DORA a zákon o kybernetické bezpečnosti: ČNB a NÚKIB vyjasňují pravidla

Dne 24. června 2026 zveřejnily Česká národní banka (ČNB) a Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) společné prohlášení, jehož cílem je vyjasnit vztah mezi nařízením DORA a zákonem o kybernetické bezpečnosti (ZKB) ve vztahu k subjektům finančního trhu, které podléhají oběma těmto právním režimům.

Základní problém spočívá v tom, že některé finanční instituce jsou současně adresáty povinností podle nařízení DORA i ZKB. Tyto tzv. DORA subjekty se proto v praxi potýkají s otázkou, zda musí plnit oba soubory pravidel paralelně, nebo zda jeden z nich má přednost. Právě na tuto otázku přináší společné prohlášení odpověď.

ČNB a NÚKIB vycházejí z principu lex specialis derogat legi generali, tedy ze zásady, podle níž má speciální právní úprava přednost před úpravou obecnou. Nařízení DORA je podle čl. 1 odst. 2 považováno za odvětvový právní akt Unie pro účely čl. 4 směrnice NIS 2. Pokud tedy DORA upravuje určitou oblast kybernetické bezpečnosti způsobem, který je z hlediska účinku ekvivalentní požadavkům NIS 2, respektive ZKB, použije se přednostně DORA.

Prohlášení současně zdůrazňuje, že přednost DORA nelze chápat absolutně. Neznamená totiž, že by ZKB byl vůči DORA subjektům zcela vyloučen. Naopak, pokud DORA určitou oblast neupravuje nebo ji neupravuje ekvivalentně, dopadají na DORA subjekty i nadále příslušné povinnosti podle ZKB. ČNB a NÚKIB jako příklady uvádějí zejména registraci subjektu u NÚKIB nebo pravidla související se stavem kybernetického nebezpečí.

Významný je též závěr ohledně situací, kdy česká nebo jiná relevantní právní úprava stanoví odlišné, podrobnější nebo přísnější požadavky, které nelze považovat za ekvivalentní požadavkům DORA. V takovém případě musí DORA subjekt splnit souběžně jak požadavky vyplývající z DORA, tak i tyto dodatečné povinnosti. Jinými slovy, DORA vystupuje jako základní rámec regulace, který je obohacen o přísnější či specializovaná pravidla konkrétních oblastí činností. Stěžejní celkový smysl a účel takových úprav je zajištění soudržného evropského režimu kybernetické bezpečnosti a ochrany důvěrnosti, integrity a dostupnosti informací.

Neméně zajímavá je část prohlášení věnovaná výkonu dohledu. Finanční subjekty podléhající nařízení DORA jsou primárně pod dohledem ČNB. Pokud ale vykonávají specifické činnosti, které jsou neekvivalentně upraveny jinými předpisy, mohou podléhat rovněž dohledu dalších orgánů, zejména NÚKIB nebo Digitální a informační agentury (DIA). Oba orgány výslovně uvádějí, že budou koordinovat svůj dohledový postup a podle okolností využívat nástroje, jako jsou společné kontroly, sdílení výsledků kontrolních činností nebo jiné formy spolupráce. Cílem je zabránit duplicitám a současně zefektivnit vynucování požadavků na kybernetickou bezpečnost a odolnost.

Společné prohlášení tak představuje důležitý interpretační dokument pro subjekty finančního trhu nacházející se na pomezí regulace DORA a ZKB. Přináší relativně jasné vodítko, podle něhož platí, že tam, kde jsou požadavky obou režimů obsahově ekvivalentní, má přednost DORA jako speciální úprava. Tam, kde ZKB nebo jiná zvláštní regulace stanoví dodatečné či přísnější povinnosti, je však nezbytné aplikovat oba režimy souběžně. Současně potvrzuje, že dohled nad plněním těchto povinností bude v budoucnu probíhat ve zvýšené koordinaci mezi ČNB a NÚKIB, což by mělo přispět k větší právní jistotě subjektů a efektivnějšímu výkonu dohledu.