DORA pentru furnizorii ICT ai entităților financiare

DORA (Regulamentul UE 2022/2554) nu obligă direct furnizorii de tehnologie (TIC), ci cere entităților financiare care îi contractează să le impună contractual obligații stricte: clauzele art. 30, drepturi nelimitate de acces și audit, cooperare la incidente și strategii de ieșire. Furnizorii cei mai importanți pot fi desemnați „terți critici” (CTPP), supravegheați direct la nivel european. În România regulamentul se aplică din 17 ianuarie 2025, prin OUG nr. 14/2026.

Pe scurt

DORA (Regulamentul UE 2022/2554) obligă băncile, asigurătorii, firmele de investiții și ceilalți actori financiari să-și gestioneze riguros riscul generat de furnizorii lor de tehnologie (TIC) — inclusiv SaaS, cloud, procesatori de plăți și case de software. Concret pentru un furnizor TIC, asta înseamnă clauze contractuale obligatorii (art. 30), acceptarea unor drepturi de acces, inspecție și audit, notificarea și cooperarea la incidente și, pentru cei mai mari, un regim special de supraveghere europeană în calitate de furnizor terț critic (CTPP). Regulamentul se aplică de la 17 ianuarie 2025, iar în România a fost pus în aplicare prin OUG nr. 14/2026, care desemnează BNR și ASF ca autorități competente.

Cadrul legal

DORA este un regulament, deci se aplică direct în toate statele membre, fără a fi nevoie de transpunere — spre deosebire de o directivă. Furnizorii de servicii TIC nu sunt reglementați direct de DORA (obligațiile juridice cad pe entitatea financiară), dar sunt afectați indirect și, în cazul CTPP, direct.

• Regulamentul (UE) 2022/2554 (DORA) — din 14 decembrie 2022, privind reziliența operațională digitală a sectorului financiar. Aplicabil de la 17 ianuarie 2025 (art. 64).

  Sursa: Regulamentul (UE) 2022/2554, EUR-Lex, CELEX 32022R2554 (accesat 2026-09-10)

• Directiva (UE) 2022/2556 — actul „companion" care modifică o serie de directive financiare conexe pentru a se alinia la DORA.

  Sursa: Directiva (UE) 2022/2556, EUR-Lex (accesat 2026-09-10)

• Capitolul V din DORA este partea relevantă pentru furnizori: „Gestionarea riscurilor generate de terți în materie de TIC". Cuprinde principiile generale (art. 28), evaluarea riscului de concentrare (art. 29), dispozițiile contractuale-cheie (art. 30) și cadrul de supraveghere a furnizorilor critici — CTPP (art. 31–44).

• Acte delegate și de punere în aplicare completează cadrul: Regulamentul de punere în aplicare (UE) 2024/2956 (modelele registrului de informații), Regulamentul delegat (UE) 2024/1773 (subcontractarea serviciilor ce susțin funcții critice) și Regulamentul delegat (UE) 2024/1774 (cadrul de gestionare a riscului TIC).

Punerea în aplicare în România

• OUG nr. 14/2026 — stabilește măsurile naționale de aplicare a DORA, publicată în Monitorul Oficial nr. 188 din 11 martie 2026. Desemnează autoritățile competente și regimul sancționator.

  Sursa: OUG nr. 14/2026, Portal Legislativ (accesat 2026-09-10)

  Fiind o ordonanță de urgență, OUG nr. 14/2026 este în vigoare, dar trebuie aprobată ulterior prin lege de Parlament, care o poate modifica (inclusiv regimul sancționator). ⚠️ La data redactării (septembrie 2026) nu există o sursă publică ce confirmă adoptarea legii de aprobare — statutul rămâne de urmărit. În paralel, obligații operaționale sunt în derulare pentru 2026-2027: raportarea anuală a registrului de informații, finalizarea unor RTS/ITS la nivel UE și clauza de revizuire a DORA (art. 58).

• Repartizarea competențelor: BNR supraveghează instituțiile de credit, instituțiile de plată și emitente de monedă electronică, băncile de dezvoltare și anumiți depozitari centrali; ASF supraveghează firmele de investiții (SSIF), asigurătorii, piețele de capital și fondurile de pensii. BNR este și autoritatea unică pentru coordonarea testelor de penetrare bazate pe amenințări (TLPT).

  Sursa: ASF — pagina DORA (accesat 2026-09-10)

Explicație detaliată

Cine e „furnizor TIC" în sensul DORA

DORA definește larg serviciile TIC: servicii digitale și de date furnizate în mod continuu prin sisteme informatice, inclusiv hardware ca serviciu. Practic, intră aici furnizorii de cloud (IaaS/PaaS/SaaS), găzduire, procesare de plăți, software bancar și de asigurări, servicii de date, centre de date și mulți alți subcontractanți IT. Sunt excluse serviciile de telefonie tradiționale și, de regulă, furnizarea de hardware „pur".

Distincția centrală a regulamentului este între servicii care susțin o funcție critică sau importantă (CIF) și restul serviciilor. O funcție e „critică sau importantă" dacă o disfuncție a ei ar afecta serios performanța financiară a entității, soliditatea sau continuitatea serviciilor, ori conformitatea cu cerințele de autorizare. Cu cât serviciul e mai aproape de o funcție critică, cu atât obligațiile contractuale sunt mai stricte.

Clauzele contractuale obligatorii (art. 30)

Art. 30 este inima practică a DORA pentru furnizori. El impune un set minim de clauze în orice contract TIC și un set suplimentar când serviciul susține o funcție critică sau importantă. Cele două seturi sunt cumulative — pentru o funcție critică se aplică ambele.

Formă (art. 30(1)): drepturile și obligațiile ambelor părți trebuie alocate clar și stabilite în scris, într-un singur document, disponibil pe hârtie sau într-un format descărcabil, accesibil și durabil.

Pentru toate contractele TIC (art. 30(2)), între altele:

• descrierea completă a serviciilor, cu precizarea dacă subcontractarea funcțiilor critice/importante este permisă și în ce condiții;
• localizarea (regiunile/țările) unde se prestează serviciile și se prelucrează/stochează datele, plus obligația de notificare prealabilă dacă furnizorul intenționează să schimbe aceste locații;
• clauze privind disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor (inclusiv date cu caracter personal);
• garantarea accesului, recuperării și restituirii datelor în caz de insolvență, rezoluție, întrerupere sau încetare a contractului;
• descrieri ale nivelului de servicii (SLA);
• obligația furnizorului de a acorda asistență la un incident TIC legat de serviciul prestat;
• obligația de cooperare cu autoritățile competente;
• drepturi de reziliere și termene minime de preaviz;
• participarea la programele de conștientizare și formare în securitate ale entității.

Suplimentar, pentru funcții critice sau importante (art. 30(3)):

• SLA complete, cu ținte de performanță cantitative și calitative precise;
• termene de notificare și obligații de raportare către entitate, inclusiv notificarea oricărei evoluții cu impact material asupra capacității de a presta serviciul;
• planuri de continuitate testate și măsuri, instrumente și politici de securitate TIC;
• obligația de a participa și coopera pe deplin la testele TLPT ale entității;
• drepturi nelimitate de acces, inspecție și audit pentru entitate (sau un terț desemnat) și pentru autoritatea competentă, inclusiv dreptul de a lua copii ale documentelor la fața locului — drepturi ce nu pot fi îngrădite prin alte clauze;
• strategii de ieșire, cu o perioadă de tranziție adecvată.

Cât de „nelimitate" sunt, de fapt, drepturile de audit? Principiul rămâne că accesul, inspecția și auditul nu pot fi îngrădite prin alte clauze (art. 30(3)(e)). Totuși DORA nu impune ca fiecare client să facă separat o inspecție proprie la fața locului: regulamentul permite, în condiții, auditurile comune („pooled audits") — mai multe entități financiare partajează o singură misiune de audit — și recurgerea la certificări terțe sau rapoarte de tip SOC 2 / ISO 27001, cu condiția ca entitatea financiară să păstreze dreptul de a cere oricând o inspecție la fața locului și accesul autorității competente să nu fie afectat. Cu alte cuvinte, „nelimitat" înseamnă că furnizorul nu poate refuza sau condiționa dreptul în sine — nu că acesta se exercită neapărat prin vizite individuale nesfârșite.

Există o derogare pentru microîntreprinderi: entitatea financiară care e microîntreprindere poate conveni ca dreptul de acces, inspecție și audit să fie delegat unui terț independent numit de furnizor. Regulamentul încurajează totodată folosirea clauzelor contractuale standard elaborate de autoritățile publice.

Atenție — nu există derogare pentru furnizorul TIC mic. Regimul simplificat de gestionare a riscului (art. 16 DORA) și înlesnirile de microîntreprindere privesc entitatea financiară-client, nu furnizorul. Un start-up, un PFA/II sau o microîntreprindere de software care servește o bancă trebuie să accepte integral aparatul art. 30 (audit, SLA, localizarea datelor, strategie de ieșire), indiferent de propria dimensiune. Considerentele DORA recunosc principiul proporționalității, dar nu oferă o scutire juridică furnizorului mic; în practică, costul conformării determină uneori furnizorii mici fie să majoreze prețurile, fie să renunțe la clienții financiari.

Registrul de informații și evaluarea prealabilă (art. 28)

Entitatea financiară trebuie să mențină un registru de informații cu toate acordurile contractuale TIC, marcând separat pe cele care susțin funcții critice/importante, și să-l raporteze anual autorității competente (modelele sunt fixate prin Regulamentul de punere în aplicare (UE) 2024/2956). Înainte de a semna, entitatea face o evaluare prealabilă: dacă serviciul acoperă o funcție critică, riscurile de concentrare, due diligence asupra furnizorului. Consecința practică pentru furnizor: va fi solicitat să furnizeze date detaliate (infrastructură, subcontractanți, localizări, cadru de securitate) încă din faza de ofertare.

Subcontractarea funcțiilor critice (Reg. delegat (UE) 2024/1773)

Regulamentul delegat (UE) 2024/1773 detaliază cum poate un furnizor să subcontracteze părți din serviciile ce susțin funcții critice sau importante. Regulile-cheie pentru furnizor:

• Transparență și consimțământ: contractul trebuie să precizeze care servicii critice pot fi subcontractate și în ce condiții; subcontractarea nu este liberă, ci agreată cu entitatea financiară.
• Notificarea modificărilor materiale: furnizorul trebuie să anunțe din timp orice schimbare semnificativă a lanțului de subcontractanți (subcontractant nou, relocarea prelucrării, schimbare de tehnologie), astfel încât entitatea să poată reevalua riscul.
• Drept de opoziție / reziliere: entitatea financiară poate obiecta la modificări sau rezilia dacă un subcontractant nu mai îndeplinește cerințele.
• Continuitatea răspunderii: subcontractantul trebuie ținut la aceleași cerințe de securitate TIC, iar furnizorul principal rămâne răspunzător pe întreg lanțul față de entitatea financiară.

Consecința practică: un furnizor conform trebuie să mențină o hartă actualizată a subcontractanților critici (cine sunt, unde prelucrează datele, cum sunt controlați) și să o poată prezenta la cerere.

Regimul furnizorilor terți critici (CTPP)

Furnizorii cei mai importanți sistemic pot fi desemnați furnizori terți critici (CTPP) de către autoritățile europene de supraveghere (EBA, ESMA, EIOPA), pe baza unor criterii de criticalitate (art. 31): impactul sistemic în caz de disfuncție, importanța entităților care depind de ei, gradul de substituibilitate. Un furnizor poate cere și voluntar desemnarea (opt-in).

Criteriile sunt concretizate prin Regulamentul delegat (UE) 2024/1502, care le transformă din enunțuri calitative în indicatori măsurabili evaluați în etape: numărul entităților financiare care depind de furnizor, valoarea activelor sau a tranzacțiilor susținute, cota de piață pe serviciul TIC respectiv, gradul de substituibilitate și impactul unei eventuale disfuncții. Sunt excluse de la desemnare furnizările intra-grup și cele pur naționale (unde riscul se concentrează într-un singur stat membru și rămâne în competența autorității naționale) — o excludere care poate lăsa o zonă gri pentru furnizorii mari activi într-un singur stat.

Furnizorii din țări terțe: dacă un CTPP este stabilit în afara Uniunii (tipic un hyperscaler american), art. 31(12) DORA îi impune să înființeze o filială în UE în termen de 12 luni de la desemnare. Până la înființarea filialei — sau dacă nu o înființează — entitățile financiare nu îi mai pot folosi serviciile pentru funcții critice. Este o cerință cu impact major asupra furnizorilor globali de cloud.

Pentru un CTPP, DORA trece de la reglementare indirectă la supraveghere directă: i se alocă un Supraveghetor principal (una dintre ESA), care poate cere informații, desfășura investigații și inspecții și emite recomandări (art. 33, 35). Un CTPP trebuie să numească un punct de coordonare în UE și plătește redevențe anuale de supraveghere (art. 43). Nerespectarea competențelor Supraveghetorului poate atrage penalități cominatorii zilnice de până la 1% din cifra de afaceri zilnică medie mondială, pe o perioadă de maximum 6 luni (art. 35(6)). Dacă un CTPP nu dă curs recomandărilor, autoritățile competente pot cere entităților financiare chiar suspendarea sau rezilierea contractelor cu acel furnizor (art. 42).

Prima listă de CTPP a fost publicată de ESA la 18 noiembrie 2025 și cuprinde 19 furnizori; lista se actualizează anual. Sunt excluse de la desemnare, între altele, furnizările intra-grup, cele pur naționale și entitățile financiare care prestează servicii altor entități financiare.

DORA în raport cu NIS2 și GDPR

Un furnizor TIC nu operează într-un vid normativ: pe lângă DORA, pot fi incidente Directiva NIS2 și GDPR.

NIS2. Directiva NIS2 a fost transpusă în România prin OUG nr. 155/2024 (MO din 31 decembrie 2024) și Legea nr. 124/2025, cu DNSC ca autoritate competentă și obligații pentru „entitățile esențiale/importante" (înscriere, gestionarea riscului, raportarea incidentelor în 24h/72h/30 zile). DORA funcționează însă ca lex specialis pentru sectorul financiar (considerentul 16 și art. 1(2) DORA): în temeiul art. 4 NIS2, acolo unde un act sectorial al UE impune cerințe cel puțin echivalente, se aplică acel act. Practic, o entitate financiară raportează incidentele TIC pe canalul DORA (art. 19), nu pe cel NIS2 — se evită astfel dubla raportare. Pentru furnizorul TIC, distincția este: dacă e desemnat și „entitate esențială/importantă" NIS2 pentru servicii nefinanciare proprii, are obligații NIS2 față de DNSC; față de clienții financiari, însă, cerințele îi vin pe lanțul contractual DORA. (La nivel UE se discută un „Digital Omnibus" pentru un punct unic de raportare, încă nefinalizat.)

GDPR. Când serviciul TIC implică date cu caracter personal, entitatea financiară este de regulă operator, iar furnizorul împuternicit. Contractul trebuie să acopere simultan clauzele art. 30 DORA și acordul de prelucrare (DPA) cerut de art. 28 GDPR — de obicei într-un singur set de clauze, cu o inspecție coordonată care servește ambele regimuri. Pentru transferurile în afara UE/SEE rămân aplicabile art. 44-49 GDPR și Clauzele Contractuale Standard, plus o evaluare a transferului (în logica hotărârii Schrems II, C-311/18). DORA nu derogă de la GDPR: „drepturile nelimitate" de audit ale entității și ale autorității se exercită cu respectarea protecției datelor, motiv pentru care localizarea și traseul datelor devin clauze contractuale esențiale.

Aspecte practice

Ce trebuie să accepte, realist, un furnizor SaaS/IT

Dacă vinzi servicii unei bănci, unui asigurător sau unei firme de investiții, contractul tău va trebui adaptat la art. 30. Concret, așteaptă-te să negociezi și să accepți:

• Drepturi de audit și inspecție „nelimitate" pentru client și pentru autoritatea competentă (BNR/ASF), inclusiv inspecții la fața locului și copii ale documentelor — pentru serviciile ce susțin funcții critice. Nu le poți neutraliza prin alte clauze.
• Transparență privind localizarea datelor și notificare prealabilă la orice mutare a prelucrării/stocării în altă țară sau regiune.
• Reguli stricte de subcontractare: trebuie declarat dacă subcontractezi părți din serviciul critic și în ce condiții; clientul poate limita sau interzice subcontractarea.
• SLA măsurabile, cu ținte cantitative, și obligații de raportare a incidentelor în termene ferme.
• Participare la testarea rezilienței: continuitate testată și cooperare la testele TLPT ale clientului.
• Strategie de ieșire și portabilitate: perioadă de tranziție, asistență la migrare și restituirea datelor într-un format utilizabil la încetarea contractului sau în caz de insolvență.
• Cooperare cu autoritățile și asistență la incidente, uneori fără cost suplimentar.

Greșeli frecvente de evitat

• Să tratezi DORA ca fiind „problema clientului". Deși obligația juridică e a entității financiare, un furnizor care refuză clauzele art. 30 devine ne-contractabil în sectorul financiar.
• Clauze de audit „pe hârtie". Limitările mascate (audit doar prin rapoarte terțe, cu preaviz excesiv, contra cost prohibitiv) contravin cerinței de drepturi „nelimitate" pentru funcții critice.
• Ignorarea lanțului de subcontractanți. Trebuie să poți arăta cine sunt subcontractanții tăi critici, unde procesează datele și cum sunt controlați (vezi RTS-ul de subcontractare, Reg. delegat (UE) 2024/1773).
• Neactualizarea contractelor vechi. Contractele semnate înainte de 17 ianuarie 2025 trebuie aliniate; clientul va cere renegociere.
• Subestimarea statutului de CTPP. Dacă serviciul tău e folosit de multe entități financiare din UE, poți fi desemnat critic și supus supravegherii directe, redevențelor și penalităților.

Ce poți face pentru a fi „DORA-ready"

• Pregătește un pachet de conformitate standard: descrierea serviciilor, harta subcontractanților și a localizărilor, politicile de securitate TIC, planurile de continuitate, rapoartele de testare.
• Adoptă un model de clauze aliniat art. 30 (eventual pornind de la clauzele contractuale standard) ca punct de plecare al negocierilor.
• Menține datele necesare registrului de informații al clientului (ușurează raportarea lui anuală și te face un furnizor preferat).

Cine suportă costurile conformării

DORA nu reglementează alocarea costurilor de conformare între entitatea financiară și furnizor — este o chestiune de negociere comercială. În practică, costurile auditurilor la fața locului, ale participării la testele TLPT, ale adaptării contractuale și ale menținerii datelor pentru registrul de informații ajung frecvent în sarcina furnizorului, mai ales când acesta e mic și clientul e o bancă mare cu putere de negociere superioară. De reținut:

• Plafoanele de răspundere și indemnizările rămân negociabile — nu le lăsa nedefinite, pentru că un incident TIC care afectează clientul financiar poate genera pretenții semnificative.
• Nu există subvenții UE sau naționale pentru furnizorii care se conformează DORA; costul se recuperează comercial (preț, structură de servicii).
• Clarifică din contract dacă asistența la incidente și cooperarea cu autoritățile se prestează cu sau fără cost suplimentar — formularea „fără cost" nu este presupusă automat.

Strategia de ieșire și riscul de „vendor lock-in"

DORA cere entității financiare strategii de ieșire documentate pentru serviciile critice (art. 28(8)), iar autoritatea competentă poate chiar impune suspendarea sau rezilierea contractului cu un CTPP care nu dă curs recomandărilor Supraveghetorului (art. 42). Pentru furnizor, asta înseamnă că trebuie să facă ieșirea fezabilă tehnic, nu doar declarată pe hârtie:

• Portabilitate reală: formate de export deschise, documentație, asistență la migrare și restituirea datelor într-un format utilizabil.
• Reducerea dependenței de tehnologii proprietare: cu cât serviciul e mai „închis" (API-uri și servicii proprietare), cu atât migrarea e mai costisitoare — un motiv frecvent de blocaj pentru băncile care depind masiv de un singur furnizor cloud.
• Continuitate în tranziție: contractul trebuie să asigure servicii pe perioada de tranziție chiar și în scenariul unei rezilieri forțate de autoritate, altfel riscul operațional se transferă asupra clientului.

Jurisprudență națională

Stadiul practicii judiciare

La data redactării nu există jurisprudență națională consolidată a instanțelor române care să interpreteze direct DORA sau clauzele contractuale impuse furnizorilor TIC (art. 30). Motivele sunt firești: Regulamentul se aplică abia din 17 ianuarie 2025, iar cadrul intern de aplicare — OUG nr. 14/2026 — datează din martie 2026, prea recent pentru litigii ajunse la o soluție definitivă. În plus, mecanismul principal de aplicare a DORA este, deocamdată, administrativ (autoritățile de supraveghere BNR/ASF și cele europene EBA/ESMA/EIOPA) și la nivel UE (proceduri ale Comisiei), nu contencios judiciar intern.

În lipsa unor hotărâri interne, orientarea utilă vine din (a) jurisprudența CJUE care fundamentează arhitectura de supraveghere pe care se sprijină DORA și (b) practica administrativă de supraveghere a externalizării cloud, deja aplicată de ASF pe cerințe aproape identice cu art. 30.

Practică administrativă și de supraveghere (național)

ASF, 12 ianuarie 2026 — Ghid privind externalizarea către furnizorii de servicii cloud (MO nr. 11/2026) Ghidul cere guvernanță clară, registru al externalizărilor, evaluare prealabilă a riscurilor (inclusiv de concentrare și jurisdicționale) și clauze contractuale esențiale privind localizarea și mutarea datelor, nivelurile de servicii, raportarea incidentelor, continuitatea/recuperarea și drepturile de acces/audit — practic aceleași cerințe pe care art. 30(2)-(3) DORA le impune contractelor TIC. Arată cum supraveghetorul român „împinge" deja aceste clauze către furnizori. Sursa: JURIDICE.ro — Ghidul ASF privind externalizarea cloud (accesat 2026-09-10)

ASF — Norma nr. 33/2020 privind externalizarea către furnizorii de servicii de tip cloud (MO nr. 749/2020) — aplicabilă din 1 ianuarie 2021, predecesor al cadrului actual: califica externalizarea în cloud și impunea evaluarea detaliată a riscurilor pentru funcții critice/semnificative. Demonstrează continuitatea cerințelor de audit, acces și localizare care culminează acum în regimul DORA. Sursa: Universul Juridic — Norma ASF nr. 33/2020 (accesat 2026-09-10)

Jurisprudență CJUE

Decizii favorabile (PRO) — fundamentul supravegherii directe

Cauza C-270/12, Regatul Unit c. Parlamentul European și Consiliul (Marea Cameră, 22 ianuarie 2014) Curtea a respins acțiunea în anularea competențelor de intervenție directă conferite AEVMP/ESMA (art. 28 din Regulamentul 236/2012 privind vânzarea în lipsă). · Instanța a reținut că astfel de competențe sunt legale atâta vreme cât sunt „delimitate cu precizie" și supuse controlului jurisdicțional, iar art. 114 TFUE este un temei juridic valid. Este piatra de temelie a legalității supravegherii directe pe care ESA o exercită asupra furnizorilor terți critici (CTPP) în DORA — competențe de investigație, inspecție, recomandare și penalitățile cominatorii din art. 35(6). Sursa: EUR-Lex, CELEX 62012CJ0270 (accesat 2026-09-10)

Decizii contrare sau limitative (CONTRA) — limitele delegării

Cauza 9/56, Meroni & Co. c. Înalta Autoritate (13 iunie 1958) Doctrina „Meroni": o instituție nu poate delega unui organism puteri discreționare largi, ci doar competențe de executare precis definite și controlabile judiciar. Această limită trasează plafonul constituțional al regimului CTPP — puterile Supraveghetorului principal rămân legale doar cât timp sunt strict încadrate și nu devin „centre incontrolabile de putere arbitrară". Marchează astfel granița până la care poate merge supravegherea directă a furnizorilor. Sursa: EUR-Lex, CELEX 61956CJ0009 (accesat 2026-09-10)

Nuanțe și cazuri speciale

Cauza C-311/18, „Schrems II" (Marea Cameră, 16 iulie 2020) — deși pronunțată în materie de protecție a datelor, este direct relevantă pentru clauzele DORA de localizare și confidențialitate (art. 30(2)): a invalidat „Privacy Shield" și a condiționat transferul de date de garanții adecvate. Pentru furnizorii cloud (adesea CTPP) care prelucrează date în afara UE/SEE, această jurisprudență explică de ce localizarea datelor și notificarea schimbării locațiilor de prelucrare devin clauze contractuale esențiale. Sursa: EUR-Lex, CELEX 62018CJ0311 (accesat 2026-09-10)

Tendințe jurisprudențiale

• Contencios judiciar intern încă absent, aplicare administrativă activă. Presiunea de conformare vine prin supraveghere (BNR/ASF), nu prin instanțe. Primele litigii previzibile vor privi clauzele de audit/acces nelimitat și strategiile de ieșire din art. 30(3), respectiv contestarea măsurilor de supraveghere ale ESA de către CTPP.
• CJUE validează, dar încadrează strict competențele ESA. Linia C-270/12 ↔ Meroni sugerează că eventualele contestații ale unui CTPP împotriva Supraveghetorului principal se vor concentra pe caracterul „precis delimitat" și controlabil judiciar al măsurii — nu pe existența în sine a competenței.
• Localizarea datelor rămâne punctul cel mai sensibil pentru furnizorii cloud, la intersecția DORA (art. 30) cu jurisprudența de tip Schrems II.

Noutăți

8 iulie 2026 — Comisia Europeană declanșează proceduri de infringement pentru neaplicarea DORA CE a trimis scrisori de punere în întârziere Spaniei, Franței și Letoniei pentru că nu au notificat măsurile naționale impuse de art. 53 DORA (sancțiuni administrative, măsuri de remediere și competențele autorităților). Deși DORA e un regulament direct aplicabil, statele trebuie să notifice CE/ABE/ESMA/EIOPA cadrul sancționator național — exact tipul de act pe care România l-a adoptat prin OUG nr. 14/2026. Confirmă că, în această fază, „enforcement"-ul DORA este preponderent administrativ și la nivel UE. Sursa: JURIDICE.ro — CE solicită statelor membre respectarea obligațiilor de notificare DORA (accesat 2026-09-10)

Întrebări frecvente

Furnizorul meu de IT este obligat direct de DORA? Nu, ca regulă. Obligațiile juridice cad pe entitatea financiară (banca, asigurătorul, firma de investiții). Furnizorul e afectat contractual, pentru că entitatea trebuie să impună clauzele art. 30. Excepția majoră: furnizorii desemnați critici (CTPP), care intră sub supraveghere europeană directă.

Ce se întâmplă dacă refuz clauzele de audit și acces? Pentru serviciile ce susțin funcții critice/importante, drepturile de acces, inspecție și audit trebuie să fie nelimitate (art. 30(3)). Un furnizor care le refuză nu poate fi contractat pentru astfel de servicii — practic te excluzi din piața financiară.

Trebuie să-mi mut datele în UE? DORA nu impune localizarea în UE, dar cere transparență privind unde se prelucrează și se stochează datele și notificare prealabilă la orice schimbare de locație. Clientul poate impune restricții suplimentare prin contract.

Ce înseamnă să fiu desemnat „furnizor terț critic" (CTPP)? Înseamnă supraveghere directă din partea unei autorități europene (EBA, ESMA sau EIOPA) ca Supraveghetor principal, obligația de a numi un punct de coordonare în UE, plata unor redevențe anuale (art. 43) și expunerea la penalități de până la 1% din cifra de afaceri zilnică medie mondială (art. 35(6)). Prima listă (19 furnizori) a fost publicată la 18 noiembrie 2025.

Contractele mele mai vechi trebuie modificate? Da. DORA se aplică de la 17 ianuarie 2025, iar contractele existente trebuie aliniate la art. 30. Practic, clienții financiari inițiază runde de renegociere/addendumuri.

Cine mă supraveghează în România? Depinde de clientul tău: BNR pentru bănci, instituții de plată/monedă electronică și băncile de dezvoltare; ASF pentru firmele de investiții, asigurători, piețe de capital și pensii. Cadrul intern e stabilit prin OUG nr. 14/2026.

Ce riscă clientul (și indirect eu) în caz de neconformitate? OUG nr. 14/2026 prevede amenzi semnificative pentru entitățile financiare — la ASF până la 10.000.000 lei sau 5% din cifra de afaceri, la BNR până la 23.000.000 lei sau 10% din cifra de afaceri — plus măsuri complementare. Presiunea se transferă contractual asupra furnizorilor.

DORA sau NIS2 — care mi se aplică? Depinde de client. Pentru raporturile cu o entitate financiară, se aplică DORA, care e lex specialis și înlocuiește NIS2 pentru sectorul financiar (art. 4 NIS2). Dacă ești în plus „entitate esențială/importantă" NIS2 pentru servicii nefinanciare proprii, ai și obligații NIS2 față de DNSC (transpusă prin OUG nr. 155/2024 și Legea nr. 124/2025). O entitate financiară raportează incidentele pe canalul DORA (art. 19), nu de două ori.

Sunt un furnizor mic (start-up / PFA) — beneficiez de vreo scutire? Nu. Derogările de microîntreprindere și regimul simplificat (art. 16 DORA) privesc entitatea financiară-client, nu furnizorul. Clauzele art. 30 ți se aplică integral, indiferent de dimensiunea ta. Poți negocia realist modul de exercitare (de ex. audituri comune, certificări terțe), dar nu o exceptare de la obligații.

Ce se întâmplă dacă autoritatea cere clientului să rezilieze contractul cu mine? Dacă ești CTPP și nu dai curs recomandărilor Supraveghetorului principal, autoritatea competentă poate cere entităților financiare suspendarea sau rezilierea contractelor (art. 42). De aceea strategia de ieșire (portabilitatea datelor, formate deschise, asistență la migrare) trebuie să fie fezabilă tehnic, nu doar o clauză formală.

Practică și opinii

Implementarea DORA a mutat sarcina conformității în lanțul de aprovizionare: entitățile financiare „împing" cerințele regulamentului către furnizorii lor TIC prin contracte, iar renegocierea acordurilor a fost unul dintre cele mai mari efort operaționale ale sectorului în 2025.

⚠️ Opinie / analiză de specialitate — Ministerul Finanțelor (nota de fundamentare a proiectului OUG) Actul normativ intern a fost motivat prin necesitatea de a evita disfuncționalitățile generate de inexistența unui cadru legal național de aplicare a DORA, mai ales pentru vizibilitatea BNR asupra terților către care băncile au externalizat activități IT&C. Sursa: proiect OUG — Ministerul Finanțelor, oct. 2025 (accesat 2026-09-10)

⚠️ Opinie specialistă — analiză litigio.net (martie 2026) OUG nr. 14/2026 aduce în premieră un regim sancționator local și clarifică repartizarea competențelor între BNR și ASF; pentru procesatorii de plăți și furnizorii de software bancar, noutatea majoră e vizibilitatea și puterea de recomandare a BNR asupra unui segment până acum slab reglementat. Sursa: litigio.net — „Regulamentul DORA în România" (accesat 2026-09-10)

⚠️ Context de piață — comunicat ESA (EBA/EIOPA/ESMA, 18 noiembrie 2025) Prima listă de furnizori terți critici (CTPP) cuprinde 19 companii și se va actualiza anual; desemnarea s-a bazat pe datele din registrele de informații raportate de entitățile financiare și pe o evaluare de criticalitate realizată împreună cu autoritățile naționale. Sursa: EBA — comunicat desemnare CTPP (accesat 2026-09-10)

Referințe

1. Regulamentul (UE) 2022/2554 (DORA) — privind reziliența operațională digitală a sectorului financiar (Cap. V, art. 28–44; art. 64 — data aplicării 17 ianuarie 2025). EUR-Lex, CELEX 32022R2554
2. Directiva (UE) 2022/2556 — de modificare a directivelor financiare conexe (act însoțitor DORA). EUR-Lex, CELEX 32022L2556
3. Regulamentul de punere în aplicare (UE) 2024/2956 — ITS privind modelele registrului de informații (art. 28(9) DORA). EUR-Lex, CELEX 32024R2956
4. Regulamentul delegat (UE) 2024/1773 — RTS privind subcontractarea serviciilor TIC ce susțin funcții critice/importante (art. 30(5) DORA). EUR-Lex, CELEX 32024R1773
5. Regulamentul delegat (UE) 2024/1774 — RTS privind cadrul de gestionare a riscului TIC. EUR-Lex, CELEX 32024R1774
6. OUG nr. 14/2026 — măsuri pentru aplicarea DORA în România (MO nr. 188 din 11 martie 2026). Portal Legislativ
7. ASF — pagina dedicată DORA (Regulamentul (UE) 2022/2554). asfromania.ro
8. EBA/EIOPA/ESMA — comunicat privind desemnarea furnizorilor terți critici (CTPP), 18 noiembrie 2025. eba.europa.eu
9. ⚠️ litigio.net — „Regulamentul DORA în România: ce aduce nou OUG nr. 14/2026" (martie 2026). litigio.net
10. ⚠️ Ministerul Finanțelor — proiect OUG de aplicare a Regulamentului (UE) 2022/2554 (consultare oct. 2025). mfinante.gov.ro
11. Regulamentul delegat (UE) 2024/1502 — RTS privind criteriile de desemnare a furnizorilor terți critici (CTPP) (art. 31(6) DORA). EUR-Lex, CELEX 32024R1502
12. OUG nr. 155/2024 (transpunere NIS2, MO din 31 decembrie 2024) și Legea nr. 124/2025 — cadrul național de securitate cibernetică; autoritate competentă DNSC.
13. Regulamentul (UE) 2016/679 (GDPR) — art. 28 (împuternicit), art. 44-49 (transferuri internaționale). EUR-Lex, CELEX 32016R0679