Evropská regulace DORA nastavuje přísná pravidla pro kybernetickou odolnost finančních institucí napříč EU. Nejnovější výklad evropských orgánů dohledu však potvrzuje zásadní věc: pokud se stanete obětí phishingu ve své „soukromé sféře“ a banka funguje dál bez narušení, nejde o incident, který by regulace řešila. Pro mezinárodní klienty to znamená jediné – DORA chrání infrastrukturu banky, nikoli vaši nepozornost.
Společné evropské orgány dohledu 6. února 2026 upřesnily výklad nařízení (EU) 2022/2554 – DORA. V odpovědi na dotaz německého regulátora BaFin konstatovaly, že phishing mířící na klienta mimo systémy finanční instituce, bez dopadu na její služby, není IKT incidentem a nepodléhá oznamovací povinnosti. Detail výkladu je dostupný v oficiální databázi EBA Q&A.
To je pro mnoho investorů překvapení. DORA má posílit digitální odolnost bank a brokerů, ale nepřebírá odpovědnost za individuální chyby uživatelů.
Kde končí odpovědnost banky?
Rozdíl je zásadní. Pokud phishing zasáhne zaměstnance banky a otevře cestu k průniku do jejích systémů, jde o závažný incident s povinností hlášení. Jestliže však klient klikne na falešný odkaz doma, mimo infrastrukturu instituce, a samotná banka není technicky dotčena, nejde o regulatorní selhání.
Představte si investora s portfoliem 5 milionů eur, který potvrdí přístupové údaje na podvodném webu. Pokud systémy banky nebyly kompromitovány a bezpečnostní mechanismy fungovaly standardně, událost se posuzuje jako podvod vůči klientovi. Regulace chrání stabilitu systému, nikoli individuální digitální hygienu.
Jak chránit majetek v mezinárodním prostředí?
HNWI klienti často operují přes více jurisdikcí a používají několik bankovních platforem. Každý další přístupový bod zvyšuje expozici vůči sociálnímu inženýrství. Nejde o sofistikované prolomení šifrování, ale o psychologii – falešný pocit urgence nebo autority.
Co z toho plyne prakticky?
-
Oddělte investiční komunikaci od běžné e-mailové adresy.
-
Používejte vícefaktorové ověření bez výjimek.
-
Nikdy nepotvrzujte změnu platebních instrukcí pouze na základě e-mailu.
Verdikt: Strategie místo falešného pocitu bezpečí
Z pohledu správy majetku je klíčové nastavit kontrolní mechanismy ještě před incidentem. V Aisa International se nepouštíme do administrativního schvalování každého vašeho kliku nebo transakce – to je technická role providerů. Naší ambicí je stát nad tímto procesem jako nezávislý compliance oversight. Kontrolujeme procesní rámec, prověřujeme nastavení ochranných vrstev a kriticky posuzujeme rizika v celém investičním řetězci.
Digitální hygiena je dnes součástí finanční strategie stejně jako diverzifikace portfolia. V prostředí, kde regulace striktně odděluje odpovědnost instituce a klienta, vzniká prostor, který musí investor aktivně vyplnit sám. Nejde o strach, ale o vědomé řízení vlastního rizika.
