Za financijski subjekt obuhvaćen DORA-om odgovor najčešće nije „primijenite DORA-u i NIS2 dvaput“. DORA je sektorski propis koji u području IKT rizika, prijave incidenata, testiranja, trećih strana, nadzora i provedbe zamjenjuje odgovarajuća NIS2 pravila za financijske subjekte u svom opsegu. To je načelo lex specialis, ali nije opće izuzeće cijele financijske grupe, svakog dobavljača ili svih drugih pravnih obveza.
Prvi korak zato nije usporedba kontrolnih lista, nego precizna analiza pravne osobe, licence, usluge i regulatora.
Ključne poruke
- DORA se izravno primjenjuje od 17. siječnja 2025.
- U Hrvatskoj su za provedbu DORA-e nadležni Hrvatska narodna banka i HANFA, prema vrsti subjekta.
- Pokriveni financijski subjekt za preklapajuća područja slijedi DORA klasifikaciju, obrasce i rokove. U Hrvatskoj izvješće dostavlja nadležnom financijskom regulatoru i CSIRT-u putem nacionalne platforme, umjesto da zasebno primjenjuje NIS2 tijek 24/72/30.
- IKT dobavljač banke jest DORA-in pružatelj IKT usluga kao treća strana, ali ugovor ga ne čini financijskim subjektom ni automatski kritičnim pružateljem. Podliježe ugovornim zahtjevima, dubinskoj provjeri i, bude li označen kao kritičan, europskom nadzoru.
- Jedan operativni okvir i zajednički repozitorij dokaza mogu podržati više propisa bez dupliciranja procesa.
Što uređuje DORA
Uredba (EU) 2022/2554 uspostavlja jedinstvene zahtjeve digitalne operativne otpornosti financijskog sektora. Pet povezanih područja su:
- upravljanje IKT rizikom
- upravljanje i prijava značajnih IKT incidenata
- testiranje digitalne operativne otpornosti
- upravljanje rizikom IKT trećih strana
- dobrovoljna razmjena informacija o prijetnjama.
DORA ide dublje od općeg kibernetičkog okvira jer uređuje upravljačku odgovornost, registre ugovornih aranžmana, obvezne ugovorne elemente, izlazne strategije, testiranje i europski nadzor kritičnih IKT pružatelja.
Tko ulazi u opseg DORA-e
Članak 2. DORA-e navodi konkretne kategorije financijskih subjekata, među kojima su kreditne i platne institucije, institucije za elektronički novac, investicijska društva, određeni subjekti povezani s kriptoimovinom, infrastrukture financijskog tržišta, društva za upravljanje, osiguratelji, određeni posrednici, mirovinske institucije, rejting agencije i pružatelji usluga skupnog financiranja.
Isti članak u područje primjene uključuje i treće strane pružatelje IKT usluga, ali ih time ne pretvara u financijske subjekte. Njihove su obveze drukčije: ugovorni zahtjevi djeluju kroz financijskog klijenta, dok se izravan nadzorni okvir iz DORA-e primjenjuje na pružatelja kojeg europska nadzorna tijela označe kritičnim.
Naziv „fintech“ nije samostalna pravna kategorija. Tvrtka može biti:
- regulirani financijski subjekt izravno obuhvaćen DORA-om
- IKT pružatelj koji ugovorno služi financijskom subjektu
- drugi subjekt obuhvaćen hrvatskim Zakonom o kibernetičkoj sigurnosti
- kombinacija u različitim pravnim osobama iste grupe.
Postoje izuzeća i pojednostavnjeni režimi. Hrvatski Zakon o provedbi DORA-e, koristeći mogućnost iz same Uredbe, iz primjene isključuje kreditne unije i Hrvatsku banku za obnovu i razvitak. To ne znači da za njih ne postoje drugi sigurnosni ili sektorski zahtjevi.
Kako djeluje načelo lex specialis
Članak 1. stavak 2. DORA-e određuje da se za financijske subjekte koji bi bili ključni ili važni prema NIS2-u DORA smatra sektorskim aktom Unije u smislu članka 4. NIS2-a.
Smjernice Europske komisije pojašnjavaju posljedicu: na obuhvaćene financijske subjekte primjenjuju se DORA pravila o IKT riziku, incidentima i prijavi, testiranju, razmjeni informacija i IKT trećim stranama, umjesto odgovarajućih NIS2 pravila. Države članice na njih u tim područjima ne bi trebale paralelno primjenjivati NIS2 nadzor i provedbu.
| Tema | Primarni režim za financijski subjekt u opsegu DORA-e |
|---|---|
| Upravljanje IKT rizikom | DORA i pripadajući regulatorni/provedbeni standardi |
| Značajni IKT incidenti | DORA klasifikacija, obrasci i rokovi; u Hrvatskoj nadležni financijski regulator i CSIRT putem nacionalne platforme |
| Testiranje otpornosti | DORA, uključujući napredni TLPT za odabrane subjekte |
| IKT treće strane | DORA ugovorni okvir, registar informacija i nadzor kritičnih pružatelja |
| Nadzor i sankcije u tim područjima | HNB ili HANFA prema hrvatskom provedbenom zakonu |
To ne briše NIS2 iz pravnog okruženja. NIS2 pravila o nacionalnoj strategiji, CSIRT suradnji i upravljanju krizama ostaju dio šireg sustava. Jednako tako, druga pravna osoba iz grupe ili dobavljač može zasebno biti hrvatski ključni ili važni subjekt.
Gdje analiza najčešće pogriješi
Grupa se promatra kao jedan subjekt
DORA i NIS2 polaze od pravno definiranih subjekata i njihovih djelatnosti. Banka, društvo za upravljanje i zajednički IT servis unutar iste grupe mogu imati različite statuse. Zajedničke kontrole ne znače zajedničku pravnu odgovornost.
Dobavljač se proglašava financijskim subjektom ili kritičnim pružateljem
Ugovor s bankom čini softversku ili cloud tvrtku trećom stranom pružateljem IKT usluga u smislu DORA-e, ali je ne pretvara automatski u financijski subjekt niti znači da je označena kao kritični pružatelj. Financijski subjekt mora upravljati tim odnosom prema DORA-i, a europska nadzorna tijela mogu određenog pružatelja označiti kritičnim i uključiti ga u izravan nadzor. Dobavljač istodobno može biti NIS2 obveznik ako ispunjava hrvatske kriterije za, primjerice, cloud, podatkovni centar, upravljane ili upravljane sigurnosne usluge.
NIS2 rokovi kopiraju se u DORA proceduru
Hrvatski NIS2 slijed 24 sata, 72 sata i 30 dana nije univerzalni DORA raspored. DORA incident mora se klasificirati i prijaviti prema važećim DORA regulatornim i provedbenim tehničkim standardima, obrascima te uputama HNB-a ili HANFA-e.
ISO certifikat tretira se kao regulatorna odluka
ISO/IEC 27001 može poduprijeti zajedničke procese, ali ne zamjenjuje DORA registre, ugovorne elemente, izvješćivanje, testiranje ni regulatornu odgovornost.
Upravljanje i odgovornost
DORA od upravljačkog tijela financijskog subjekta traži da definira, odobri, nadzire i bude odgovorno za provedbu aranžmana povezanih s okvirom upravljanja IKT rizikom. Odgovornost uključuje strategiju, toleranciju rizika, kontinuitet, resurse, politiku IKT trećih strana i održavanje znanja.
Hrvatski provedbeni zakon dodatno propisuje prekršajne odredbe. Član upravljačkog tijela može biti kažnjen do 15.000 eura, među ostalim ako ne utvrdi, odobri ili nadzire aranžmane upravljanja IKT rizikom ili ne održava potrebna znanja. To je odvojeno od raspona kazni za samu pravnu osobu.
Praktični dokaz upravljanja uključuje:
- zapisnike i odluke upravljačkog tijela
- odobren okvir i toleranciju IKT rizika
- redovito izvješćivanje o rizicima i incidentima
- odluke o kritičnim dobavljačima i koncentracijskom riziku
- rezultate testova i zatvaranje nalaza
- dokaz osposobljavanja.
Prijava značajnog IKT incidenta
Financijski subjekt treba imati jedan operativni proces koji rano prikuplja podatke, ali pravila klasifikacije i vanjske prijave trebaju biti označena po propisu. Minimalno je potrebno:
- evidentirati vrijeme otkrivanja i klasifikacije
- utvrditi pogođene klijente, transakcije, usluge, trajanje, geografsku raširenost, gubitak podataka i gospodarski učinak
- primijeniti aktualne DORA pragove
- koristiti važeći obrazac i kanal regulatora
- upravljati dopunama izvješća i promjenom klasifikacije
- povezati incident s GDPR-om, PSD pravilima ili drugim režimima ako je primjenjivo.
HNB ili HANFA nadležno je financijsko tijelo prema vrsti subjekta, ali nije jedini primatelj izvješća u hrvatskom postupku. Članci 14. i 15. Zakona o provedbi DORA-e zahtijevaju da financijski subjekt o značajnom IKT incidentu izvijesti i nadležni CSIRT te da izvješćivanje provede putem nacionalne platforme PiXi. To ne uvodi zaseban NIS2 rok 24/72/30, nego hrvatski kanal i krug primatelja za izvješće klasificirano prema DORA-i.
Testiranje i TLPT
Članak 24. DORA-e financijskim subjektima koji nisu mikropoduzeća nalaže uspostavu, održavanje i preispitivanje pouzdanoga i sveobuhvatnog programa testiranja digitalne operativne otpornosti. Za te se subjekte odgovarajući testovi svih IKT sustava i aplikacija koji podupiru kritične ili važne funkcije provode najmanje jednom godišnje.
Izuzeće od programa iz članka 24. ne oslobađa mikropoduzeća testiranja: prema članku 25. stavku 3. ona provode odgovarajuće testove iz članka 25. stavka 1., spajajući pristup temeljen na riziku sa strateškim planiranjem testova te razmjerno svojim resursima, riziku i kritičnosti imovine i usluga. Napredno testiranje vođeno prijetnjama (TLPT) zato nije godišnji obvezni penetracijski test za svakoga.
Nadležno tijelo prema kriterijima DORA-e i tehničkih standarda identificira obveznike TLPT-a među financijskim subjektima koji nisu mikropoduzeća ni subjekti iz članka 16. stavka 1. prvog podstavka. Za obuhvaćene subjekte DORA polazi od najmanje jednog TLPT-a svake tri godine, a nadležno tijelo može prilagoditi učestalost profilu rizika i operativnim okolnostima.
TLPT obuhvaća nekoliko ili sve kritične ili važne funkcije i provodi se na živim produkcijskim sustavima koji ih podupiru, uz strogo upravljanje rizikom, odobrenje opsega, kontrolu pružatelja i sanaciju nalaza. Ne treba ga planirati kao uobičajeni nekontrolirani penetracijski test.
IKT treće strane i ugovori
DORA ne dopušta prijenos odgovornosti na dobavljača. Financijski subjekt ostaje odgovoran i mora prije ugovaranja procijeniti rizik, kritičnost usluge, koncentraciju, mogućnost nadzora, podugovaranje, lokaciju podataka i izvedivost izlaza.
Ugovorna dokumentacija i registar informacija trebaju biti usklađeni. Tipične praznine su:
- različiti nazivi usluge u ugovoru i registru
- nepoznati podugovaratelji
- nejasne lokacije obrade podataka
- prava audita koja se ne mogu praktično koristiti
- neispitani planovi prijenosa i izlaza
- rok prijave dobavljača koji ne ostavlja dovoljno vremena financijskom subjektu.
IKT pružatelj koji je i NIS2 subjekt treba održavati vlastitu usklađenost, ali DORA ugovor nije zamjena za nju.
Kako izgraditi jedan program za oba okvira
Najbolji operativni model je zajednička jezgra s jasno označenim pravnim granama:
| Zajednička jezgra | DORA-specifično | NIS2-specifično |
|---|---|---|
| Inventar usluga, sustava i dobavljača | Registar informacija i obvezni ugovorni elementi | Kategorija, razina mjera i hrvatska obavijest |
| Procjena rizika i kontrola | DORA IKT okvir; izvješćivanje regulatoru i CSIRT-u putem PiXi-ja | Mjere iz hrvatske Uredbe i NIS2 CSIRT prijava |
| Incidentni zapisi i forenzika | DORA klasifikacija i obrasci | Kriteriji značajnog incidenta i 24/72/30 tijek |
| Testovi i korektivne radnje | Program otpornosti i TLPT gdje je naložen | Revizija ili samoprocjena prema kategoriji |
Za analizu opsega, regulatornih tokova i ugovora pogledajte financijsku usklađenost.
Česta pitanja
Mora li banka provoditi NIS2 i DORA kontrole paralelno?
Za područja u kojima je DORA sektorski akt, primjenjuje se DORA umjesto odgovarajućih NIS2 obveza. Ipak treba provjeriti druge pravne osobe grupe, usluge izvan DORA opsega i nepreklapajuće obveze.
Je li svaki osiguravatelj u DORA-i?
Ne treba zaključivati samo iz naziva djelatnosti. DORA sadrži točno definiran opseg, izuzeća i proporcionalne režime; hrvatski provedbeni zakon raspodjeljuje nadzor. Status se provjerava prema licenci i pravnoj kategoriji.
Mora li IKT dobavljač banke prijavljivati incident po DORA-i?
Dobavljač mora ispuniti ugovorne obveze prema financijskom subjektu. Vanjska regulatorna prijava prema DORA-i primarno je obveza financijskog subjekta, osim drugih izravno primjenjivih obveza dobavljača. Dobavljač može zasebno imati NIS2 prijavnu obvezu.
Tko nadzire DORA-u u Hrvatskoj?
Hrvatska narodna banka i HANFA, svaka za subjekte određene Zakonom o provedbi Uredbe (EU) 2022/2554.
Je li DORA isto što i ISO/IEC 27001?
Ne. DORA je obvezujuća uredba za obuhvaćene financijske subjekte; ISO/IEC 27001 dobrovoljna je norma sustava upravljanja, osim kada je ugovorom ili drugim pravilom posebno zahtijevana.
Izvori i pregled
Pregledano 8. kolovoza 2026. Granica između DORA-e i NIS2-a utvrđuje se za konkretnu pravnu osobu, djelatnost i obvezu. Članak ne zamjenjuje sektorsku uputu HNB-a ili HANFA-e niti analizu aktualnih DORA tehničkih standarda.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.