Komplexní outsourcing DORA compliance pro banky, pojišťovny, investiční podniky, platební instituce i CASP. Pokrýváme všech 5 pilířů – ICT Risk Framework, incident reporting, testování odolnosti, third-party risk a information sharing – včetně ročního Register of Information do ČNB.
Provozní implementace všech klíčových oblastí nařízení.
Vybudování a údržba rámce řízení ICT rizik dle čl. 5–16 DORA – politiky, identifikace aktiv, ochrana, detekce, reakce a obnova.
Klasifikace incidentů dle RTS (criteria materiality), reporting major ICT incidentů do ČNB v lhůtách 4h / 72h / 1 měsíc.
Plán testování odolnosti, vulnerability assessmenty, scenario-based testing a Threat-Led Penetration Testing (TLPT) dle TIBER-EU.
Register of Information o všech ICT dodavatelích, smluvní revize dle čl. 30 DORA, exit strategie a koncentrační riziko.
Účast ve sdílení informací o kybernetických hrozbách s ostatními finančními subjekty dle čl. 45 DORA.
Příprava reportů pro představenstvo dle čl. 5 DORA, definice rolí a odpovědností, training členů orgánů.
Modulární služby, které lze čerpat samostatně nebo jako kompletní DORA program.
Posouzení současného stavu vůči 5 pilířům DORA, identifikace mezer, prioritizace remediation roadmapy s odhadem nákladů a kapacit.
Sestavení a údržba povinného registru ICT dodavatelů ve formátu EBA/EIOPA/ESMA RTS – submission do ČNB v ročním cyklu.
Analýza a remediace smluv s ICT poskytovateli dle čl. 30 DORA – povinné klauzule, audit rights, exit strategie, sub-outsourcing.
Koordinace TLPT dle TIBER-EU framework pro významné finanční subjekty – red team scénáře proti produkčnímu prostředí.
Asistence ICT poskytovatelům při klasifikaci jako CTPP, Lead Overseer komunikace, oversight engagement plan.
Měsíční monitoring compliance, sledování legislativních změn (RTS/ITS), aktualizace dokumentace a reportingu pro ČNB.
Nařízení dopadá na 20+ typů finančních subjektů a jejich kritické ICT dodavatele.
Strukturovaný 4-fázový program od gap analýzy po kontinuální provoz.
Posouzení současného stavu napříč 5 pilíři DORA, mapování na ZKB/NIS2, ISO 27001 a stávající ICT controls.
Tvorba ICT Risk Framework, incident response playbooks, business continuity plánů a Register of Information.
Identifikace ICT dodavatelů, klasifikace kritičnosti, revize a renegociace smluv dle čl. 30 DORA.
Provoz incident reportingu (4h/72h/1 měsíc), roční submission RoI do ČNB, koordinace TLPT, kontinuální monitoring.
Regulatorní termíny pro reporting a periodické povinnosti.
Plná aplikace DORA běží od ledna 2025, ČNB aktivně dohlíží a v roce 2026 budou vydávány první sankční rozhodnutí. Vlastní DORA tým vyžaduje kombinaci právní, ICT risk, vendor management a technické expertízy. My ji máme připravenou.
Domluvit konzultaciPro představenstvo, compliance, ICT risk i procurement.
Digital Operational Resilience Act (Nařízení EU 2022/2554) je přímo účinné nařízení EU pro kybernetickou odolnost finančního sektoru. Vstoupilo v platnost 16. 1. 2023, plná aplikace běží od 17. 1. 2025. Doplňují ho RTS/ITS standardy publikované EBA/EIOPA/ESMA.
Na 20+ typů finančních subjektů (banky, pojišťovny, investiční podniky, platební instituce, CASP, AIFM, IORP, CSD aj.) a na jejich kritické ICT dodavatele (CTPP). DORA se aplikuje principem proporcionality – mikro a malé subjekty mají zjednodušené povinnosti.
DORA je lex specialis pro finanční sektor – nahrazuje NIS2 v oblastech, které pokrývá. Finanční instituce primárně plní DORA, NIS2 se aplikuje subsidiárně na oblasti mimo scope DORA. ZKB v ČR transponuje NIS2 a obsahuje obdobné principy.
RoI je povinný registr všech smluvních ujednání s ICT poskytovateli ve formátu definovaném ITS. Submission probíhá ročně do České národní banky (ČNB), která data agreguje a předává evropským orgánům dohledu (ESAs). První submission proběhla v 2025.
Threat-Led Penetration Testing dle TIBER-EU framework – realistický red team test s reálnými TTP útočníků proti produkčnímu prostředí. Povinné pro významné finanční subjekty (kritérium velikosti a systémového významu) min. každé 3 roky pod dohledem ČNB.
Pro finanční subjekty dle národní úpravy a rozhodnutí ČNB. Pro CTPP (kritické ICT poskytovatele) Lead Overseer může uložit periodické penále až 1 % průměrného denního celosvětového obratu z předchoz ího účetního období – až do dosažení souladu.
Plná aplikace DORA platí od 17. 1. 2025. Roční submission Register of Information do ČNB je již povinná. Pojďme to vyřešit společně.