NIS 2 vs DORA: Jak vlastně funguje výjimka pro finanční sektor
Článek 4 NIS 2 předává finanční subjekty DORA, pokud jde o řízení rizik, hlášení incidentů a dohled. Registrace podle čl. 3 odst. 4 NIS 2 mezi tím není. V Česku platí totéž podle § 70 zákona č. 264/2025 Sb.: banky, ústřední protistrany a další finanční subjekty z vyhlášky č. 408/2025 Sb. dál ohlašují svou regulovanou službu NÚKIB (§ 6 zákona).
Dva regulátoři, jedna výjimka, jedna povinnost, která přežívá
Nařízení (EU) 2022/2554 (DORA) vstoupilo v použitelnost 17. ledna 2025 a pokrývá kolem dvaceti kategorií finančních subjektů, od bank a pojišťoven po poskytovatele služeb souvisejících s kryptoaktivy a obchodní platformy. Pro vše, co DORA již reguluje, vytlačuje článek 4 NIS 2 odpovídající články NIS 2. To je pravidlo lex specialis a stojí v centru každé konverzace o tom, jak se finanční firmy mapují vůči NIS 2.
Vytlačení je úzké. Čl. 4 odst. 2 NIS 2 říká, kdy je odvětvový akt rovnocenný: u opatření k řízení rizik (čl. 21 odst. 1 a 2) a u oznamování významných incidentů (čl. 23 odst. 1 až 6). Ustupují tedy povinnosti z článků 21 a 23 a s nimi dohled a vymáhání z kapitoly VII. Registrace podle čl. 3 odst. 4 mezi nimi není. Nejsou mezi nimi ani ustanovení o působnosti v příloze I, která bankovnictví a infrastrukturu finančních trhů do NIS 2 vůbec zahrnují.
Praktický výsledek pro českou banku nebo ústřední protistranu: podstatu určuje DORA a dohled vykonává Česká národní banka jako orgán dohledu nad finančním trhem, ale regulovanou službu podle zákona č. 264/2025 Sb. subjekt dál ohlašuje NÚKIB přes Portál NÚKIB. Jeden úřad vede registr. Jiný úřad dohlíží na všechno, na čem v provozu záleží.
Směrnice NIS 2, článek 4 odst. 1 a odst. 2
Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby základní nebo důležité subjekty přijaly opatření k řízení kybernetických bezpečnostních rizik nebo aby oznamovaly významné incidenty, a pokud je účinek těchto opatření alespoň rovnocenný účinku povinností stanovených v této směrnici, příslušná ustanovení této směrnice, včetně ustanovení o dohledu a vymáhání v kapitole VII, se na takové subjekty nepoužijí.
Podmínky jsou dvě: musí existovat odvětvový akt Unie a jeho účinek musí být alespoň rovnocenný. Čl. 4 odst. 2 vymezuje rovnocennost u opatření (čl. 21 odst. 1 a 2) a u oznamování (čl. 23 odst. 1 až 6). Teprve pak ustupují články 21 a 23 a kapitola VII. Čl. 3 odst. 4 se tu nikde nezmiňuje, a proto se nadále uplatňuje.
Nařízení (EU) 2022/2554 (DORA)
Články 5 až 16 (řízení rizik IKT), články 17 až 23 (hlášení incidentů souvisejících s IKT), články 24 až 27 (testování digitální provozní odolnosti), články 28 až 44 (řízení rizik IKT třetích stran), článek 45 (ujednání o sdílení informací).
DORA je nařízení, použitelné přímo v každém členském státě od 17. ledna 2025. Pro subjekty v jeho působnosti je to soubor pravidel, který vyplňuje prostor, který by jinak zaujímaly články 21 a 23 NIS 2. Věcným pravidlem kybernetické bezpečnosti je DORA, nikoli zákon č. 264/2025 Sb. a jeho vyhlášky.
§ 70 odst. 1 zákona č. 264/2025 Sb. (Česko)
Pokud přímo použitelný předpis Evropské unie nebo jiný právní předpis, který zapracovává příslušný předpis Evropské unie, stanoví povinnosti v oblasti zavádění a provádění bezpečnostních opatření nebo hlášení kybernetických bezpečnostních incidentů a tyto povinnosti mají alespoň srovnatelný účinek jako povinnosti podle tohoto zákona, ustanovení tohoto zákona upravující povinnosti zavádět a provádět bezpečnostní opatření a hlásit kybernetické bezpečnostní incidenty se neuplatní, a to včetně ustanovení o dohledu nad dodržováním uvedených povinností.
Česko přebírá článek 4 NIS 2 v § 70. Ustupují jen ustanovení o bezpečnostních opatřeních a hlášení incidentů a dohled nad nimi. Ohlášení regulované služby (§ 6 odst. 1, do 60 dnů od splnění podmínek) ani hlášení kontaktních a doplňujících údajů (§ 11) § 70 nezmiňuje. DORA má vlastní registr u evropských orgánů dohledu, ten ale vnitrostátní registraci nenahrazuje. Finanční subjekty proto žijí v obou.
DORA, ne článek 21 NIS 2
Řízení rizik IKT, rizika třetích stran, testování odolnosti a klasifikace incidentů se řídí články 5 až 44 DORA. Opatření podle článku 21 NIS 2 (v Česku §§ 13 a 14 zákona č. 264/2025 Sb. a vyhlášky č. 409/2025 Sb. a 410/2025 Sb.) se na subjekty v působnosti DORA neuplatní (§ 70 zákona). Tam, kde DORA mlčí, NIS 2 mezeru rovněž nevyplňuje: výjimka je o tom, který akt vládne, nikoli o vrstvení obou.
NÚKIB podle § 6 zákona, žádné vytlačení
Čl. 3 odst. 4 NIS 2 stojí mimo článek 4 a § 6 zákona č. 264/2025 Sb. stojí mimo § 70. Vnitrostátní registr výjimku přežívá. Česká banka nebo ústřední protistrana ohlašuje regulovanou službu NÚKIB přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1). Po doručení rozhodnutí o registraci hlásí do 30 dnů kontaktní a doplňující údaje a jejich změny do 14 dnů (§ 11). Neohlášení služby je samostatný přestupek (§ 60 odst. 1 písm. a)).
Česká národní banka, ne NÚKIB
Kapitola VII NIS 2 (dohled a vymáhání) je pro finanční subjekty vytlačena a § 70 zákona vylučuje i dohled NÚKIB nad bezpečnostními opatřeními a hlášením incidentů. Článek 46 DORA určuje jako příslušné orgány stávající finanční dohledové orgány. V Česku je orgánem dohledu nad finančním trhem Česká národní banka; na úrovni EU koordinují evropské orgány dohledu (EBA, ESMA, EIOPA). NÚKIB není provozním dohledovým orgánem pro podstatu DORA.
Lex specialis je úzký, ne plošný
Článek 4 vytlačuje pouze ty články NIS 2, které jmenuje. Registrace podle článku 3 odst. 4, působnost podle přílohy I a II a definice sektorů se nadále uplatňují. Banka se nestává nesubjektem NIS 2. Stává se subjektem NIS 2 řízeným DORA, pokud jde o věcné části. Rozdíl je důležitý, když přijdou na řadu registrační lhůty, reklasifikace sektoru nebo oznámení o přeshraničních službách.
Rovnocenný v účinku, ne totožný v textu
Čl. 4 odst. 1 NIS 2 nastavuje laťku na rovnocenný účinek. DORA nemusí reprodukovat článek 21 slovo od slova. Musí pokrýt stejnou půdu ve stejné hloubce. Bod odůvodnění 28 NIS 2 výslovně říká, že DORA se má ve vztahu k finančním subjektům považovat za odvětvový akt a její ustanovení o řízení rizik IKT a oznamování incidentů mají platit místo ustanovení NIS 2. Test rovnocennosti ale sedí v textu a byl by právní kotvou v jakémkoli sporu o mezeru.
ČNB (Česká národní banka)
Orgán dohledu nad finančním trhem v Česku. Podle článku 46 DORA dohlížejí na plnění DORA příslušné orgány podle odvětvových předpisů; pro české banky, platební instituce, pojišťovny a obchodníky s cennými papíry je to ČNB. Dohlíží na řízení rizik IKT, hlášení incidentů souvisejících s IKT a ujednání s třetími stranami v oblasti IKT.
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
Přijímá ohlášení regulovaných služeb a rozhoduje o jejich registraci (§ 6 a § 42 odst. 3 zákona č. 264/2025 Sb.), a to i u finančních subjektů, u nichž podle § 70 nedohlíží na bezpečnostní opatření a hlášení incidentů. Incidenty, které mu oznámí jiný dozorový orgán podle odvětvového předpisu, zpracuje obdobně jako ostatní hlášení (§ 17 odst. 5). Dělicí čára: registrace u NÚKIB, podstata a dohled u ČNB.
EBA, ESMA, EIOPA a ECB
Evropské orgány dohledu vydaly regulační technické normy DORA pro řízení rizik IKT, klasifikaci incidentů, registry rizik třetích stran a dohled nad kritickými poskytovateli služeb IKT třetích stran. ECB dohlíží v rámci jednotného mechanismu dohledu na významné úvěrové instituce v bankovní unii a uplatňuje DORA v rámci tohoto mandátu. Výjimka podle článku 4 NIS 2 je to, co umožňuje, aby tato naskládaná dohledová struktura fungovala bez dvojí regulace.
Mýtus: DORA nahrazuje NIS 2 zcela pro finanční subjekty.
DORA nahrazuje článek 21, článek 23 a kapitolu VII. Nenahrazuje článek 3 odst. 4 (registrace), ustanovení o působnosti v příloze I a II ani mechanismy spolupráce v kapitole III. V Česku zůstává ohlášení regulované služby NÚKIB podle § 6 zákona č. 264/2025 Sb. Banka, která službu neohlásí, se dopouští samostatného přestupku podle § 60 odst. 1 písm. a) zákona, nikoli jen vymáhacího spisu podle DORA.
Mýtus: DORA se vztahuje jen na banky, takže nebankovní finanční subjekty se řídí NIS 2.
Článek 2 DORA uvádí kolem dvaceti kategorií subjektů. Pojišťovny a zajišťovny, platební instituce a instituce elektronických peněz, ústřední protistrany, centrální depozitáře cenných papírů, obchodní systémy, poskytovatelé služeb souvisejících s kryptoaktivy, poskytovatelé služeb informování o účtu a další jsou všichni uvnitř DORA. Pokud je vaše služba v bodě 17 přílohy vyhlášky č. 408/2025 Sb. (finanční trh) a zároveň jste subjektem podle článku 2 DORA, uplatní se § 70 zákona č. 264/2025 Sb.
Mýtus: Dva registry znamenají podávat dvakrát stejné údaje.
Registr informací DORA pokrývá ujednání s třetími stranami v oblasti IKT (článek 28 DORA). Portál NÚKIB přijímá ohlášení regulované služby a kontaktní a doplňující údaje (§ 6 a § 11 zákona č. 264/2025 Sb., vyhláška č. 334/2025 Sb.). Pole se nepřekrývají. Podání obou je jedna povinnost každé, nikoli stejná povinnost dvakrát. Provozovatelé si to často pletou, protože obojí zahrnuje vepisování údajů do úředních portálů.
Pokud působíte v subjektu pod dohledem ČNB, zacházejte s DORA jako se svým každodenním souborem pravidel a s NIS 2 jako s registrační vrstvou. Program věcného posílení žije v článcích 5 až 16 DORA (řízení rizik) a článcích 28 až 44 (rizika třetích stran). Ohlášení regulované služby NÚKIB podle § 6 zákona č. 264/2025 Sb. je jednorázový administrativní úkol a změny údajů hlásíte do 14 dnů (§ 11 odst. 2). Záměna obou vede k vyplýtvanému úsilí, často k duplicitnímu mapování článku 21, o které nikdo nežádal.
Pokud působíte ve finanční skupině, která provozuje také interní IT služby pro nefinanční dceřiné společnosti, výjimka chrání pouze finanční subjekt. Nefinanční dceřiná společnost, pokud poskytuje regulovanou službu podle vyhlášky č. 408/2025 Sb., plní celý soubor povinností včetně bezpečnostních opatření a hlášení incidentů. Skupinové programy IKT musí být čitelné pro oba dohledové orgány. ČNB žádá doklady podle DORA, NÚKIB u nefinanční dceřiné společnosti doklady podle §§ 13 a 14 zákona č. 264/2025 Sb. a příslušné vyhlášky.
- Směrnice (EU) 2022/2555 (NIS 2), článek 4 (lex specialis), článek 3 odst. 4 (povinnost registrace), příloha I sektor 3 (bankovnictví) a sektor 4 (infrastruktura finančních trhů), bod odůvodnění 28: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Nařízení (EU) 2022/2554 (DORA), články 5 až 16 (řízení rizik IKT), články 17 až 23 (hlášení incidentů), články 24 až 27 (testování odolnosti), články 28 až 44 (rizika IKT třetích stran), článek 45 (sdílení informací), článek 46 (příslušné orgány): https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 6 (ohlášení regulované služby), § 60 odst. 1 písm. a) (přestupek neohlášení) a § 70 (vztah k odvětvovým předpisům EU): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_70
- Bod odůvodnění 28 směrnice NIS 2 o vztahu mezi NIS 2 a nařízením DORA: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 17 (finanční trh): https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Regulační technické normy EBA, ESMA a EIOPA podle DORA (2024 a 2025)
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
