Podnikatelia

RIADENIE, KLASIFIKÁCIA A NAHLASOVANIE INCIDENTOV SÚVISIACICH S IKT

  • Vydanie: ULC PRO BONO 07/2025

1. ABSTRAKT

Finančné subjekty sú povinné podľa nariadenia DORA vymedziť, zaviesť a vykonávať proces riadenia incidentov súvisiacich s IKT s cieľom odhaľovať, riadiť a oznamovať incidenty súvisiace s IKT. Finančné subjekty sú povinné zaznamenávať všetky incidenty súvisiace s IKT a významné kybernetické hrozby. S tým súvisí, aby finančné subjekty stanovili vhodné postupy a procesy na zaistenie konzistentného a integrovaného monitorovania, riešenia a následných opatrení v prípade incidentov súvisiacich s IKT s cieľom zabezpečiť, aby sa hlavné príčiny identifikovali, zdokumentovali a riešili s cieľom zabrániť výskytu takýchto incidentov. Podrobnosti v nasledovnom príspevku.

2. POVINNOSTI NA ÚSEKU REPORTOVANIA INDICENTOV  

Povinnosti finančných subjektov z nariadenia DORA na úseku incidentov možno zosumarizovať a konštatovať, že finančné subjekty sú povinné  (i) vyvinúť zrozumiteľný proces na zaznamenávanie/klasifikáciu všetkých incidentov v oblasti IKT a určovanie závažných incidentov podľa kritérií podrobne opísaných v nariadení a bližšie špecifikovaných európskymi orgánmi dohľadu (EBA, EIOPA a ESMA), (ii) predložiť úvodnú, priebežnú a záverečnú správu o incidentoch súvisiacich s IKT, (iii) harmonizovať oznamovanie incidentov súvisiacich s IKT prostredníctvom štandardizovaných vzorov, ktoré vypracovali ESA.

Finančné subjekty sú tiež povinné klasifikovať incidenty súvisiace s IKT a kybernetickými hrozbami.

3. KLASIFIKÁCIA INDICENTOV SÚVISIACICH S IKT A KYBERNETICKÝCH HROZIEB

Finančné subjekty klasifikujú incidenty súvisiace s IKT a určujú ich vplyv na základe týchto kritérií: (i) počet a/alebo relevantnosť klientov alebo finančných protistrán a prípadne výška alebo počet transakcií, ktoré sú ovplyvnené incidentom súvisiacim s IKT, a to, či incident súvisiaci s IKT mal vplyv na dobré meno, (ii) trvanie incidentu súvisiaceho s IKT vrátane výpadku služby, (iii) geografické rozloženie, pokiaľ ide o oblasti postihnuté incidentom súvisiacim s IKT, najmä ak sa týka viac ako dvoch členských štátov, (iv) straty údajov, ktoré incident súvisiaci s IKT prináša v súvislosti s dostupnosťou, pravosťou, integritou alebo dôvernosťou údajov, (v) kritickosť zasiahnutých služieb vrátane transakcií a operácií finančného subjektu, (vi) hospodársky vplyv, najmä priame a nepriame náklady a straty, incidentu súvisiaceho s IKT v absolútnom aj relatívnom vyjadrení.

Finančné subjekty klasifikujú kybernetické hrozby ako významné na základe kritickosti služieb vystavených riziku vrátane transakcií a operácií finančného subjektu, počtu a/alebo relevantnosti cieľových klientov alebo finančných protistrán a geografického rozloženia rizikových oblastí.

Finančné subjekty nesmú pri posudzovaní incidentov opomenúť aj ďalšie nariadenie.

Ide o DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2024/1772 z 13. marca 2024, ktorým sa dopĺňa nariadenie DORA, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie určujú klasifikačné kritériá incidentov súvisiacich s IKT a kybernetických hrozieb, stanovujú prahové hodnoty významnosti a spresňujú podrobnosti správ o závažných incidentoch (ďalej len „delegované nariadenie“).

4. KLASIFIKAČNÉ KRITÉRIÁ

Predmetné delegované nariadenie určuje klasifikačné kritériá pre určenie závažnosti incidentu na úseku kybernetickej bezpečnosti.

Ide o kritérium (i) klientov, finančných protistrán a transakcií ovplyvnených incidentom, (ii) vplyvu na dobré meno, (iii) trvanie incidentu súvisiaceho s IKT a výpadok služby, (iv) geografického rozloženia, (v) straty údajov, (vi) kritickosti zasiahnutých služieb a (vii) hospodárskeho vplyvu.

4.1 Klienti, finančné protistrany a transakcie ovplyvnené incidentom

Počet klientov ovplyvnených incidentom, ako sa uvádza v článku 18 ods. 1 písm. a) nariadenia (EÚ) 2022/2554, odráža počet všetkých ovplyvnených klientov, či už fyzických alebo právnických osôb, ktorí počas incidentu nemôžu alebo nemohli využívať službu poskytovanú finančným subjektom, alebo ktorých incident nepriaznivo ovplyvnil. Tento počet zahŕňa aj tretie strany, na ktoré sa výslovne vzťahuje zmluvná dohoda medzi finančným subjektom a klientom, ako príjemcov ovplyvnenej služby.

Počet finančných protistrán ovplyvnených incidentom, ako sa uvádza v článku 18 ods. 1 písm. a) nariadenia (EÚ) 2022/2554, odráža počet všetkých ovplyvnených finančných protistrán, ktoré s finančným subjektom uzavreli zmluvnú dohodu.

Pokiaľ ide o relevantnosť klientov a finančných protistrán ovplyvnených incidentom, ako sa uvádza v článku 18 ods. 1 písm. a) nariadenia (EÚ) 2022/2554, finančný subjekt zohľadňuje rozsah, v akom vplyv na klienta alebo finančnú protistranu ovplyvní plnenie obchodných cieľov finančného subjektu, ako aj potenciálny vplyv incidentu na efektívnosť trhu.

Pokiaľ ide o výšku alebo počet transakcií ovplyvnených incidentom, ako sa uvádza v článku 18 ods. 1 písm. a) nariadenia (EÚ) 2022/2554, finančný subjekt zohľadňuje všetky ovplyvnené transakcie zahŕňajúce peňažnú sumu, ak sa aspoň jedna časť transakcie vykonáva v Únii.

Ak nemožno určiť skutočný počet ovplyvnených klientov alebo finančných protistrán alebo skutočný počet alebo sumu ovplyvnených transakcií, finančný subjekt odhadne uvedené počty alebo sumy na základe dostupných údajov z porovnateľných referenčných období.

4.2 Vplyv na dobré meno

Na účely určenia vplyvu incidentu na dobré meno, ako sa uvádza v článku 18 ods. 1 písm. a) nariadenia (EÚ) 2022/2554, došlo podľa finančných subjektov k vplyvu na dobré meno, ak je splnené aspoň jedno z týchto kritérií: (i) incident bol predmetom mediálneho spravodajstva, (ii) incident viedol k opakovaným sťažnostiam rôznych klientov alebo finančných protistrán, ktoré sa týkali služieb vyžadujúcich si priamy kontakt so zákazníkom alebo kritických obchodných vzťahov, (iii) finančný subjekt si v dôsledku incidentu nebude môcť alebo pravdepodobne nebude môcť splniť regulačné požiadavky, (iv) finančný subjekt v dôsledku incidentu stratí alebo pravdepodobne stratí klientov alebo finančné protistrany, čo môže mať významný vplyv na jeho obchodnú činnosť.

4.3 Trvanie incidentu súvisiaceho s IKT a výpadok služby

Finančné subjekty merajú trvanie incidentu súvisiaceho s IKT, ako sa uvádza v článku 18 ods. 1 písm. b) nariadenia (EÚ) 2022/2554, od momentu, keď incident nastane, až do momentu jeho vyriešenia. Ak finančné subjekty nedokážu určiť moment, keď k incidentu došlo, merajú trvanie incidentu od momentu, keď sa zistil. Ak sa finančné subjekty dozvedia, že incident sa vyskytol pred jeho odhalením, merajú jeho trvanie od momentu zaznamenania incidentu v záznamových protokoloch siete alebo systému alebo v iných zdrojoch údajov. Ak finančné subjekty ešte nevedia, kedy sa incident vyrieši, alebo nedokážu overiť záznamy v záznamových protokoloch alebo iných zdrojoch údajov, uplatňujú odhady.

Finančné subjekty merajú výpadok služby v dôsledku incidentu, ako sa uvádza v článku 18 ods. 1 písm. b) nariadenia (EÚ) 2022/2554, od momentu, keď je služba pre klientov, finančné protistrany alebo iných interných či externých používateľov úplne alebo čiastočne nedostupná, až do momentu, keď sa bežné činnosti alebo operácie obnovili na úroveň služby, ktorá bola poskytovaná pred incidentom. Ak výpadok služby spôsobí omeškanie pri poskytovaní služby po obnovení bežných činností alebo operácií, výpadok sa meria od začiatku incidentu do momentu, keď sa uvedená meškajúca služba plne poskytuje. Ak finančné subjekty nedokážu určiť moment, keď sa začal výpadok služby, merajú trvanie výpadku služby od momentu, keď sa výpadok zistil.

4.4 Geografické rozloženie

Na účely určenia geografického rozloženia, pokiaľ ide o oblasti postihnuté incidentom, ako sa uvádza v článku 18 ods. 1 písm. c) nariadenia (EÚ) 2022/2554, finančné subjekty posúdia, či incident má alebo mal vplyv v iných členských štátoch, a najmä význam vplyvu vo vzťahu ku ktorémukoľvek z týchto subjektov: (i) klienti a finančné protistrany v iných členských štátoch, (ii) pobočky alebo iné finančné subjekty v rámci skupiny vykonávajúce činnosti v iných členských štátoch, (iii) infraštruktúry finančného trhu alebo externí poskytovatelia, ktoré/ktorí môžu mať vplyv na finančné subjekty v iných členských štátoch, ktorým poskytujú služby, a to v rozsahu, v akom sú takéto informácie k dispozícii.

4.5 Straty údajov

Na účely určenia strát údajov, ktoré incident so sebou prináša, ako sa uvádza v článku 18 ods. 1 písm. d) nariadenia (EÚ) 2022/2554, finančné subjekty zohľadňujú tieto aspekty: (i) v súvislosti s dostupnosťou údajov, či sa v dôsledku incidentu stali údaje poskytované na požiadanie finančného subjektu, jeho klientov alebo jeho protistrán dočasne alebo trvalo nedostupné alebo nepoužiteľné, (ii) v súvislosti s pravosťou údajov, či incident ohrozil dôveryhodnosť zdroja údajov, (iii) v súvislosti s integritou údajov, či incident viedol k nepovolenej zmene údajov, v dôsledku ktorej sa údaje stali znehodnotenými alebo neúplnými, (iv) v súvislosti s dôvernosťou údajov, či incident viedol k prístupu k údajom alebo k ich sprístupneniu neoprávnenej strane alebo systému.

4.6 Kritickosť zasiahnutých služieb

Na účely určenia kritickosti zasiahnutých služieb, ako sa uvádza v článku 18 ods. 1 písm. e) nariadenia (EÚ) 2022/2554, finančné subjekty zohľadňujú, či incident: (i) ovplyvňuje alebo ovplyvnil IKT služby alebo sieť a informačné systémy, ktoré podporujú kritické alebo dôležité funkcie finančného subjektu; (ii) ovplyvňuje alebo ovplyvnil finančné služby, ktoré poskytuje finančný subjekt a ktoré si vyžadujú povolenie, registráciu alebo ktoré podliehajú dohľadu príslušných orgánov; (iii) predstavuje alebo predstavoval úspešný, škodlivý a neoprávnený prístup do siete a informačných systémov finančného subjektu.

4.7 Hospodársky vplyv

Na účely určenia hospodárskeho vplyvu incidentu, ako sa uvádza v článku 18 ods. 1 písm. f) nariadenia (EÚ) 2022/2554, finančné subjekty zohľadňujú, bez zohľadnenia spätne získaných finančných prostriedkov, tieto druhy priamych a nepriamych nákladov a strát, ktoré im vznikli v dôsledku incidentu: (i) vyvlastnené finančné prostriedky alebo finančné aktíva, za ktoré zodpovedajú, vrátane aktív stratených v dôsledku krádeže, (ii) náklady na výmenu alebo premiestnenie softvéru, hardvéru alebo infraštruktúry, (iii) náklady na zamestnancov vrátane nákladov spojených s nahradením alebo premiestnením zamestnancov, prijímaním ďalších zamestnancov, odmeňovaním nadčasov a obnovením stratených alebo zhoršených zručností, (iv) poplatky z dôvodu nedodržania zmluvných záväzkov, (v) náklady na nápravu a odškodnenie zákazníkov, (vi) straty v dôsledku ušlých príjmov, (vii) náklady spojené s vnútornou a vonkajšou komunikáciou, (viii) náklady na poradenstvo vrátane nákladov spojených s právnym poradenstvom, forenznými službami a sanačnými službami.

5. PRAHOVÉ HODNOTY POSUDZOVANIA ZÁVAŽNÝCH INCIDENTOV

Delegované nariadenie určuje prahové hodnoty pre učenie závažnosti incidentov.

Prahová hodnota významnosti pre kritérium „klienti, finančné protistrany a transakcie ovplyvnené incidentom“ je splnená, ak je splnená ktorákoľvek z týchto podmienok: (i) počet ovplyvnených klientov je vyšší ako 10 % všetkých klientov využívajúcich ovplyvnenú službu, (ii) počet ovplyvnených klientov využívajúcich ovplyvnenú službu je vyšší ako 100 000, (iii) počet ovplyvnených finančných protistrán je vyšší ako 30 % všetkých finančných protistrán vykonávajúcich činnosti súvisiace s poskytovaním ovplyvnenej služby, (iv) počet ovplyvnených transakcií je vyšší ako 10 % denného priemerného počtu transakcií vykonávaných finančným subjektom v súvislosti s ovplyvnenou službou, (v) suma ovplyvnených transakcií je vyššia ako 10 % dennej priemernej hodnoty transakcií vykonávaných finančným subjektom v súvislosti s ovplyvnenou službou, (vi) ovplyvnení boli klienti alebo finančné protistrany, ktorí/ktoré boli identifikované ako dôležití/dôležité.

Ak nemožno určiť skutočný počet ovplyvnených klientov alebo finančných protistrán alebo skutočný počet alebo sumu ovplyvnených transakcií, finančný subjekt odhadne uvedené počty alebo sumy na základe dostupných údajov z porovnateľných referenčných období.

Prahová hodnota významnosti pre kritérium „vplyv na dobré meno“ je splnená, ak je splnená ktorákoľvek z podmienok uvedených v bode 4.2 vyššie.

Prahová hodnota významnosti pre kritérium „trvanie incidentu súvisiaceho s IKT a výpadok služby“ je splnená, ak je splnená ktorákoľvek z týchto podmienok: (i) incident trvá dlhšie ako 24 hodín, (ii) v prípade služieb IKT, ktoré podporujú kritické alebo dôležité funkcie, je výpadok služby dlhší ako 2 hodiny.

Prahová hodnota významnosti pre kritérium „geografické rozloženie“ je splnená, ak má incident vplyv v dvoch alebo viacerých členských štátoch.

Prahová hodnota významnosti pre kritérium „straty údajov“ je splnená, ak je splnená ktorákoľvek z týchto podmienok: (i) každý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov má alebo bude mať nepriaznivý vplyv na plnenie obchodných cieľov finančného subjektu alebo na jeho schopnosť spĺňať regulačné požiadavky, (ii) sieť a informačné systémy sú zasiahnuté úspešným, škodlivým a neoprávneným prístupom, na ktorý sa nevzťahuje na prvý bod, ak takýto prístup môže viesť k stratám údajov.

Prahová hodnota významnosti pre kritérium „hospodársky vplyv“ je splnená, ak náklady a straty, ktoré vznikli finančnému subjektu v dôsledku incidentu, prekročili alebo pravdepodobne prekročia 100 000 EUR.

6. PRAHOVÉ HODNOTY NA URČENIE VÝZNAMNÝCH KYBERNETICKÝCH HROZIEB

Na účely nariadenia DORA sa kybernetická hrozba považuje za významnú, ak sú splnené všetky tieto podmienky:

(A) kybernetická hrozba, ak by k nej došlo, mohla ovplyvniť alebo by mohla ovplyvniť kritické alebo dôležité funkcie finančného subjektu alebo iné finančné subjekty, externých poskytovateľov, klientov alebo finančné protistrany, a to na základe informácií, ktoré má finančný subjekt k dispozícii,

(B) existuje vysoká pravdepodobnosť naplnenia kybernetickej hrozby vo finančnom subjekte alebo v iných finančných subjektoch, pričom sa zohľadňujú aspoň tieto prvky:

  1. uplatniteľné riziká súvisiace s kybernetickou hrozbou uvedenou v prvom bode vrátane potenciálnych zraniteľných miest systémov finančného subjektu, ktoré možno zneužiť,
  2. spôsobilosti a úmysel aktérov hrozby v rozsahu, ktorý je finančnému subjektu známy,
  3. pretrvávanie hrozby a všetky získané poznatky o incidentoch, ktoré ovplyvnili finančný subjekt alebo jeho externého poskytovateľa, klientov alebo finančné protistrany,

(C) ak by došlo ku kybernetickej hrozbe, mohla by spĺňať ktorúkoľvek z týchto podmienok:

(i) kritérium týkajúce sa kritickosti zasiahnutých služieb,

(ii) prahovú hodnotu významnosti, ktorú uvádzame vyššie v odseku 5 pre kritérium klienti, finančné protistrany a transakcie ovplyvnené incidentom,

      (iii) prahovú hodnotu významnosti, ktorú uvádzame vyššie v odseku 6 pre kritérium geografického rozloženia.  

7. REPORTING ZÁVAŽNÝCH IKT INCIDENTOV

Finančné subjekty nahlasujú závažné incidenty súvisiace s IKT relevantnému príslušnému orgánu uvedenému v článku 46 v súlade s odsekom 4 tohto článku. Ak finančný subjekt podlieha dohľadu viac ako jedného príslušného vnútroštátneho orgánu uvedeného v článku 46, členské štáty určia jediný príslušný orgán ako relevantný príslušný orgán zodpovedný za vykonávanie funkcií a povinností stanovených v tomto článku.

Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 oznamujú závažné incidenty súvisiace s IKT relevantnému vnútroštátnemu príslušnému orgánu určenému v súlade s článkom 4 smernice 2013/36/EÚ, ktorý uvedenú správu bezodkladne zašle ECB.

Finančné subjekty môžu dobrovoľne oznamovať významné kybernetické hrozby relevantnému príslušnému orgánu, ak sa domnievajú, že hrozba je relevantná pre finančný systém, používateľov služieb alebo klientov. Relevantný príslušný orgán môže poskytnúť takéto informácie iným relevantným orgánom.

Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 môžu dobrovoľne oznamovať významné kybernetické hrozby relevantnému vnútroštátnemu príslušnému orgánu určenému v súlade s článkom 4 smernice 2013/36/EÚ, ktorý oznámenie bezodkladne zašle ECB.

Členské štáty môžu určiť, že tie finančné subjekty, ktoré dobrovoľne oznamujú, môžu uvedené oznámenie zaslať aj jednotkám CSIRT určeným alebo zriadeným v súlade so smernicou NIS 2.

Ak dôjde k závažnému incidentu súvisiacemu s IKT, ktorý má vplyv na finančné záujmy klientov, finančné subjekty bez zbytočného odkladu a čo najskôr po tom, ako o ňom nadobudli vedomosť, informujú svojich klientov o závažnom incidente súvisiacom s IKT a o opatreniach, ktoré boli prijaté na zmiernenie nepriaznivých účinkov takéhoto incidentu.

V prípade významnej kybernetickej hrozby finančné subjekty v náležitých prípadoch informujú svojich klientov, ktorí sú potenciálne dotknutí, o akýchkoľvek vhodných ochranných opatreniach, ktorých prijatie títo klienti môžu zvážiť.

Finančné subjekty v lehotách, ktoré sa stanovia v súlade s článkom 20 nariadenia DORA, predložia relevantnému príslušnému orgánu (i) počiatočné oznámenie, (ii) priebežnú správu po počiatočnom oznámení uvedenom v písmene a), hneď ako sa výrazne zmení stav pôvodného incidentu alebo po zmene riešenia závažného incidentu súvisiaceho s IKT na základe nových dostupných informácií, po ktorej v náležitých prípadoch nasledujú aktualizované oznámenia vždy, keď je k dispozícii príslušná aktualizácia stavu, ako aj na základe osobitnej žiadosti príslušného orgánu, (iii) záverečnú správu po dokončení analýzy hlavných príčin, bez ohľadu na to, či už boli vykonané zmierňujúce opatrenia, a keď sú k dispozícii skutočné údaje o vplyve, aby sa nahradili odhady.

Finančné subjekty môžu v súlade s odvetvovým právom Únie a vnútroštátnym odvetvovým právom zveriť nahlasovacie povinnosti podľa tohto článku externému poskytovateľovi služieb formou outsourcingu. V prípade takéhoto outsourcingu je finančný subjekt naďalej plne zodpovedný za plnenie požiadaviek na nahlasovanie incidentov.

Po prijatí počiatočného oznámenia a každej správy uvedenej v odseku 4 príslušný orgán včas poskytne podrobné údaje o závažnom incidente súvisiacom s IKT, a to náležite na základe ich príslušných právomocí, teda orgánom EBA, ESMA alebo EIOPA, Európskej centrálnej banke, príslušným orgánom, jednotným kontaktným miestam alebo jednotkám CSIRT určeným alebo zriadeným v súlade so smernicou NIS 2, orgánom pre riešenie krízových situácií uvedeným v článku 3 smernice 2014/59/EÚ a Jednotnej rade pre riešenie krízových situácií (SRB).

Po prijatí informácií EBA, ESMA alebo EIOPA a ECB po konzultácii s agentúrou ENISA a v spolupráci s relevantným príslušným orgánom posúdia, či je závažný incident súvisiaci s IKT relevantný pre príslušné orgány v iných členských štátoch. Po tomto posúdení EBA, ESMA alebo EIOPA čo najskôr náležite informujú relevantné príslušné orgány v iných členských štátoch. ECB informuje členov Európskeho systému centrálnych bánk o otázkach relevantných pre platobné systémy. Na základe uvedeného oznámenia príslušné orgány v relevantných prípadoch prijmú všetky nevyhnutné opatrenia s cieľom ochrániť bezprostrednú stabilitu finančného systému.

Harmonizácia obsahu a postupov nahlasovania incidentov, vzory nahlasovania, sú súčasťou ďalšieho nariadenia, a to DELEGOVANÉHO NARIADENIA KOMISIE (EÚ) 2025/301 z 23. októbra 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa stanovuje obsah a lehoty na počiatočné oznámenie, a priebežnú a záverečnú správu o závažných incidentoch súvisiacich s IKT a obsah dobrovoľného oznamovania v prípade významných kybernetických hrozieb.

Nariadenie je dostupné online a obsahuje skutočne podrobný a vyčerpávajúci popis postupov nahlasovania incidentov, vrátane lehôt: https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=OJ:L_202500301

Vzory na nahlasovanie incidentov IKT sú dostupné rovnako tak online, a to prostredníctvom VYKONÁVACIEHO NARIADENIA KOMISIE (EÚ) 2025/302 z 23. októbra 2024, ktorým sa stanovujú vykonávacie technické predpisy na uplatňovanie nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o štandardné formuláre, vzory a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a na oznamovanie významných kybernetických hrozieb:

https://eur-lex.europa.eu/legal-content/SK/TXT/PDF/?uri=OJ:L_202500302

Publikované dňa 04.09.2025.

Kontaktný formulár

Sme pripravení naplniť Vaše práva.
Kontaktujte nás!

Zadajte vašu e-mailovú adresu.
Zadajte vaše telefónne čislo.
Napíšte nám správu.
Súhlaste so spracovaním osobných údajov.

Správa sa odosiela ....