DORA gap analýza a audit připravenosti
Posoudíme aktuální stav vůči DORA požadavkům a identifikujeme oblasti, kde je nutná náprava.
DORA compliance: poradenství pro finanční instituce a fintech.
DORA platí od 17. ledna 2025. Buďte připraveni dříve, než přijde kontrola regulátora.
Pět fází DORA připravenosti
Nařízení DORA (Digital Operational Resilience Act) ukládá finančním institucím a jejich ICT dodavatelům konkrétní povinnosti v oblasti digitální odolnosti. Posoudíme vaši DORA připravenost, revidujeme nebo připravíme ICT smlouvy s povinným DORA obsahem a nastavíme dokumentaci pro reporting dohledovým orgánům.
ICT smlouvy s DORA klauzulemi
Revidujeme nebo zpracujeme smlouvy s ICT dodavateli tak, aby obsahovaly povinné DORA klauzule o odolnosti, incidentech a auditovatelnosti.
ICT Risk Management Framework
Zpracujeme politiku řízení ICT rizik odpovídající požadavkům DORA čl. 6 až 16.
Registr ICT třetích stran
Sestavíme registr ICT třetích stran a nastavíme procesy pro průběžnou správu dodavatelského rizika.
Incident reporting a notifikační postupy
Nastavíme procesy pro identifikaci, klasifikaci a povinné hlášení ICT incidentů dohledovým orgánům.
Nevíte, kde začít?
Napište nám, co řešíte. Ozveme se a navrhneme postup i rozsah prací.
DORA compliance jako konkrétní balíček, ne jako hodinové poradenství.
CFO a compliance manažer chtějí konkrétní výstupy, ne nekonečné právní konzultace. Dodáme službu s konkrétním výstupem.
Audit DORA připravenosti jako první krok
Začínáme gap analýzou, ne obecným poradenstvím. Výsledkem je konkrétní přehled, co chybí a co je třeba napravit.
ICT smlouvy s povinným DORA obsahem
DORA stanovuje minimální obsah smluv s ICT dodavateli. Revidujeme stávající smlouvy a připravíme DORA-compliant šablony.
Zkušenost z obou stran
Radíme jak finančním institucím (DORA subjekty), tak ICT dodavatelům (critical third parties). Chápeme tlak na obě strany.
Jasný postup místo teorie
Výstupem není právní memorandum. Je to prioritizovaný plán s termíny, výstupy a jasnou specifikací každého kroku.
Váš kontakt v Ambit
Jaroslav Menčík
Partner, vedoucí týmu pro IT & technologie
V Ambit vede tým pro IT a technologie. Za více než 15 let praxe uzavřel přes 200 transakcí v oblasti softwarového práva, kybernetické bezpečnosti, regulace AI a technologického transferu. Radí startupům, scale-upům i globálním korporacím.
- 15+let zkušeností v IT právu
- 200+uzavřených transakcí
- LL.M.NYU School of Law, Hauser Global Scholar
- Ing.ekonomické vzdělání vedle právního
DORA compliance: časté otázky
Na koho se DORA vztahuje?
DORA se vztahuje na finanční subjekty (banky, pojišťovny, investiční firmy, platební instituce aj.) a jejich kritické ICT třetí strany. Rozsah je velmi široký a pokrývá prakticky celý regulovaný finanční sektor v EU.
Co musí obsahovat ICT smlouva podle DORA?
DORA (čl. 30) stanovuje minimální obsah ICT smluv: popis služeb, SLA, místo zpracování dat, právo na audit, plány kontinuity, notifikace incidentů, podmínky pro ukončení a práva na přechod k jinému dodavateli.
Co je critical ICT third party a jaké má povinnosti?
Kritická ICT třetí strana je dodavatel ICT služeb, jehož výpadek by ohrozil finanční stabilitu celého trhu. Takové subjekty podléhají přímému dohledu ze strany evropských orgánů (EBA, ESMA, EIOPA). Pomůžeme posoudit, zda vaše firma do této kategorie spadá.
Jak se DORA liší od NIS2?
NIS2 je obecná směrnice pro kybernetickou bezpečnost pokrývající kritickou infrastrukturu napříč odvětvími. DORA je sektorové nařízení specifické pro finanční sektor, s podrobnějšími a přísnějšími požadavky na digitální odolnost.
Jaké sankce hrozí za porušení DORA?
Sankce pro finanční subjekty DORA sama nestanoví, ponechává je na členských státech. V Česku je za nesoulad s DORA ukládá ČNB. Kritickým poskytovatelům ICT služeb může hlavní orgán dohledu uložit penále až 1 % průměrného denního celosvětového obratu za každý den, nejdéle po dobu šesti měsíců.
Další služby: Kybernetická bezpečnost
NIS2 compliance a zákon o kybernetické bezpečnosti
Audit připravenosti, smlouvy s dodavateli a hlášení incidentů NÚKIB.
Detail služby
Smlouvy pro penetrační testování
Penetrační test s jasně danými právy a povinnostmi obou stran.
Detail služby
Cybersecurity smlouvy a korporátní agenda
Smlouvy pro bezpečnostní projekty, které fungují i při skutečném incidentu.
Detail služby
Risk management a analýza kybernetických rizik
Zdokumentovaný právní rámec řízení rizik dřív, než přijde incident nebo kontrola.
Detail služby
Řešíte podobnou situaci?
Napište nám, co řešíte. Ozveme se a navrhneme postup i rozsah prací.
