Paralela mezi regulovanou službou dle NIS2 a kritickou funkcí dle DORA

Propojení byznysu, legislativních požadavků a technické reality je jednou z největších výzev pro architekty a manažery bezpečnosti v bankovním sektoru.

Situaci komplikuje fakt, že evropská směrnice NIS2 (v ČR implementovaná novým zákonem o kybernetické bezpečnosti) a nařízení DORA používají odlišnou (a právnicky definovanou) terminologii než zavedené standardy řady ISO 27000, enterprise architektura nebo interní procesní model banky.

Při bližším pohledu však tyto světy tvoří logickou skládačku s rozumnou hierarchií. Klíčem k jejímu pochopení je správné seřazení priorit od vnějšího světa a vnějšího regulatorního pohledu směrem k vnitřním IT technologiím. Stát a sektorový regulátor vymezují, které služby a funkce jsou významné. Organizace pak musí porozumět, které procesy a ICT služby tyto funkce reálně podpírají; a risk management musí umět posoudit, jaké scénáře narušení mohou způsobit materiální dopad.

Definice klíčových pojmů dle nařízení DORA

Na úvod je důležité poznamenat, že DORA a NIS2/ZKB nejsou pro finanční entity dvě zcela rovnocenné paralelní regulace. DORA je ve vztahu k finančním entitám určeným jako základní (essential) nebo důležité (important) entity podle NIS2 považována za odvětvový právní akt (lex specialis). V oblastech, kde DORA stanoví alespoň ekvivalentní povinnosti, mají požadavky DORA přednost před obecnými povinnostmi NIS2/ZKB.

Aby banka (z pohledu ZKB úvěrová instituce) mohla prokázat shodu s DORA (pro regulovanou službu „činnosti úvěrové instituce“), musí přesně pracovat se dvěma legislativními pojmy definovanými v článku 3 nařízení (EU) 2022/2554:

Kritická nebo významná funkce (CIF)

V článku 3 odst. 22 je CIF (Critical or Important Function) definována jako:

„funkce, jejíž přerušení, vadné plnění nebo selhání by zásadně narušilo trvalé plnění podmínek a povinností vyplývajících z povolení finanční entity nebo jejích jiných povinností podle použitelných právních předpisů v oblasti finančních služeb, nebo její finanční výkonnost anebo solidnost či kontinuitu jejích služeb a činností;“

Z pohledu banky: CIF není konkrétní IT systém, ale ucelená byznysová, prvozní nebo kontrolní schopnost/funkce/činnost banky (např. vedení účtů a správa zůstatků, platební styk, platební karty a bankomaty, vklady a depozita, poskytování a správa úvěrů, digitální kanály a klientský self-service, AML, řízení rizik či výkon vnitřního auditu).

Výpadek této funkce může materiálně ohrozit schopnost plnit licenční a regulatorní povinnosti a nepřímo tak ohrožuje samotnou bankovní licenci.

Služby ICT (někdy interně označované jako critical IT services – CIS)

V článku 3 odst. 21 je pojem ICT Services definován jako:

„digitální a datové služby poskytované prostřednictvím systémů ICT jednomu nebo více interním nebo externím uživatelům na nepřetržitém základě, včetně poskytování dat, zadávání dat, ukládání dat, zpracování dat a služeb reportingu, monitorování dat, jakož i byznysových služeb a služeb podpory rozhodování založených na datech;“

Recitály nařízení navíc doplňují, že tato definice musí být chápána velmi široce. Zahrnuje cloudové služby, softwarové aplikace (SaaS), datové služby, reporting, podporu rozhodování, datová centra, síťovou infrastrukturu, vývoj na zakázku i technickou podporu a helpdesk a aktualizace hardwaru poskytované třetími stranami.

Hierarchický rozpad: Od regulované služby k aktivům

Pokud propojíme pohled oborového bankovního regulátora (s DORA jako lex specialis) a pohled státu (s NIS2 jako plošnou regulací), a pohled řízení rizik podle standardu ISO/IEC 27005, vznikne pomyslná mapa s hierarchickou strukturou shora dolů a řadou many-to-many vazeb mezi jednotlivými patry:

Regulovaná služba (NIS2) -> (Více povinností vyplývajících z povolení) -> Více CIFů (typicky Primárních aktiv)-> Více ICT služeb (typicky Podpůrných aktiv)

Úroveň 1: Regulovaná služba (NIS2 / ZoKB)

Pohled vnějšího světa a státu. Jde o makro-službu, kterou banka poskytuje trhu (na základě povolení) a jejíž plošný výpadek by ochromil ekonomiku země.

• Příklad: Činnosti úvěrové instituce zahrnující mimo jiné i vedení účtů a správu zůstatků a platební styk.

Úroveň 2: CIF = Primární aktiva (DORA / ISO 27005)

Aby banka mohla tuto velkou regulovanou službu zajistit, rozpadá se uvnitř instituce na více samostatných CIFů.

• Příklady: Poskytování tuzemského/zahraničního platebního styku, vedení účtů a správa zůstatků fyzických/právnických osob.

Z pohledu metodiky řízení rizik ISO 27005 odpovídají tyto CIFy kategorii Primárních aktiv (funkcí a procesů). Jsou to činnosti, které nesou hlavní byznysovou hodnotu, a u kterých se provádí analýza dopadů (BIA).

• Příklady procesů pod jednotlivými funkcemi: Zúčtování okamžitých plateb (Poskytování tuzemských platebních služeb), Autorizace karetních transakcí (ATM), Screening osob a transakcí (AML/KYC/sankční screening a fraud monitoring) a Vyhodnocení vnitřního auditu (Výkon vnitřního auditu). Výpadek kteréhokoliv z těchto dílčích procesů ochromí celou regulovanou službu nad nimi.
• Procesy bychom měli modelovat a evidovat jako (non-IT) podpůrná aktiva

Úroveň 3: ICT služby = ICT podpůrná aktiva (DORA / ISO 27005 / ITIL)

Aby tyto procesy (součásti CIFů) mohly reálně běžet, jsou stoprocentně závislé na technologickém zázemí – na ICT službách ICT (velmi často průřezových typu MFA, IAM, DWH, SIEM a spojených se značným koncentrovaným rizikem).
V terminologii ISO 27005 se jedná o Podpůrná aktiva (Supporting Assets). Samy o sobě byznys netvoří, ale bez nich primární aktiva zkolabují.

• Příklady pro CIF komponentu (proces) „Zúčtování okamžitých plateb“: Core banking systém, šifrovací HSM moduly, VPN zabezpečené komunikační kanály do zúčtovacího centra ČNB a cloudová infrastruktura (např. AWS/Azure).

Praktický příklad v bankovní praxi

Následující tabulka ilustruje, jak se celý řetězec vazeb propisuje od legislativních požadavků až po technické testování konkrétního IT prvku:

Jak se na tomto příkladu provádí roční testování?

Podle článku 24 nařízení DORA se (obdobně jako dle NIS2 a platné Vyhlášky ke kybernetickému zákonu) provádí roční technické testování na úrovni podpůrného aktiva (ICT služby):

1. Skenování zranitelností: Spustí se automatizované testy na servery a API rozhraní AML softwaru (hledání neaktualizovaných komponent).
2. Revize přístupů do aplikace: Ověří se, zda do databáze AML alertů nemají přístup neoprávněné osoby (v souladu s principem Need-to-Know dle ISO 27001).
3. Test obnovy (SLA): Nasimuluje se výpadek této CIS a měří se, zda je IT schopno systém obnovit ze zálohy v limitech RTO/RPO, které vyžaduje byznysová CIF.

A co na to říká CRQ komunita?

Praxe bývá bohužel složitější a namísto jednoduché stromové hierarchie nám vyjde propletený graf závislostí, kdy jedna ICT služba může podporovat více CIF a jeden CIF závisí na více ICT službách. Jeden externí SaaS dodavatel, cloudová platforma nebo IAM služba může být koncentračním bodem rizik pro více kritických funkcí. Toto mapování ale není samo-účelné, je to klíčový vstup do kvantifikace jednotlivých scénářů rizik a jejich parametrů: frekvence narušení, doba nedostupnosti, finanční dopad, ztrátová distribuce, koncentrace rizika u dodavatele a ekonomická efektivita opatření. Řízení rizika začíná právě tam, kde pro každý CIF tyto scénáře popíšeme a vyhodnotíme.

Regulace říká, co musí být chráněno, evidováno a testováno. Kvantitativní řízení rizik (CRQ) se řeší, jak často může dojít k selhání, jak velký může být dopad, jak široká je nejistota a která opatření dávají ekonomický smysl.

CIFy určují, které byznysové nebo kontrolní funkce jsou náchylné na materiální narušení. ICT služby ukazují, přes jakou technologickou, datovou a dodavatelskou vrstvu a jakým scénářem se může narušení projevit. CRQ model k tomu přidává pravděpodobnost, dobu trvání, dopady, nejistotu a ekonomiku opatření. A samozřejmě i robustní model pro podporu rozhodování.

LITERATURA

EVROPSKÁ UNIE. Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011. Online. Úřední věstník Evropské unie. 2022, L 333, s. 1-79. [cit. 2026-07-07]. Dostupné z: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng

EVROPSKÁ UNIE. Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii, o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148. Online. Úřední věstník Evropské unie. 2022, L 333, s. 80-152. [cit. 2026-07-07]. Dostupné z: https://eur-lex.europa.eu/eli/dir/2022/2555

EVROPSKÁ KOMISE. Commission Guidelines on the application of Article 4 (1) and (2) of Directive (EU) 2022/2555 (NIS 2 Directive). Online. Shaping Europe’s digital future. 14. září 2023. [cit. 2026-07-07]. Dostupné z: https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

NÁRODNÍ ÚŘAD PRO KYBERNETICKOU A INFORMAČNÍ BEZPEČNOST. ČNB a NÚKIB sjednocují výklad pravidel pro finanční instituce. Online. 24. června 2026. [cit. 2026-07-07]. Dostupné z: https://nukib.gov.cz/cs/infoservis/aktuality/2434-cnb-a-nukib-sjednocuji-vyklad-pravidel-pro-financni-instituce/

ČESKO. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Online. In: Zákony pro lidi. [cit. 2026-07-07]. Dostupné z: https://www.zakonyprolidi.cz/cs/2025-264

ČESKO. Vyhláška č. 408/2025 Sb., o regulovaných službách. Online. In: Zákony pro lidi. [cit. 2026-07-07]. Dostupné z: https://www.zakonyprolidi.cz/cs/2025-408

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!