DORA (Digital Operational Resilience Act) je stupila na snagu 17. siječnja 2025. Sad smo godinu i pol kasnije i može se podvući prva crta — što je stvarno donijela, koje EU fintech tvrtke su pogodile sankcije, i što to konkretno znači ako gradiš ili hostas financijsku aplikaciju u EU.
Ovaj vodič nije za pravnike. Za CEO-ove, CTO-ove i web developere koji rade za financijske institucije, fintech startupe, ili tvrtke koje servisi tim institucijama (ICT servisni provideri). Praktičan pregled što se dogodilo i što tek dolazi.
Kratak podsjetnik — što je DORA
DORA je EU regulativa koja postavlja jedinstvene zahtjeve za digitalnu operativnu otpornost financijskih subjekata. Pet glavnih stupova:
- ICT risk management — procesi za identifikaciju, procjenu i mitigaciju ICT rizika
- ICT-related incident reporting — strukturalni način prijave i klasifikacije incidenata
- Digital operational resilience testing — periodičko testiranje sustava (pen testovi, scenariji)
- ICT third-party risk management — kontrola eksternih providera (uključujući hosting)
- Information sharing — voluntarno dijeljenje threat intelligence-a između financijskih subjekata
Pokriva: banke, investicijske firme, osiguravajuće tvrtke, kripto provider-e, payment institucije, e-money institucije, crowdfunding platforme, te ICT third-party service providere koji im pružaju kritične usluge.
Što se dogodilo u prvoj godini
1. Vodeći pristup: kritični providerski direktorij
ESAs (European Supervisory Authorities) su tijekom 2025. počele uspostavljati registre kritičnih ICT providera. Hosting i cloud kompanije koje sluđuju veliki broj financijskih subjekata su pod posebnim nadzorom. AWS, Microsoft Azure, Google Cloud su prvi u fokusu — ali i veliki europski cloud provideri.
2. Prvi sankcijski slučajevi
Sredinom 2025. izrečene su prve novčane kazne. Pretežno za:
- Nedostatak strukturalnog incident reporting procesa (banke koje su prijavljivale incidente ad-hoc, bez formaliziranih razina klasifikacije)
- Slab third-party risk management (financijski subjekti koji ne mogu dokumentirati ICT supply chain)
- Manjkavo testiranje (formalni pen test plan koji ne pokriva sve kritične sustave)
Visine kazni: 0.5%-2% godišnjeg prihoda za teže prekršaje. Za veliku banku — desetci milijuna eura.
3. Zahtjev za 'oversight framework' kod hostinga
Banke i fintech tvrtke morale su dramatično ažurirati ugovore sa svojim hosting/cloud providerima. DORA traži:
- Pravo audita
- Detaljne SLA s konkretnim metrikama
- Exit strategiju (kako prebaciti uslugu ako provider padne)
- Obavještavanje o sub-procesorima
- Lokacija data (EU vs treće zemlje, Schrems II compliance)
Manji provideri koji nisu mogli/htjeli prilagoditi ugovore — izgubili su fintech kupce.
4. Threat-led penetration testing (TLPT)
Veće institucije moraju provoditi TLPT testiranje najmanje svake 3 godine. Ovo je iznad standardnog pen testa — traži realne attack scenarije temeljene na trenutnoj threat intelligence-i. Praktički otvorilo novu industriju red-team konzultantskih kuća u EU.
Tko je pogodjen — bržanstvenoj listi
Direktno pogadja:
- Banke i kreditni — sve
- Investicijske firme — sve
- Osiguravajuće tvrtke (uključujući reosiguranje)
- Payment institucije i e-money institucije (Stripe, Revolut, Wise, lokalne payment processore)
- Crypto-asset service providere (regulirane MiCA-om)
- Crowdfunding platforme
- Trading venues
Indirektno pogadja:
- ICT third-party providere — hosting, cloud, software vendore, MSP-ove, sve koji su 'kritični' za nekog od gore navedenih
- Web/dev agencije koje rade za fintech klijente
- SaaS provideri koje koriste fintech (CRM, analytics, customer service tools)
Ne pogadja direktno (ali polako stiže):
- Ostale industrije — ali NIS2 (vidi naš NIS2 članak) ih pokriva sličnim načelima
Što je doneslo dobro
1. Standardizirana terminologija
Prije DORA-e, svaka država je imala svoj rječnik za ICT incident, risk classification, testing levels. Sada je sve standardno na EU razini. To je ogromna stvar za multi-jurisdiction kompanije.
2. Jasniji odnos s vendorima
Hosting kontrakti su sad puno detaljniji oko SLA, audit prava, exit strategija. Manje 'verujte nam' i više 'ovo dokazujemo'.
3. Bolji incident response capabilities
Strukturalni reporting prisilio je banke da imaju 24/7 incident response timove sa jasnim playbook-ovima. To je smanjilo MTTD (mean time to detect) i MTTR (mean time to respond) industrijski.
Što je problematično
1. Trošak za male igrače
Mali fintech startupi se duboko muče s administrativnom burden-om. Compliance officer, third-party risk officer, formalni ICT risk management framework — to su pozicije i procesi koji opterećuju 10-50 person tim.
2. Konsolidacija providera
Mali fintech kompanije se prebacuju na velike providere koji već imaju DORA-compliant kontrakte. To znači vendor concentration — koja je inače sama po sebi rizik kojeg DORA želi smanjiti. Paradoks.
3. Sporo regulatorno tumačenje
Mnogo specifika regulative je ostavljeno za 'regulatorne tehničke standarde' (RTS) i 'implementacijske tehničke standarde' (ITS). ESAs su izdale većinu njih kroz 2024-2025, ali interpretacija u praksi je još uvijek nedosljedna.
Što tek dolazi (2026-2027)
1. Veće osovine harmonizacije s NIS2
DORA i NIS2 imaju ozbiljnih preklapanja. ESAs i ENISA rade na jasnijim smjernicama za tvrtke koje su pogodjene oboje (mnogi fintech-i jesu).
2. AI-specifične smjernice
Kako fintech sve više koristi AI (credit scoring, fraud detection, customer service), regulatori objavljuju AI-specifične smjernice unutar DORA framework-a. AI rizik je novi rizik koji DORA mora pokriti.
3. Threat intelligence sharing platforme
DORA dopušta — ali ne obavezuje — dijeljenje threat intelligence. EU je u procesu uspostavljanja zajedničkih platformi za to. Očekuje se prva 'production' platforma do kraja 2026.
Što ako sam mali fintech ili dev agencija za fintech
Praktičan checklist:
- Mapiraj svoj ICT supply chain — tko su tvoji providerski, koji su kritični, što imaš u SLA-u s njima
- Definiraj incident classification — što je major, što je minor, koji put eskalacije ide u report
- Formaliziraj risk register — ne mora biti 50-strana, ali mora postojati
- Provjeri hosting kontrakt — ima li jasne SLA, audit prava, exit strategiju, lokaciju podataka
- Testing plan — pen test minimalno godišnje, scenario testovi (disaster recovery) najmanje jednom
- Trening — sav tehnički tim treba osnovni DORA training
Hosting i DORA — što tražiti od providera
Ako gradiš ili premještaš fintech aplikaciju, hosting provider mora moći isporučiti:
- EU data residency — server fizički u EU, ne 'EU region of US provider'
- Detaljni DPA (Data Processing Agreement)
- Audit pravo u ugovoru
- Konkretne SLA s kvantificiranim uptime-om, response time-om, MTTR
- Backup i DR plan dokumentirani
- Lokaciju sub-procesora (third-party providere koje hosting koristi)
- Exit assistance — pomoć ako trebaš migrirati
- Incident notification obaveza s konkretnim vremenskim okvirima
- Sertifikati (ISO 27001, SOC 2 ako je US-based)
WMD i fintech klijenti
Imamo nekoliko fintech klijenata koji koriste naš hosting za non-core aplikacije (marketing sajtovi, klijent portali, dokumentacija). Za core core banking sustave — to je domena specijaliziranih, certificiranih financijskih cloud providera (poput Banking-as-a-Service platformi).
Što nudimo za fintech relevantne potrebe:
- EU data residency (server fizički u EU)
- DPA s detaljnom listom sub-procesora
- JetBackup s 30-dnevnim retention-om
- 2FA na cPanelu i korisničkim stranicama
- SSL by default
- Audit logs u cPanelu i moj.wmd.hr
- Transparentnu incident notification (e-mail u roku od 4h za major incidente)
- SLA u ugovoru, ne samo na sajtu
Za detaljnije DORA/NIS2 compliance pitanja — javi se sa specifikacijama svog projekta. Rado idemo kroz konkretne klauzule.
FAQ
Treba li mi DORA ako sam vendor za fintech, a sam nisam financijski subjekt?
Ako te financijski subjekt klasificira kao 'kritični ICT third-party provider' — ti spadaš pod DORA framework. Provjeri sa svojim klijentima.
Što ako moj provider nije DORA-compliant?
Tvoja odgovornost je da to dokumentiraš i imaš exit plan. Regulator neće prihvatiti 'mi smo na X, oni su nepouzdani' kao odgovor.
Koliko stoji DORA compliance za mali fintech?
Realno: €30,000-€100,000 godišnje u dodatnom trošku (compliance officer plaća, audit fees, testing, alati). Za mali startup s 5-15 ljudi, to je značajno.
Koje su top alate za ICT risk management?
OneTrust, Vanta, Drata su top platforme. Open-source alternative postoje (Eramba) ali traže više interne ekspertize.
Što ako sam izvan EU ali servisiraj EU fintech?
I tako te DORA tiče indirektno kroz tvoje EU klijente. Oni će tražiti od tebe DORA-aligned ugovor i audit-able procese.
Zaključak
DORA godinu dana kasnije je radjuje regulativa — ne savršena, ne lagana, ali postaje sastavni dio EU financijskog ekosistema. Tko je rano prihvatio promjene, sad ima konkurentsku prednost. Tko je čekao — sada igra catch-up s ozbiljnim posljedicama.
Iz hosting perspektive: EU data residency, detaljni ugovori, jasne SLA i audit-ready dokumentacija postaju standard, ne luksuz. Mala investicija sad u pravilan setup štedi velike probleme kasnije.
Za sve aktualne promjene oko DORA-e, NIS2-a i drugih EU IT regulativa, pratit ćemo i publicirati u našim Vijestima. Imaš specifična pitanja — javi se.
