Art. 28 DORA — ICT register: čo musí obsahovať a ako ho pripraviť

Digital Operational Resilience Act (nariadenie EÚ 2022/2554, skratka DORA) platí od 17. januára 2025 pre finančné inštitúcie v celej EÚ. Jedným z najpraktickejších článkov je Art. 28, ktorého ods. 3 ukladá povinnosť viesť a aktualizovať register informácií o všetkých zmluvných dojednaniach o využívaní IKT služieb externých poskytovateľov. Podobu registra (šablóny) stanovuje vykonávacie nariadenie Komisie (EÚ) 2024/2956 z 29. novembra 2024.

Tento článok rozoberá, čo register obsahuje, aké sú časté chyby a ako ho doplniť z verejných registrov.

Koho sa to týka

DORA sa vzťahuje na 20 typov finančných subjektov (čl. 2 ods. 1 písm. a) až t)) a na externých poskytovateľov IKT služieb (písm. u)), napríklad:

• úverové inštitúcie (banky)
• poisťovne a zaisťovne, sprostredkovatelia poistenia
• investičné spoločnosti, obchodné miesta, centrálne depozitáre, centrálne protistrany
• správcovia alternatívnych investičných fondov a správcovské spoločnosti
• platobné inštitúcie a inštitúcie elektronického peňažníctva
• poskytovatelia služieb kryptoaktív (MiCA)

V SR dohliada NBS (Národná banka Slovenska), v ČR ČNB.

Čo vyžaduje Art. 28(3)

Čl. 28 ods. 3 DORA vyžaduje register vo vzťahu ku všetkým zmluvným dojednaniam o IKT službách, rozlíšenie dojednaní, ktoré podporujú kritické alebo dôležité funkcie, aspoň ročné hlásenie príslušnému orgánu (počet nových dojednaní, kategórie poskytovateľov, druh dojednaní a služieb) a sprístupnenie registra orgánu na požiadanie. Presné polia určujú šablóny vo vykonávacom nariadení (EÚ) 2024/2956. Prakticky ide o tieto skupiny údajov:

Identifikácia vendora

Identifikátor poskytovateľa: vykonávacie nariadenie (EÚ) 2024/2956 vyžaduje platný LEI alebo európsky jedinečný identifikátor (EUID), a ak sú k dispozícii, oba; poskytovatelia z tretích krajín sa identifikujú cez LEI.

Kontraktné údaje

• Typ IKT služby podľa taxonómie v šablónach vykonávacieho nariadenia (EÚ) 2024/2956
• Dátum začiatku zmluvy
• Dátum ukončenia / auto-renewal
• Krajina, kde sa poskytuje služba
• Krajina, kde sa spracovávajú dáta (pozor — Schrems II!)
• Či obsahuje cross-border data transfer
• Či zahŕňa critical or important function (CIF) — to je kľúčové, pretože CIF vendori majú prísnejšie povinnosti

Riziko a monitoring

• Interná risk klasifikácia (1–5 alebo low/med/high/critical)
• Dátum posledného due diligence auditu
• Koncentračné riziko (koľko kritických funkcií závisí od tohto poskytovateľa)
• Stratégia ukončenia a plán prechodu (čl. 28 ods. 8 — pre IKT služby podporujúce kritické alebo dôležité funkcie)

Najčastejšie chyby

1. Chýbajúci LEI — firma má LEI (lebo aj oni sú DORA-regulated), ale náš register ho nemá. Fix: napojte na GLEIF API.
2. Subdodávatelia nie sú pokrytí — zmluva musí určiť, či je subdodávka IKT služieb podporujúcich kritické alebo dôležité funkcie povolená a za akých podmienok (čl. 30 ods. 2 písm. a)). Ak poskytovateľ časť služby subdodáva, potrebujete o tom vedieť.
3. „Cloud" príliš široké — typ služby treba zaradiť podľa taxonómie šablón, nie len napísať názov poskytovateľa.
4. Chýba pohľad na koncentráciu — bez neho nevidno, či väčšina kritických funkcií nestojí na jednom poskytovateľovi.
5. Exit plán je placeholder — čl. 28 ods. 8 vyžaduje komplexné, zdokumentované a dostatočne otestované plány ukončenia; veta „migrujeme na iný cloud" bez krokov a testu nestačí.

Ako register pripraviť

Krok 1 — Export existujúcich dodávateľov

Väčšina bánk má AP (accounts payable) zoznam alebo ERP vendor master. Exportujte všetkých s popisom obsahujúcim "IT", "software", "cloud", "hosting", "konzultácie" atď.

Krok 2 — Doplniť LEI a údaje z registrov

Pre každý IČO / VAT number:

• Zavolať GLEIF API: https://api.gleif.org/api/v1/lei-records?filter[entity.legalName]={{name}}
• Stiahnuť z ORSR (SR) alebo ARES (ČR) oficiálne meno + adresu
• Dať LEI tam, kde vendor má

V NISMap DORA registri zadáte IČO alebo LEI a formulár sa predvyplní (LEI, názov, krajina) z otvorených dát.

Krok 3 — Určiť kritické alebo dôležité funkcie

Pre každú IKT službu rozhodnite, či podporuje kritickú alebo dôležitú funkciu v zmysle čl. 3 bodu 22 DORA — teda funkciu, ktorej narušenie by podstatne ohrozilo finančnú výkonnosť, spoľahlivosť alebo kontinuitu služieb subjektu alebo plnenie jeho regulačných povinností. Interné prahy (napr. akú dĺžku výpadku ešte znesiete) si stanovte a zdokumentujte sami.

Krok 4 — Koncentrácia a exit

Pre poskytovateľov kritických alebo dôležitých funkcií:

• Aká časť kritických funkcií od nich závisí?
• Kde inde (iný cloud / in-house) by sa dali v prípade zlyhania prevádzkovať?
• Kedy bol exit plán naposledy otestovaný?

Reportovacie deadliny

NISMap a DORA

NISMap má DORA register ako súčasť dashboardu:

• predvyplnenie LEI, názvu a krajiny podľa IČO alebo LEI
• evidencia kritických alebo dôležitých funkcií a koncentračného rizika
• pravidelný re-screening dodávateľov (napr. sankčné zoznamy)
• overenie IBAN dodávateľa

Spustiť DORA register →

Pre záväzné určenie DORA scope a povinností kontaktujte NBS (SR) alebo ČNB (ČR). Article 28 text je dostupný na EUR-Lex 32022R2554.