Regulovaný provoz
Nařízení DORA se uplatňuje od 17. ledna 2025 na finanční sektor, směrnice NIS2 dopadá na podstatně širší okruh subjektů mimo něj. Oba rámce ukládají povinnosti regulovanému subjektu, ale ten je musí přenést do smluv se svými ICT dodavateli. Tady je, co to znamená v praxi — a co k tomu dodáváme.
DORA po finančních institucích žádá, aby měly přehled o svých ICT dodavatelích, řídily u nich rizika a měly s nimi smlouvu s přesně vymezeným rozsahem. Součástí je právo na audit, součinnost při incidentu a strategie ukončení pro případ, že bude potřeba odejít. NIS2 jde na to jinou cestou — přes řízení bezpečnosti dodavatelského řetězce — ale u dodavatele končí u týchž otázek.
Pro poskytovatele infrastruktury to znamená konec provozu na všeobecné podmínky. Dodavatel, který není ochoten takovou smlouvu podepsat nebo nedokáže doložit odolnost, se stává položkou v registru rizik — a otázkou při kontrole.
Nux.cloud je postavený tak, aby v této roli obstál: smluvně, technicky i doklady.
Dva rámce
DORA a NIS2 míří na jiný okruh subjektů, ale na dodavatele infrastruktury kladou v jádru stejné požadavky. Který rámec dopadá na vás, posuzuje váš právní útvar — my popisujeme, co k němu dodáváme.
Nařízení EU 2022/2554 o digitální operační odolnosti finančního sektoru
Směrnice EU 2022/2555 o kybernetické bezpečnosti, v Česku provedená zákonem o kybernetické bezpečnosti
Čtyři pilíře
Přesný popis dodávaných služeb, práva na kontrolu a audit, součinnost při incidentu, podmínky ukončení i exit plán. Tedy náležitosti, které nařízení po smlouvě s ICT dodavatelem vyžaduje — připravené k projednání s vaším právním týmem.
Dvě geograficky oddělená datacentra, sjednané cíle obnovy (RPO a RTO) a testované failover scénáře. Odolnost, kterou umíme prokázat záznamem z testu, ne jen popsat v nabídce.
Za infrastrukturní výpadek odpovídá Nux. K tomu dodáváme reporting a auditní stopu v podobě, kterou předložíte svému compliance útvaru i regulátorovi.
Exit plán je součástí smlouvy od začátku, ne dodatek řešený až při rozchodu. Víte předem, v jakém formátu dostanete data a jak dlouho bude přechod trvat.
Požadavek a plnění
Levý sloupec je parafráze požadavku na smluvní vztah s ICT dodavatelem, ne citace předpisu. Formulace vychází z DORA; u NIS2 se požadavky na dodavatele v jádru kryjí. Pravý sloupec je to, co k němu dostanete od Nuxu.
| Požadavek na dodavatele | Co dodává Nux |
|---|---|
| Písemná smlouva s ICT dodavatelem s přesně vymezeným rozsahem služeb | Smlouva s výčtem provozních vrstev, jejich parametrů a hranic odpovědnosti mezi vámi a Nuxem. |
| Sjednané cíle dostupnosti a obnovy po incidentu | Parametry SLA včetně RPO a RTO stanovené podle kritičnosti konkrétního provozu, nikoli univerzální ceník. |
| Součinnost dodavatele při řešení a hlášení incidentu | Definovaný postup detekce, eskalace a komunikace s pojmenovanými kontakty a lhůtami na obou stranách. Bezpečnostní incidenty vede vlastní tým Nux CSIRT s vyhrazeným kontaktem pro hlášení. |
| Právo na přístup, kontrolu a audit u dodavatele | Smluvně zakotvené právo na audit, včetně součinnosti při kontrole ze strany regulátora. |
| Strategie ukončení a možnost řízeného odchodu | Exit plán s popisem formátu předání dat, součinnosti a časového rámce migrace jinam. |
| Testování digitální provozní odolnosti | Testy failoveru a obnovy ze zálohy se záznamem o průběhu a výsledku, který můžete použít jako podklad. |
Časté otázky
Ano, nepřímo. Nařízení ukládá povinnosti finančním institucím, ale ty je musí přenést do smluv se svými ICT dodavateli — včetně poskytovatelů infrastruktury a hostingu. Pokud dodavatel není ochoten takovou smlouvu podepsat, stává se pro regulovanou instituci problémem.
Obojí. DORA dopadá na finanční sektor, NIS2 na podstatně širší okruh subjektů mimo něj — z pohledu dodavatele infrastruktury ale oba rámce žádají prakticky totéž: smlouvu s vymezeným rozsahem služeb, řízení rizik u dodavatele, součinnost při incidentu a doložitelnou odolnost. Podklady, které dodáváme, proto slouží pro oba. Který rámec na vás dopadá a v jakém rozsahu, posuzuje váš právní útvar.
Ne, a nikdo takové tvrzení nemůže poctivě vyslovit. Soulad prokazuje finanční instituce jako celek — svým řízením rizik, testováním a evidencí. Nux dodává infrastrukturní část: smluvní rámec, doložitelnou odolnost, reporting a auditní stopu, které v tom obstojí jako podklad.
Ano. Právo na kontrolu a audit i strategii ukončení máme jako standardní součást smluvního rámce, ne jako výjimku vyjednávanou zvlášť. Konkrétní znění vždy projednáváme s vaším právním a compliance útvarem.
Konkrétní hodnoty stanovujeme podle kritičnosti provozu a architektury vaší aplikace — u databáze s průběžnou replikací je dosažitelné výrazně kratší RPO než u prostředí obnovovaného ze zálohy. Cílové hodnoty navrhneme při kalkulaci a zapíšeme do SLA.
Ano, a doporučujeme to. Test přepnutí do záložní lokality plánujeme společně, provedeme v dohodnutém okně a vystavíme z něj záznam. Netestovaný failover je z pohledu odolnosti jen předpoklad.
Nezávazná konzultace
Máte-li vlastní dotazník pro ICT dodavatele nebo seznam požadavků z řízení rizik, projděme ho spolu. Uvidíte konkrétní odpovědi místo obecné prezentace.
Platformu má na starost
Radek Růžička
jednatel a technický ředitel