DORA – digitální provozní odolnost

Obsah hlášení

Obsah a postupy pro hlášení závažného incidentu jsou stanovené v RTS k obsahu hlášení (dostupné zde) a ITS upřesňujících pokyny k vyplňování informací (dostupné zde).

Obsah a časové lhůty pro hlášení jsou rozděleny do tří fází:

• úvodní oznámení (hlášení do 4 hodin od okamžiku, kdy byl incident klasifikován jako závažný / alternativně do 24 hodin od okamžiku, kdy se finanční subjekt o incidentu dozvěděl),
• průběžné oznámení (hlášení do 72 hodin od podání počátečního oznámení) a
• závěrečné oznámení (hlášení do jednoho měsíce od poslední průběžné zprávy).

Pro všechny fáze se používá stejná šablona, ale každý typ oznámení vyžaduje specifické informace.

Výkaz

• Výkaz: DORAEU01 - DORA - hlášení závažného incidentu
• Vykazovací rámec: Digital Operational Resilience Act (Nařízení o digitální provozní odolnosti)
• Formulář, který se vloží jako příloha do výkazu, naleznete zde:
  • DORA Incident reporting.xlsx
• Požadavky na validační pravidla pro hlášení závažných incidentů:
  • DORA-IR-Validation_Rules_V1.4 CLEAN.xlsx
• Výkaz je rozdělen do tří datových oblastí:
  • DORA01_11 - Základní informace o hlášeném incidentu - statická datová oblast, ve které se vyplňují identifikační a klasifikační informace o incidentu.
  • DORA01_12 - Instituce/subjekt dotčený incidentem - dynamická datová oblast, ve které se vyplňuje, jaký typ činnosti subjektu byl dotčen incidentem.
  • DORA01_13 - Hlášení závažného incidentu - dynamická datová oblast, do které se nahrávají vyplněné formuláře hlášení ve formátu ".xlsx" s označením, k jaké fázi hlášení se formulář vztahuje. Viz Fáze hlášení.

Vykazovací povinnost

Vykazovací povinnost pro hlášení incidentů se vztahuje na subjekty dle čl. 2 odst. 1 písm. a) až t) nařízení DORA.

Vykazování do SDAT

Finanční subjekty zaznamenávají veškeré incidenty související s IKT, které klasifikují a stanovují jejich dopad. Pokud je incident související s IKT klasifikován jako závažný, je povinností finančního subjektu závažný incident související s IKT (závažný incident) hlásit prostřednictvím výkazu v SDAT.

V případě, že vykazující subjekt není registrován v systému SDAT, je třeba provést registraci dle pokynů níže (viz část Další informace k SDAT). Bez registrace do systému SDAT nebude možné zaslat požadované výkazy do ČNB.

Výkaz je možné vykazovat do SDAT těmito způsoby a formáty:

• Prostřednictvím webové aplikace SDAT, tj. vyplněním dat a nahráním vyplněné šablony hlášení.
• Automatizaci vykazování prostřednictvím webových služeb v této fázi spíše nedoporučujeme, protože formát výkazu bude na evropské úrovni změněn.
• Není povolena varianta posílat hromadný výkaz poskytovatelem služeb z řad třetích stran. Vykazovací povinnost bude předepsána finančnímu subjektu.

Generování výskytu výkazu

• Výskyt výkazu (tj. možnost vykázat ke konkrétnímu dni) si vykazující vytvoří dle postupu, který je uveden v nápovědě 3.1.1 Založení výskytu výkazu
• Vložení přílohy je v nápovědě 3.1.2.3 Přílohy. Dále doporučujeme prostudovat nápovědy k odeslání editovaného vydání, čtení protokolů atd.
• V případě doplnění informací do stávajícího výskytu (vykazování dalších fází, oprava zaslaných dat), upravíte již vygenerovaný výskyt výkazu viz nápověda 3.1.3 Odeslání editovaného vydání.
• V případě druhého incidentu během dne vygenerujete nový výskyt pro daný den (postupujete identicky, jako při založení prvního výskytu daný den viz 3.1.1 Založení výskytu výkazu).

Vykazování jednotlivých fází incidentu v závislosti na jeho závažnosti

RTS ke kritériím klasifikace incidentů a kybernetických hrozeb jsou dostupné zde.

V případě incidentu, který je klasifikován jako závažný:

• Úvodní oznámení: zasílá se pouze jedno oznámení, s možností opravy 
• Průběžné oznámení: zasílá se minimálně jedno nebo více oznámení, bez možnosti opravy (pokud vykazující subjekt aktualizuje informace, zašle další verze průběžného oznámení = vloží další vyplněný formulář průběžného hlášení)
• Závěrečné oznámení: zasílá se pouze jedno oznámení, s možností opravy
• Na zaslání právě jednoho úvodního, právě jednoho závěrečného oznámení a minimálně jednoho průběžného oznámení jsou v SDAT nastaveny jedno-výkazové kontroly. Dokud nebude hlášení zcela uzavřeno (nebudou zaslány všechny fáze), bude se tato kontrola vyskytovat v chybovém protokolu.

V případě incidentu, který je re-klasifikován jako nezávažný:

• Pokud je incident vyhodnocen jako nezávažný, musí být zaslány právě dvě úvodní hlášení (jedno původní úvodní hlášení a při re-klasifikaci druhé hlášení, které se do výkazu vloží jako druhé úvodní oznámení), s uvedením informací o reklasifikaci ve formuláři dle pokynů ITS, čl. 5);
• Průběžné a závěrečné oznámení se v tomto případě nepožaduje;
• Pokud již bylo zasláno průběžné nebo závěrečné oznámení, oznámení se ponechají.

Výkaz

Vykazovací rámec: Digital Operational Resilience Act (Nařízení o digitální provozní odolnosti) s platností od 1. 1. 2027

Výkaz: DORAEU01 - Hlášení závažného incidentu 

Finanční subjekty podle čl. 2 nařízení DORA (dostupné zde) jsou povinny hlásit závažné incidenty související s IKT. 

Vykazování do SDAT

Podmínky pro splnění vykazovací povinnosti jsou zejména následující:

• Registrace v SDAT. V případě, že vykazující subjekt není registrován v systému SDAT, je třeba provést registraci dle pokynů níže (viz část Další informace k SDAT). Bez registrace do systému SDAT nebude možné zaslat požadované výkazy do ČNB.
• Přístup k vykazovacímu rámci: Digital Operational Resilience Act (Nařízení o digitální provozní odolnosti) s platností od 1. 1. 2027
• Přístup k výkazu DORAEU01 - Hlášení závažného incidentu

V případě incidentu, který byl klasifikován jako závažný:

• Finanční subjekt označí druh předkládaného dokumentu v datové oblasti DOR01_11 pole 1.1 "Druh předkládaného dokumentu".
• Finanční subjekt předává úvodní oznámení; zasílá se pouze jedno oznámení, s možností opravy.
• Finanční subjekt předává průběžné oznámení; zasílá se minimálně jedno oznámení, s možností opravy nebo aktualizace.
• Finanční subjekt předává závěrečné oznámení; zasílá se pouze jedno oznámení, s možností opravy.
• Vykazovací povinnost je splněna zasláním závěrečného oznámení. Splnění této podmínky je v SDAT předmětem jedno-výkazové kontroly. Dokud nebude tato povinnost splněna, bude se tato kontrola vyskytovat v chybovém protokolu. 

Překlasifikace závažného incidentu

• Pokud finanční subjekt po předání úvodního oznámení a dalším posouzení dojde k závěru, že incident související s IKT, který byl předtím hlášen jako závažný, v žádném okamžiku nesplnil klasifikační kritéria a prahové hodnoty stanovené v článku 8 nařízení v přenesené pravomoci (EU) 2024/1772, oznámí ČNB, že daný incident související s IKT překlasifikoval ze závažného na méně závažný.
• Oznámení o překlasifikaci označí v datové oblasti DOR01_11 pole 1.1 "Druh předkládaného dokumentu".
• Dále doplní důvody překlasifikace do pole 2.10 "Jiné relevantní informace" a oznámení předá.
• Průběžné a závěrečné oznámení se v tomto případě nepožaduje. Pokud již bylo zasláno průběžné nebo závěrečné oznámení, oznámení se ponechají.

Zastupování

Na základě čl. 19 odst. 5 nařízení DORA mohou finanční subjekty externě zadat zajištění povinného hlášení poskytovateli služeb z řad třetích stran. V případě takového externího zadání nese za plnění požadavku hlášení incidentů i nadále plnou odpovědnost finanční subjekt. Finanční subjekty, které zadají zajištění povinného hlášení závažných incidentů externě, uvědomí, na základě čl. 6 odst. 1 prováděcího nařízení 2025/302, ČNB o této dohodě o externím zajištění, jakmile ji uzavřou.
V případě, že se vykazující osoba, která má předepsanou vykazovací povinnost, rozhodne provádění reportingu delegovat na jinou osobu (právnická, podnikající fyzická osoba), je možno využít tzv. zastupování. Zastupování nastavuje správa systému (ČNB) a požadovanou změnu je nutné komunikovat formou žádosti zaslanou na adresu sdat@cnb.cz. Bližší popis a žádost je dostupná v dokumentaci zde.

Za splnění povinnosti uvědomit ČNB o zastupování se považuje předložení žádosti zaslanou na adresu sdat@cnb.cz.

Lhůty, obsah a postupy pro hlášení

• Obsah, lhůty a postupy pro hlášení závažného incidentu vč. upřesňujících pokynů k vyplňování informací jsou stanoveny zejména v nařízení 2024/1772 (dostupné zde), nařízení 2024/1774 (dostupné zde), nařízení 2025/301 (dostupné zde) a prováděcím nařízení 2025/302 (dostupné zde). 

Lhůty pro hlášení jsou rozděleny do tří fází:

• úvodní oznámení (hlášení do 4 hodin od okamžiku, kdy byl incident klasifikován jako závažný / alternativně do 24 hodin od okamžiku, kdy se finanční subjekt o incidentu dozvěděl),
• průběžné oznámení (hlášení do 72 hodin od podání počátečního oznámení) a
• závěrečné oznámení (hlášení do jednoho měsíce od poslední průběžné zprávy).

Každý typ oznámení vyžaduje specifické informace. Povinností finančních subjektů je zajistit, aby v úvodním, průběžném a závěrečném oznámení byly informace úplné a přesné. Finanční subjekty se při vyplňování řídí datovým glosářem a pokyny v příloze II. prováděcího nařízení 2025/302 (dostupné zde) a aktuálním znění validačních pravidel zveřejněných na webových stránkách ČNB, věnovaných výkaznictví ČNB podle nařízení DORA (dostupné zde). 

Splnění stanovených požadavků je předmětem manuálních a automatických kontrol jak ze strany ČNB, tak ESAs, resp. ESMA (DORA IR Tool). O zpracování předaného oznámení jsou finanční subjekty informovány. V případě nesplnění stanovených požadavků, může být zpracování předaného oznámení odmítnuto a bude vyžadováno předání opravného hlášení.

Způsoby a formáty vykazování do SDAT

K předání oznámení o závažném incidentu lze využít některý z těchto způsobů: 

• Vyplněním dat ve webové aplikaci SDAT do formuláře.
• Nahráním json souboru dle specifikace ESMA ve webové aplikaci SDAT.
• Předáním json souboru prostřednictvím webových služeb.
• Nahráním SDAT-XML ve webové aplikaci SDAT.
• Zasláním standardního SDAT-XML souboru prostřednictvím webových služeb

V případě volby "Vyplněním dat ve webové aplikaci SDAT do formuláře", vyplní pověřený zaměstnanec finančního subjektu požadované informace do příslušných datových oblastí odpovídajících druhu předkládaného dokumentu. 

Výkaz je rozdělen do tří datových oblastí:

• DOR01_11 - Obecné informace o finančním subjektu - statická datová oblast, ve které se vyplňují identifikační a klasifikační informace o incidentu.
• DOR01_11A - Souhrnné hlášení - dotčené finanční subjekty - dynamická datová oblast, pro případ souhrnného hlášení.
• DOR01_12 - Prvotní oznámení - statická datová oblast, ve které se vyplňují informace, které mají být uvedeny v prvotních oznámeních.
• DOR01_13 - Průběžná zpráva - statická datová oblast, ve které se vyplňují informace, které mají být uvedeny v průběžných zprávách.
• DOR01_14 - Závěrečná zpráva - statická datová oblast, ve které se vyplňují informace, které mají být uvedeny v závěrečných zprávách.    

V případě volby "Nahráním json souboru dle specifikace ESMA ve webové aplikaci SDAT" a/nebo "Předáním json souboru prostřednictvím webových služeb" importuje pověřený zaměstnanec finančního subjektu soubor ve formátu JSON. Soubor obsahuje informace v předepsaném rozsahu a struktuře.

Strukturu JSON souboru stanovuje a aktualizuje ESMA. Aktuální verze je v souboru "DORA_IR_Schema_v1.3.JSON" a je dostupná zde.

Kontroly

Při předání a zpracování hlášení je provedena řada kontrol. Jedná se zejména o tyto kontroly:

• Automatické jedno-výkazové kontroly při předání v SDAT.
• Automatické kontroly v DORA IR Tool v ESMA.
• Manuální kontroly věcného obsahu v ČNB.

Při vkládání informací jsou v SDAT prováděny formátové a jedno-výkazové kontroly. V případě výskytu formátové nebo jedno-výkazové kontroly označené jako "závažná", není povoleno odeslání hlášení. Tyto kontroly ověřují, že byly vyplněny všechna povinná pole podle prováděcího nařízení 2025/302 (dostupné zde).  

V případě výskytu výkazové kontroly označené jako "varování", je odeslání možné. Příslušná kontrola upozorňuje na podmínečné vyplnění daného pole. 

Generování výskytu výkazu 

Pokud finanční subjekt klasifikoval incident jako závažný, vytvoří výskyt výkazu samostatně. 
Doplnění informací do stávajícího výskytu (např. vykazování dalších fází, oprava zaslaných dat) provede finanční subjekt zasláním dalšího vydání k výskytu, ve kterém doplní/opraví údaje z předchozího zaslaného vydání.

V případě druhého incidentu během stejného dne vygeneruje finanční subjekt nový výskyt pro daný den (postupuje identicky, jako při založení prvního výskytu daný den).

Postupy související s vytvoření výkazu a další práce s výkazy jsou k dispozici v dokumentaci kap. 3 Vykazování.

Obsah hlášení

Obsah a postupy pro hlášení významné kybernetické hrozby jsou stanovené v RTS k obsahu hlášení (dostupné zde) a ITS upřesňujících pokyny k vyplňování informací (dostupné zde).

Výkaz

• DORAEU02 - DORA - hlášení významných kybernetických hrozeb
• Vykazovací rámec: Digital Operational Resilience Act (Nařízení o digitální provozní odolnosti)
• Formulář, který se vloží jako příloha do výkazu, naleznete zde:
  • DORA significant cyber threats.xlsx
• Požadavky na validační pravidla pro hlášení významných kybernetických hrozeb:
  • DORA IR Validation Rules Cyber threats V1.2.xlsx

Výkaz je rozdělen do dvou datových oblastí:

• DORA02_12 - Hlášení významné kybernetické hrozby - statická datová oblast, ve které se vyplňují identifikační a klasifikační informace o kybernetické hrozbě a nahrává se vyplněný formulář hlášení ve formátu .xlsx.
• DORA02_11 - Instituce/subjekt dotčený kybernetickou hrozbou - dynamická datová oblast, ve které se vyplňuje, jaký typ činnosti subjektu byl dotčen kybernetickou hrozbou.

Vykazovací povinnost

V případě detekce významné kybernetické hrozby je oznámení zasíláno na dobrovolné bázi. RTS ke kritériím klasifikace incidentů a kybernetických hrozeb jsou dostupné zde.

Vykazování do SDAT

Finanční subjekty klasifikují kybernetické hrozby, a pokud je kybernetická hrozba klasifikována jako významná, mohou finanční subjekty významné kybernetické hrozby dobrovolně oznamovat prostřednictvím výkazu v SDAT. Vykazování do SDAT je shodné jako pro hlášení incidentů.

Výkaz 

Vykazovací rámec: Digital Operational Resilience Act (Nařízení o digitální provozní odolnosti) s platností od 1. 1. 2027

Výkaz: DORAEU02 - Oznámení významných kybernetických hrozeb

Kybernetická hrozba se považuje za významnou, pokud jsou splněny podmínky stanovené v čl. 10 nařízení 2024/1772 (dostupné zde). 

Finanční subjekty podle čl. 2 nařízení DORA (dostupné zde) mohou ČNB dobrovolně oznamovat významné kybernetické hrozby, pokud se domnívají, že hrozba je relevantní pro finanční systém, uživatele služeb nebo klienty.  

Vykazování do SDAT

Podmínky pro oznámení kybernetické hrozby jsou zejména následující:

• Registrace v SDAT. V případě, že vykazující subjekt není registrován v systému SDAT, je třeba provést registraci dle pokynů níže (viz část Další informace k SDAT). Bez registrace do systému SDAT nebude možné zaslat požadované výkazy do ČNB.
• Přístup k vykazovacímu rámci: Digital Operational Resilience Act (Nařízení o digitální provozní odolnosti) s platností od 1. 1. 2027.
• Přístup k výkazu DORAEU02 „Oznámení významných kybernetických hrozeb“.

Zastupování

Finanční subjekty mohou zadat zajištění oznámení významné kybernetické hrozby poskytovateli služeb z řad třetích stran. V případě takového externího zadání nese i nadále plnou odpovědnost za oznámení finanční subjekt. 
V případě, že se vykazující osoba, rozhodne provádění reportingu delegovat na jinou osobu (právnická, podnikající fyzická osoba), je možno využít tzv. zastupování. Zastupování nastavuje správa systému (ČNB) a požadovanou změnu je nutné komunikovat formou žádosti zaslanou na adresu sdat@cnb.cz. Bližší popis a žádost je dostupná v dokumentaci zde.

Lhůta a obsah oznámení

V nařízení DORA není stanovena lhůta pro oznámení významné kybernetické hrozby. 

Obsah oznámení významné kybernetické hrozby je stanoven v nařízení 2025/301 (dostupné zde) a prováděcím nařízení 2025/302 (dostupné zde). Finanční subjekty zajistí, aby informace byly úplné a přesné.

Finanční subjekty se při vyplňování řídí datovým glosářem a pokyny v příloze II. prováděcího nařízení 2025/302 (dostupné zde) a aktuálním zněním validačních pravidel zveřejněných na webových stránkách ČNB, věnovaných výkaznictví ČNB podle nařízení DORA (dostupné zde). 

Způsoby a formáty vykazování do SDAT

K předání oznámení významné kybernetické hrozbě lze využít některý z těchto způsobů: 

• Vyplněním dat ve webové aplikaci SDAT do formuláře. 
• Nahráním json souboru dle specifikace ESMA ve webové aplikaci SDAT.
• Předáním json souboru prostřednictvím webových služeb.
• Nahráním SDAT-XML ve webové aplikaci SDAT.
• Zasláním standardního SDAT-XML souboru prostřednictvím webových služeb

V případě volby „Vyplněním dat ve webové aplikaci SDAT do formuláře“, vyplní pověřený zaměstnanec finančního subjektu požadované informace do datové oblasti DOR02_11 - Významné kybernetické hrozby. 

V případě volby „Nahráním json souboru dle specifikace ESMA ve webové aplikaci SDAT“ a/nebo „Předáním json souboru prostřednictvím webových služeb“ importuje pověřený zaměstnanec finančního subjektu soubor ve formátu JSON. Soubor obsahuje informace v předepsaném rozsahu a struktuře.

Strukturu JSON souboru stanovuje a aktualizuje ESMA. Aktuální verze je v souboru „DORA_CYB_Schema_v1.2.json“ a je dostupná zde.

Kontroly

Při předání a zpracování hlášení je provedena řada kontrol. Jedná se zejména o tyto kontroly:

• Automatické jedno-výkazové kontroly v SDAT.
• Automatické kontroly v DORA IR Tool v ESMA.
• Manuální kontroly věcného obsahu v ČNB.

Při vkládání informací jsou v SDAT prováděny formátové a jedno-výkazové kontroly. V případě výskytu formátové nebo jedno-výkazové kontroly označené jako „závažná“, není povoleno odeslání oznámení. Tyto kontroly ověřují, že byly vyplněny všechna povinná pole podle prováděcího nařízení 2025/302 (dostupné zde).  

V případě výskytu výkazové kontroly označené jako „varování“, je odeslání možné. Příslušná kontrola upozorňuje na podmínečné vyplnění daného pole. 

Generování výskytu výkazu 

Pokud finanční subjekt danou hrozbu klasifikoval jako významnou a rozhodl o jejím oznámení, vytvoří výskyt tohoto výkazu v SDAT samostatně. 

V případě doplnění nebo opravy informací do stávajícího výskytu, provede finanční subjekt zasláním dalšího vydání k výskytu, ve kterém doplní/opraví údaje z předchozího zaslaného vydání.

Postupy související s vytvoření výkazu a další práce s výkazy jsou k dispozici v dokumentaci kap. 3 Vykazování.