DORA se primjenjuje od 17. siječnja 2025. Financijski subjekt zato više ne izrađuje samo plan spremnosti: mora moći pokazati da okvir upravljanja IKT rizikom stvarno radi, da su incidenti klasificirani i prijavljeni na vrijeme te da ugovori i registar pružatelja IKT usluga odgovaraju stvarnom stanju.
Ovaj vodič prikazuje stanje na 8. kolovoza 2026. DORA je izravno primjenjiva, a hrvatski provedbeni zakon raspoređuje nadležnosti i uređuje nadzor, mjere i prekršaje.
Na koga se DORA primjenjuje
DORA obuhvaća širok krug financijskih subjekata, među ostalim kreditne i platne institucije, institucije za elektronički novac, investicijska društva, pružatelje usluga povezanih s kriptoimovinom, središnje druge ugovorne strane, mjesta trgovanja, upravitelje fondova, osiguratelje i određene posrednike te institucije za strukovno mirovinsko osiguranje.
Opseg se ne određuje samo prema nazivu društva. Potrebno je provjeriti:
- pravnu kategoriju i odobrenje za rad;
- sektorska izuzeća i pragove;
- primjenjuje li se pojednostavnjeni okvir;
- uloge unutar grupe; i
- koji je hrvatski nadležni regulator.
Hrvatski zakon određuje HNB ili HANFA-u kao nadležno tijelo ovisno o vrsti subjekta. Iznimno, za hrvatske kreditne institucije razvrstane kao značajne prema Uredbi (EU) br. 1024/2013 nadležno je tijelo Europska središnja banka (ESB). Hrvatska je iskoristila i dopuštena izuzeća za Hrvatsku banku za obnovu i razvitak te kreditne unije. Dobavljač tehnologije koji radi za banku nije samo zbog tog ugovora automatski financijski subjekt, ali ugovorno mora omogućiti banci ispunjavanje DORA obveza.
Pet operativnih područja
1. Upravljanje IKT rizikom
Upravljačko tijelo snosi krajnju odgovornost za IKT rizik. Ono odobrava okvir, strategiju digitalne operativne otpornosti, apetit za rizik, kontinuitet poslovanja, planove odgovora i oporavka, politiku uporabe pružatelja usluga te proračun i osposobljavanje.
Okvir treba povezati cijeli životni ciklus:
- identificiranje poslovnih funkcija, imovine, podataka, ovisnosti i prijetnji;
- zaštitu i prevenciju;
- otkrivanje anomalija i incidenata;
- odgovor, kontinuitet, sigurnosne kopije i oporavak;
- učenje iz incidenata i testova; te
- komunikaciju s nadležnim tijelom, klijentima i drugim dionicima kada je potrebna.
Dokaz nije samo pravilnik. Nadzoru su važni zapisnici uprave, ažuran inventar, procjene rizika, konfiguracije kontrola, rezultati vježbi, zapisnici incidenata i praćenje korektivnih mjera.
2. Upravljanje i prijava IKT incidenata
Subjekt mora evidentirati sve IKT incidente i značajne kibernetičke prijetnje, klasificirati ih prema propisanim kriterijima te prijaviti veliki IKT incident nadležnom tijelu. Rokovi iz Delegirane uredbe (EU) 2025/301 su:
- početna obavijest što je prije moguće, najkasnije četiri sata od klasifikacije incidenta kao velikog i najkasnije 24 sata od saznanja za incident;
- ako je klasifikacija provedena nakon isteka prvih 24 sata, početna obavijest najkasnije četiri sata od klasifikacije;
- međuizvješće najkasnije 72 sata nakon početne obavijesti, uz ažuriranja kada se stanje bitno promijeni; i
- završno izvješće najkasnije mjesec dana nakon međuizvješća ili posljednjeg ažuriranog međuizvješća.
Standardizirani sadržaj, obrasci i postupci uređeni su Provedbenom uredbom (EU) 2025/302. Rok se ne smije oslanjati na jednu osobu: operativni tim, pravna funkcija i regulatorno izvještavanje trebaju imati zajedničku eskalacijsku matricu i zamjene.
DORA klasifikacija ne uklanja moguće paralelne obveze prema GDPR-u, NIS2 okviru, pravilima platnih usluga ili ugovorima. Svaki režim ima vlastiti test i rok.
3. Testiranje digitalne operativne otpornosti
Program testiranja mora biti razmjeran profilu rizika i pokrivati sustave koji podupiru kritične ili važne funkcije. Može uključivati procjene ranjivosti, skeniranje, analize otvorenog koda, mrežne procjene, fizičke preglede, testove scenarija, kompatibilnosti, performansi, end-to-end testove i penetracijsko testiranje.
Napredno testiranje vođeno prijetnjama, odnosno TLPT, nije godišnja obveza svakog subjekta. Primjenjuje se na subjekte koje identificira nadležno tijelo prema kriterijima DORA-e i regulatornim tehničkim standardima, u pravilu najmanje svake tri godine, osim ako regulator prilagodi učestalost.
Svaki test treba završiti evidentiranim nalazom, vlasnikom, prioritetom, rokom i dokazom zatvaranja. Test bez popravka ne pokazuje otpornost.
4. Rizik pružatelja IKT usluga
Odgovornost financijskog subjekta ne prelazi na cloud, SaaS ili drugog dobavljača. Prije ugovaranja treba procijeniti podržava li usluga kritičnu ili važnu funkciju, koncentracijski rizik, lokacije obrade, mogućnost revizije, podugovaratelje, kontinuitet i izlaz.
Ugovori za IKT usluge trebaju sadržavati primjenjive elemente iz članka 30., uključujući jasan opis usluge, lokacije, dostupnost i povrat podataka, pomoć kod incidenta, suradnju s regulatorom, prava pristupa, inspekcije i revizije te raskid i izlaz. Za kritične ili važne funkcije zahtjevi su opsežniji.
Registar informacija mora obuhvatiti ugovorne odnose na pojedinačnoj, podkonsolidiranoj i konsolidiranoj razini, ovisno o strukturi. Predlošci su standardizirani Provedbenom uredbom (EU) 2024/2956. To nije samo popis dobavljača: podaci trebaju biti povezani s pravnim subjektima, ugovorima, funkcijama i lancem podugovaranja.
Europska nadzorna tijela u studenome 2025. prvi su put označila kritične pružatelje IKT usluga trećih strana. Ta oznaka uspostavlja nadzor na razini EU-a; ne smanjuje ugovornu i nadzornu odgovornost financijskog subjekta.
5. Dobrovoljna razmjena informacija
Financijski subjekti mogu razmjenjivati informacije o kibernetičkim prijetnjama unutar pouzdanih zajednica ako je cilj povećati otpornost, uz zaštitu poslovnih podataka, osobnih podataka, povjerljivosti i tržišnog natjecanja. Takav aranžman treba imati pravila članstva, uporabe, čuvanja i izlaska.
Što uprava treba vidjeti u DORA nadzornoj ploči
Korisna nadzorna ploča ne mjeri samo broj incidenata. Trebala bi pokazati:
- kritične i važne funkcije bez potvrđenog oporavka;
- otvorene ranjivosti i korektivne mjere iznad roka;
- ostvarena vremena oporavka u odnosu na ciljeve;
- incidente prema klasifikaciji i vrijeme do odluke o prijavi;
- ugovore bez obveznih DORA klauzula;
- koncentracije prema pružatelju, usluzi i lokaciji;
- nepotpune stavke registra informacija; te
- stanje izlaznih planova za ključne usluge.
Uprava treba dobiti i kvalitativno objašnjenje rezidualnog rizika. Zeleni pokazatelj nije dovoljan ako se temelji na nepotpunom inventaru.
Praktičan plan provjere usklađenosti
Prvih 30 dana: opseg i dokazna mapa
- potvrdite obuhvaćene pravne osobe i regulatora;
- mapirajte kritične i važne funkcije na sustave i dobavljače;
- usporedite postojeće politike s DORA zahtjevima;
- provjerite uloge uprave i zapisnike osposobljavanja; i
- odredite vlasnike dokaza.
Sljedećih 30 dana: incidenti, ugovori i registar
- provedite stolnu vježbu velikog incidenta s regulatornim rokovima;
- provjerite klasifikaciju i standardne obrasce;
- uskladite registar informacija s ugovorima i računovodstvenim popisom;
- rangirajte ugovorne praznine prema kritičnosti; i
- provjerite podugovaratelje, lokacije i izlazne ovisnosti.
Nakon toga: testiranje i održavanje
- uspostavite godišnji program testiranja temeljen na riziku;
- zatvarajte nalaze uz neovisan dokaz;
- testirajte sigurnosne kopije i povrat usluge;
- ažurirajte registar pri svakoj ugovornoj promjeni; i
- izvještavajte upravu o riziku, iznimkama i prihvaćenim odgodama.
Nadzor i mjere u Hrvatskoj
HNB i HANFA nadziru subjekte iz svojih sektora prema DORA-i i hrvatskom provedbenom zakonu. Mogu tražiti informacije i dokumentaciju, provoditi nadzorne aktivnosti te izricati mjere i sankcije unutar svojih ovlasti. Posljedica ovisi o povredi, vrsti subjekta i primjenjivoj odredbi, pa jedan univerzalni iznos kazne nije pouzdan opis rizika.
Najbolja obrana nije opća izjava o usklađenosti, nego sljediv paket dokaza koji povezuje zahtjev, kontrolu, vlasnika, test, nalaz i korektivnu mjeru.
Česta pitanja
Mora li svaki incident biti prijavljen regulatoru?
Ne. Sve incidente treba upravljati i evidentirati, ali obvezna DORA prijava odnosi se na incidente klasificirane kao velike prema propisanim kriterijima.
Je li rok uvijek 24 sata?
Ne. Početna obavijest ima kombinirani rok: što prije, najkasnije četiri sata od klasifikacije kao velikog incidenta i najkasnije 24 sata od saznanja. Slijede međuizvješće i završno izvješće u vlastitim rokovima.
Mora li svaki subjekt provoditi TLPT?
Ne. Napredno testiranje vođeno prijetnjama provode subjekti koje identificira nadležno tijelo prema propisanim kriterijima.
Prenosi li outsourcing odgovornost na dobavljača?
Ne. Dobavljač mora ugovorno i operativno poduprijeti kontrolu, ali financijski subjekt ostaje odgovoran za DORA usklađenost.
Sljedeći korak
Za pregled opsega, evidencije incidenata, registra dobavljača i ugovornih praznina pogledajte našu uslugu financijske usklađenosti. Pregled se prilagođava sektoru, nadležnom tijelu i kritičnosti usluga.
Izvori i pregled
Pregledano 8. kolovoza 2026. prema sljedećim primarnim i službenim izvorima:
- Uredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti
- Delegirana uredba (EU) 2025/301 o rokovima i sadržaju prijava incidenata
- Provedbena uredba (EU) 2025/302 o obrascima i postupcima za prijavu incidenata
- Provedbena uredba (EU) 2024/2956 o registru informacija
- Zakon o provedbi Uredbe (EU) 2022/2554, NN 136/2024
- HANFA — digitalna operativna otpornost
- Europska nadzorna tijela — prvi kritični pružatelji IKT usluga
Ovaj vodič daje opće informacije prema stanju na datum pregleda i nije pravno mišljenje ni zamjena za sektorsku procjenu regulatornih obveza.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.