Na jaké poskytovatele investičních služeb dopadá DORA?

O přijetí Nařízení Evropského parlamentu a Rady o digitální provozní odolnosti finančního sektoru (DORA), které reaguje na potřebu řešení kybernetické bezpečnosti subjektů finančního trhu a zavádí jednotná pravidla pro zvýšení odolnosti finančního systému napříč členskými státy, jsme informovali v jednom z našich předchozích článků. Stejně tak jsme se na našem blogu již věnovali porovnání intenzity aplikace na subjekty finančního sektoru a krypto sektoru. Pojďme se nyní blíže podívat na poskytovatele investičních služeb.

DORA se sice dle čl. 2 odst. 1 písm. e) vztahuje na investiční podniky, „investičním podnikem“ se však rozumí investiční podnik ve smyslu čl. 4 odst. 1 bodu 1 směrnice 2014/65/EU (MiFID II). Vzhledem k tomu, že na investičního zprostředkovatele se pravidla dle MiFID II použijí na vnitrostátní úrovni (tedy dle článku 3), z aplikace DORA je investiční zprostředkovatel vyňat. Obdobně jsou z aplikace DORA vyjmuty například i alternativní fondy dle § 15 ZISIF (mini fond), jelikož DORA dopadá na správce alternativních investičních fondů, kterým se rozumí správce alternativních investičních fondů ve smyslu čl. 4 odst. 1 písm. b) směrnice 2011/61/EU.

U obchodníků s cennými papíry, tedy investičních podniků ve smyslu čl. 4 odst. 1 bodu 1 směrnice 2014/65/EU, se již DORA použije. Poté záleží, stejně jako u řady dalších regulatorních norem, na jejich klasifikaci. Na malé a nepropojené obchodníky s cennými papíry se například vzhledem k jejich velikosti a poskytovaným službám v souladu s čl. 16 DORA použije zjednodušený rámec pro řízení rizika v oblasti IKT.

Na pozoru by tak měli být zejména obchodníci s cennými papíry, kteří nesplňují kritéria dle čl. 12 IFR, a tedy nelze je považovat za malé a nepropojené OCP, kteří budou muset za relativně krátký čas systematicky začlenit požadavky na kybernetickou bezpečnost do svých procesů v plném rozsahu.

Účinnost nařízení DORA je od 17. ledna 2025.