NIS2 i DORA: razlike i preklapanja za financijski sektor

Sadržaj vodiča

Ukratko
Što uređuje DORA
Tko je u opsegu DORA-e u Hrvatskoj
Kako djeluje lex specialis
Gdje analiza najčešće griješi
Uprava i odgovornost
Prijava incidenata: usporedba
Testiranje i TLPT
IKT treće strane i ugovori
Jedan program za oba okvira
Česta pitanja
Sljedeći korak
Izvori i pregled

Za financijski subjekt obuhvaćen DORA-om u područjima IKT rizika, prijave incidenata, testiranja i IKT dobavljača primjenjuje se DORA umjesto odgovarajućih pravila NIS2 i hrvatskog Zakona o kibernetičkoj sigurnosti. DORA je sektorski propis u smislu čl. 4. Direktive NIS2 (čl. 1. st. 2. DORA-e), a Zakon to prenosi u čl. 8. To nije opće izuzeće cijele financijske grupe, svakog dobavljača ni svih drugih obveza.

Prvi korak zato nije usporedba kontrolnih lista, nego analiza pravne osobe, licence, usluge i nadzornog tijela. Stanje je na 5. studenoga 2026.

Ukratko

DORA (Uredba (EU) 2022/2554) izravno se primjenjuje od 17. siječnja 2025. na banke, platne institucije, investicijska društva, osiguratelje, društva za upravljanje fondovima, pružatelje usluga kriptoimovine i druge financijske subjekte.
Lex specialis: gdje DORA uređuje ista pitanja barem jednako strogo, NIS2 pravila o mjerama, prijavi i nadzoru ne primjenjuju se paralelno.
Nadzor u Hrvatskoj: HANFA i HNB, prema vrsti subjekta. Značajni IKT incident prijavljuje se i CSIRT-u, putem platforme PiXi (čl. 14. i 15. Zakona o provedbi DORA-e).
Rokovi DORA-e: početna obavijest u 4 sata od klasifikacije incidenta kao značajnog, a najkasnije 24 sata od otkrivanja; prijelazno izvješće u 72 sata; završno u mjesec dana.
Izuzeće: u Hrvatskoj se DORA ne primjenjuje na kreditne unije i HBOR (čl. 6. Zakona o provedbi).
Uprava: član upravljačkog tijela može se kazniti do 15.000 eura ako ne odobri ili ne nadzire okvir za upravljanje IKT rizikom.
Kritični IKT pružatelji: europska nadzorna tijela objavila su 18. studenoga 2025. prvi popis od 19 kritičnih trećih strana pružatelja IKT usluga, koje izravno nadziru.

Što uređuje DORA

DORA uspostavlja jedinstvene zahtjeve digitalne operativne otpornosti financijskog sektora u pet područja (čl. 1.):

upravljanje IKT rizikom;
prijava značajnih IKT incidenata i dobrovoljna prijava ozbiljnih kibernetičkih prijetnji;
testiranje digitalne operativne otpornosti;
upravljanje rizikom IKT trećih strana, uključujući ugovore;
razmjena informacija o kibernetičkim prijetnjama.

DORA ide dalje od općeg kibernetičkog okvira: uređuje odgovornost upravljačkog tijela, registar ugovora s IKT dobavljačima, obvezne ugovorne odredbe, izlazne strategije, napredno testiranje i europski nadzor kritičnih pružatelja. Šire o DORA-i piše vodič DORA uredba.

Tko je u opsegu DORA-e u Hrvatskoj

Nadzorno tijelo	Subjekti (čl. 8. Zakona o provedbi)
HANFA	Investicijska društva, pružatelji usluga kriptoimovine, središnji depozitorij, središnja druga ugovorna strana, operateri uređenog tržišta, društva za upravljanje fondovima, društva za osiguranje i reosiguranje, posrednici u osiguranju (osim izuzetih malih), mirovinska društva, pružatelji usluga skupnog financiranja i drugi
HNB	Kreditne institucije, osim značajnih banaka za koje je nadležna Europska središnja banka, te drugi subjekti iz čl. 8. st. 3.

Naziv „fintech” nije pravna kategorija. Ista tvrtka ili grupa može imati:

regulirani financijski subjekt izravno obuhvaćen DORA-om;
IKT pružatelja koji ugovorno služi financijskom subjektu;
subjekt obuhvaćen Zakonom o kibernetičkoj sigurnosti, primjerice kao pružatelj usluga u oblaku;
kombinaciju u različitim pravnim osobama.

Kako djeluje lex specialis

Članak 4. Direktive NIS2 određuje da se njezine odredbe o mjerama, prijavi incidenata i nadzoru ne primjenjuju na subjekte na koje se primjenjuje sektorski akt Unije s barem jednakovrijednim zahtjevima. DORA se izričito smatra takvim aktom (čl. 1. st. 2.). Zakon o kibernetičkoj sigurnosti to prenosi u čl. 8.: na subjekte se primjenjuju odredbe posebnog zakona kada su zahtjevi po učinku barem jednakovrijedni, uključujući nadzor.

Područje	Što vrijedi za financijski subjekt u opsegu DORA-e
Upravljanje IKT rizikom	DORA i njezini tehnički standardi
Značajni IKT incidenti	DORA klasifikacija, obrasci i rokovi; prijava HANFA-i ili HNB-u i CSIRT-u kroz PiXi
Testiranje	DORA program testiranja i TLPT za odabrane subjekte
IKT treće strane	DORA ugovorni okvir, registar informacija, nadzor kritičnih pružatelja
Nadzor i sankcije u tim područjima	HANFA ili HNB prema Zakonu o provedbi

NIS2 time ne nestaje iz okruženja. Pravila o nacionalnoj strategiji, CSIRT-ovima i kriznom upravljanju ostaju, a druga pravna osoba iz grupe ili dobavljač može zasebno biti ključni ili važni subjekt.

Gdje analiza najčešće griješi

Grupa se promatra kao jedan subjekt. Banka, društvo za upravljanje fondovima i zajednička IT tvrtka u istoj grupi mogu imati različite statuse. Zajedničke kontrole ne znače zajedničku pravnu odgovornost.

Dobavljač se proglašava financijskim subjektom. Ugovor s bankom čini softversku ili cloud tvrtku trećom stranom pružateljem IKT usluga, ali ne financijskim subjektom ni kritičnim pružateljem. Taj dobavljač istodobno može biti NIS2 obveznik, primjerice kao pružatelj upravljanih usluga ili usluga u oblaku.

NIS2 rokovi kopiraju se u DORA postupak. Slijed 24 sata, 72 sata i 30 dana iz Zakona o kibernetičkoj sigurnosti nije DORA raspored. DORA ima vlastitu klasifikaciju i rokove, opisane u nastavku.

ISO certifikat smatra se dokazom usklađenosti. ISO 27001 može poduprijeti zajedničke procese, ali ne zamjenjuje DORA registre, ugovorne elemente, prijave ni testiranje.

Uprava i odgovornost

DORA traži da upravljačko tijelo utvrdi, odobri, nadzire i odgovara za okvir upravljanja IKT rizikom, uključujući toleranciju rizika, kontinuitet, proračun, politiku IKT trećih strana i vlastito znanje (čl. 5.). Zakon o provedbi propisuje prekršajnu kaznu do 15.000 eura za člana upravljačkog tijela koji, među ostalim, ne utvrdi, ne odobri ili ne nadzire te aranžmane ili ne održava potrebno znanje.

Za usporedbu, Zakon o kibernetičkoj sigurnosti za članove uprave NIS2 subjekata propisuje vlastite prekršaje, opisane u vodiču NIS2 kazne i osobna odgovornost uprave.

Dokazi upravljanja:

odluke i zapisnici upravljačkog tijela;
odobren okvir i tolerancija IKT rizika;
redovita izvješća o rizicima i incidentima;
odluke o kritičnim dobavljačima i koncentracijskom riziku;
rezultati testova i zatvaranje nalaza;
potvrde o osposobljavanju članova uprave.

Prijava incidenata: usporedba

	DORA (financijski subjekt)	Zakon o kibernetičkoj sigurnosti (NIS2 subjekt)
Što se prijavljuje	Značajan IKT incident prema kriterijima DORA-e	Značajan incident prema čl. 58. do 63. Uredbe
Prva prijava	Početna obavijest u 4 sata od klasifikacije, najkasnije 24 sata od otkrivanja	Rano upozorenje u 24 sata od saznanja
Druga prijava	Prijelazno izvješće u 72 sata od početne obavijesti	Početna obavijest u 72 sata od saznanja
Završna prijava	Mjesec dana od prijelaznog izvješća	30 dana od početne obavijesti
Kome	HANFA ili HNB i CSIRT, putem PiXi	Nadležni CSIRT, putem PiXi
Vikend	Do podneva prvog radnog dana, osim za kreditne institucije, središnje druge ugovorne strane, operatere mjesta trgovanja i subjekte koji su ključni ili važni	Uredba ne predviđa iznimku za vikend

Rokove DORA-e propisuje Delegirana uredba (EU) 2025/301 (čl. 5.). Ako se incident klasificira kao značajan tek nakon 24 sata od otkrivanja, početna obavijest šalje se u 4 sata od klasifikacije.

Operativno je najbolje imati jedan postupak koji rano prikuplja podatke: vrijeme otkrivanja i klasifikacije, pogođene klijente i transakcije, trajanje, geografsku raširenost, gubitak podataka i ekonomski učinak. Pravilo klasifikacije i kanal prijave označuju se prema propisu koji vrijedi. Povreda osobnih podataka uz to se zasebno procjenjuje prema GDPR-u. Opći postupak opisuje vodič Upravljanje kibernetičkim incidentima.

Testiranje i TLPT

Financijski subjekti koji nisu mikropoduzeća imaju program testiranja temeljen na riziku i najmanje jednom godišnje testiraju sve IKT sustave i aplikacije koji podupiru ključne ili važne funkcije (čl. 24.).
Testove provode neovisne unutarnje ili vanjske strane, bez sukoba interesa.
Mikropoduzeća također testiraju, razmjerno svojim resursima i riziku (čl. 25. st. 3.).
Subjekti koje odredi nadležno tijelo provode TLPT, test vođen prijetnjama na produkcijskim sustavima, najmanje svake tri godine (čl. 26.). Detalje uređuje Delegirana uredba (EU) 2025/1190.

Za NIS2 subjekte Uredba o kibernetičkoj sigurnosti traži redovitu provjeru ranjivosti i testiranje prema procjeni rizika (mjera 5.8.). Razlike opisuje vodič Penetracijski test i provjera ranjivosti.

IKT treće strane i ugovori

DORA ne dopušta prijenos odgovornosti na dobavljača. Prije ugovaranja financijski subjekt procjenjuje kritičnost usluge, koncentracijski rizik, podugovaranje, lokaciju podataka, mogućnost nadzora i izvedivost izlaska. Ugovori i registar informacija moraju biti usklađeni. Česte praznine:

različiti nazivi usluge u ugovoru i registru;
nepoznati podugovaratelji i lokacije obrade;
prava revizije koja se ne mogu stvarno koristiti;
neispitani planovi izlaska i prijenosa usluge;
rok obavještavanja dobavljača koji ne ostavlja dovoljno vremena za prijavu u 4 sata.

Kritični pružatelji. Europska nadzorna tijela (EBA, EIOPA, ESMA) 18. studenoga 2025. objavila su prvi popis od 19 kritičnih trećih strana pružatelja IKT usluga, među kojima su veliki pružatelji usluga u oblaku. Te pružatelje izravno nadzire vodeće europsko nadzorno tijelo, a popis se ažurira svake godine. Financijski subjekt i dalje sam upravlja rizikom tog odnosa.

Jedan program za oba okvira

Zajednička jezgra	DORA	Zakon o kibernetičkoj sigurnosti
Popis usluga, sustava i dobavljača	Registar informacija i obvezne ugovorne odredbe	Kategorija, razina mjera i obavijest o kategorizaciji
Procjena rizika i kontrole	DORA okvir upravljanja IKT rizikom	13 mjera iz Priloga II. Uredbe
Zapisi o incidentima i forenzika	DORA klasifikacija i rokovi	Kriteriji značajnog incidenta i rokovi 24/72/30
Testovi i korektivne radnje	Godišnji testovi i TLPT gdje je naložen	Provjera ranjivosti, revizija ili samoprocjena

Jedna operativna jezgra i zajednički repozitorij dokaza mogu služiti oba okvira bez dupliciranja procesa, ako svaka pravna obveza ima jasno označenog vlasnika i dokaz.

Česta pitanja

Mora li banka provoditi NIS2 i DORA paralelno?

Ne u područjima koja uređuje DORA: IKT rizik, incidenti, testiranje i IKT treće strane. Treba ipak provjeriti druge pravne osobe u grupi, usluge izvan opsega DORA-e i obveze koje se ne preklapaju.

Tko nadzire DORA-u u Hrvatskoj?

HANFA i HNB, prema vrsti subjekta iz čl. 8. Zakona o provedbi Uredbe (EU) 2022/2554. Za značajne banke nadležna je Europska središnja banka.

Kome se prijavljuje značajan IKT incident?

HANFA-i ili HNB-u, prema nadležnosti, i CSIRT-u. Prijava se podnosi putem nacionalne platforme PiXi (čl. 14. i 15. Zakona o provedbi).

Koji su rokovi prijave prema DORA-i?

Početna obavijest u 4 sata od klasifikacije incidenta kao značajnog, a najkasnije 24 sata od otkrivanja. Prijelazno izvješće u 72 sata od početne obavijesti, a završno izvješće najkasnije mjesec dana nakon prijelaznog.

Mora li IKT dobavljač banke prijavljivati incident prema DORA-i?

Regulatorna prijava obveza je financijskog subjekta. Dobavljač mora ispuniti ugovorne obveze obavještavanja prema banci, a može zasebno imati obvezu prijave prema Zakonu o kibernetičkoj sigurnosti ako je ključni ili važni subjekt.

Primjenjuje li se DORA na sve financijske subjekte?

Ne. DORA ima točno određen opseg i izuzeća, a u Hrvatskoj se ne primjenjuje na kreditne unije i HBOR. Za mikropoduzeća i neke manje subjekte vrijede pojednostavljena pravila. Status se provjerava prema licenci i pravnoj kategoriji.

Je li DORA isto što i ISO 27001?

Ne. DORA je obvezujuća uredba za financijske subjekte u opsegu, a ISO 27001 dobrovoljna norma za sustav upravljanja informacijskom sigurnošću. Odnos ISO-a i NIS2 mjera opisuje vodič NIS2 i ISO 27001.

Sljedeći korak

Analizu opsega DORA-e i NIS2 za pravne osobe u grupi, registar informacija, ugovore s IKT dobavljačima i postupak prijave incidenata radimo kroz uslugu financijske usklađenosti. Za subjekte izvan DORA-e obveze iz Zakona pokriva usluga NIS2 usklađenosti.

Izvori i pregled

Pregledano 5. studenoga 2026. prema sljedećim primarnim izvorima:

Vodič ne zamjenjuje sektorske upute HANFA-e i HNB-a ni analizu važećih tehničkih standarda DORA-e za konkretnu pravnu osobu.

POVEZANA USLUGA

NIS2 savjetovanje→

BESPLATNI ALAT

NIS2 provjera primjenjivosti→

O AUTORU

Robert Lozo

Partner · CIPP/E · CIPM · CISM

Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.