych aktérov hrozby považovaných za subjekty predstavujúce skutočnú kybernetickú hrozbu a ktorým sa realizuje kontrolovaný, individualizovaný test kritických živých produkčných systémov finančného subjektu založený na spravodajských informáciách (červený tím).
Jednotlivá terminológia bude pre pochopenie v aplikačnej praxi vysvetlená aj v ďalších článkoch.
Publikované dňa 04.09.2025.

