DORA savjetovanje i usklađenost.

Na 20 vrsta financijskih subjekata iz članka 2.: banke, institucije za platni promet i elektronički novac, investicijska društva, pružatelje usluga kriptoimovine, društva za osiguranje i reosiguranje, mirovinska društva, društva za upravljanje fondovima, središnji depozitorij, operatera uređenog tržišta i druge. U Hrvatskoj su izuzeti kreditne unije i HBOR. Izuzeti su i posrednici u osiguranju koji su mikro, mala ili srednja poduzeća.

Od 17. siječnja 2025. Istog je dana na snagu stupio Zakon o provedbi Uredbe (EU) 2022/2554 (NN 136/2024). Društva za upravljanje obveznim mirovinskim fondovima morala su se uskladiti do 1. siječnja 2026.

HNB nadzire banke, institucije za platni promet i elektronički novac, pružatelje usluge informiranja o računu i izdavatelje tokena vezanih uz imovinu. HANFA nadzire investicijska društva, osiguranje, fondove, mirovinska društva, pružatelje usluga kriptoimovine i ostale subjekte tržišta kapitala. Značajne banke nadzire Europska središnja banka. Protiv rješenja nije dopuštena žalba, ali se može pokrenuti upravni spor.

Početna obavijest šalje se u roku od četiri sata od klasifikacije incidenta kao značajnog, a najkasnije 24 sata od otkrivanja. Prijelazno izvješće slijedi u 72 sata, a završno u mjesec dana od posljednjeg prijelaznog izvješća. Izvješća se šalju putem platforme PiXi HNB-u ili HANFA-i i nadležnom CSIRT-u. Izvješćivanje možete povjeriti vanjskom pružatelju, ali odgovornost ostaje vaša.

Ako rok padne na vikend ili neradni dan, izvješće se može dostaviti do podneva prvog sljedećeg radnog dana. Iznimka su početne obavijesti i prijelazna izvješća banaka, središnjih drugih ugovornih strana, operatera mjesta trgovanja i subjekata koji su ključni ili važni prema Direktivi NIS2.

Popis svih ugovora o upotrebi IKT usluga s trećim stranama, na razini subjekta i grupe. Ugovori za ključne ili važne funkcije u njemu se posebno označavaju. Obrasce propisuje Provedbena uredba (EU) 2024/2956. Nadležno tijelo može zatražiti cijeli registar, a o novim ugovorima izvješćuje se najmanje jednom godišnje.

Opis usluga i dopušta li se podugovaranje, lokacije pružanja usluga i obrade podataka, odredbe o zaštiti podataka, razine usluga, pomoć kod incidenata, suradnju s nadležnim tijelima i prava raskida. Za ključne ili važne funkcije još i planove za nepredvidive situacije, sudjelovanje u TLPT-u, neograničeno pravo na pristup i reviziju te izlaznu strategiju s prijelaznim razdobljem (članak 30.).

Samo ako vas odredi nadležno tijelo, prema utjecaju na financijski sektor, sistemskoj važnosti i profilu IKT rizika. Tada se TLPT provodi najmanje svake tri godine na produkcijskim sustavima. Svi ostali, osim mikropoduzeća, najmanje jednom godišnje testiraju sustave koji podupiru ključne ili važne funkcije.

Pravnoj osobi do 3 % ukupnog godišnjeg prihoda, a odgovornoj osobi i članu uprave do 15.000 eura. HNB i HANFA mogu naložiti prestanak kršenja, razrješenje člana uprave i javnu objavu s imenom subjekta. Odluke o prekršajima objavljuju na svojim stranicama.

Banke i subjekti infrastrukture financijskog tržišta mogu biti kategorizirani kao ključni ili važni subjekti. Za zahtjeve koje Uredba DORA uređuje jednako ili strože primjenjuju se njezine odredbe, uključujući nadzor (članak 8. Zakona o kibernetičkoj sigurnosti). Razlike objašnjavamo u vodiču o NIS2 i DORA.