Česká národní banka v roce 2025 převzala dohled nad trhem kryptoaktiv, zahájila první kontroly podle DORA a současně pokračovala v dohledové a sankční činnosti napříč finančním trhem. Výroční zpráva ČNB za minulý rok ukazuje, že nejčastější problémy nesouvisely s novými regulacemi, ale s kvalitou procesů, dokumentace a vnitřních kontrol.
Když procesy nefungují
Výroční zpráva ČNB nepřináší pouze přehled nových regulatorních povinností. Obsahuje také výsledky kontrol, správních řízení a sankční činnosti napříč finančním trhem. Jaký tedy byl v roce 2025 stav?
V sektoru investičních společností a investičních fondů zahájila vloni ČNB celkem 42 sankčních řízení. Pravomocně skončilo 40 z nich, ČNB uložila 34 pokut a v jednom případě bylo odňato povolení k činnosti investiční společnosti. Celková výše pokut dosáhla téměř 2,5 milionu korun. V oblasti obchodníků s cennými papíry nabyla právní moci tři rozhodnutí o pokutě v celkové výši 1,75 milionu korun a další pokuta ve výši 500 tisíc korun byla uložena za porušení povinností v oblasti boje proti legalizaci výnosů z trestné činnosti (AML).
Pokuty ukládala ČNB také v jiných sektorech, například pojišťovnám nebo nebakovním poskytovatelům spotřebitelského úvěru, kteří dohromady dostali pokuty ve výši 19 milionů korun.
Při čtení jednotlivých kapitol a poznatků z dozorů finančního regulátora je zajímavé, že ČNB opakovaně narážela na podobné nedostatky bez ohledu na typ instituce. Typicky se jednalo o nedostatečně zdokumentované rozhodovací postupy, nekvalitně zpracované analýzy ekonomické výhodnosti obchodů, jen formalistické hodnocení a řízení AML rizik, nedostatečné prověřování klientů nebo neúplné kontroly vlastnických struktur. Společným jmenovatelem většiny zjištění tak nebylo porušení jedné konkrétní povinnosti, ale slabiny v kontrolních mechanismech, dokumentaci a vnitřním řízení finančních institucí.
Dodavatelé pod dohledem
Rok 2025 byl prvním rokem účinnosti evropského nařízení DORA, které sjednocuje pravidla digitální provozní odolnosti finančních institucí. ČNB proto zahájila první dohledové aktivity zaměřené na ICT rizika, hlášení incidentů, testování odolnosti a vztahy s technologickými dodavateli.
Součástí příprav bylo také pilotní šetření připravenosti trhu. Do něj se zapojilo 16 subjektů z oblasti investičních a platebních služeb a ČNB při něm využila dotazník obsahující více než 400 kontrolních otázek. Největší pozornost přitom nebyla věnována samotné kybernetické bezpečnosti, ale dodavatelskému řetězci. Podle výroční zprávy patřilo plnění požadavků na řízení vztahů s poskytovateli ICT služeb mezi nejsložitější části implementace nařízení DORA. Mnohé instituce musely poměrně rozsáhle upravit smluvní dokumentaci, doplnit nové smluvní závazky a vytvořit evidenci dodavatelů, které dosud takto systematicky nesledovaly.
DORA zároveň mění pohled regulátora na outsourcing a využívání technologických služeb. Po mnoho let byly vztahy s poskytovateli cloudových služeb, datových center nebo bezpečnostních řešení vnímány především jako provozní záležitost organizace, byť v některých oblastech finančních služeb byl částečně regulován. DORA však nastavuje komplexní povinnosti v oblasti řízení ICT dodavatelů pro takřka všechny finanční instituce bez rozdílu. V dubnu 2025 proto proběhl první celoevropský sběr údajů o smluvních vztazích s ICT dodavateli. Cílem bylo zjistit, zda významná část finančního sektoru není závislá na omezeném počtu technologických společností.
Taková koncentrace představuje specifické systémové riziko. Pokud stejnou cloudovou infrastrukturu nebo obdobné kritické služby využívá velká část trhu, může výpadek jednoho poskytovatele současně zasáhnout desítky finančních institucí.
36 zbytečných povinností
Vedle nových požadavků obsahuje výroční zpráva také výsledky auditu takzvaného goldplatingu, tedy právních povinností ukládaných nad rámec evropských předpisů. ČNB při něm identifikovala 36 požadavků, které podle jejího názoru nepřinášely odpovídající přínos.
Následně bylo zrušeno 14 úředních sdělení a upraveno 19 vyhlášek ČNB. Současně ČNB předložila Ministerstvu financí návrhy na odstranění dalších 41 povinností nebo omezení obsažených v různých zákonech.
Tato čísla stojí za pozornost i proto, že pocházejí ze stejného roku, ve kterém finanční sektor zaváděl DORA a připravoval se na plnou aplikaci MiCA. Zpráva tak nepopisuje pouze vznik nových povinností, dozorové poznatky a pokuty ČNB, ale také snahu ČNB odstranit část pravidel, která již neodpovídají současné podobě finančního trhu.
Podáno 245 žádostí o kryptolicenci
Od února 2025 začala ČNB vykonávat dohled nad poskytovateli služeb souvisejících s kryptoaktivy podle evropského nařízení MiCA. Během prvního roku obdržela 245 žádostí o licenci poskytovatele služeb souvisejících s kryptoaktivy. Podle ČNB šlo o nejvyšší počet v celé Evropské unii.
Do konce roku bylo ukončeno 184 správních řízení a ve 171 případech bylo řízení zastaveno. Nejčastějším důvodem byla neúplná dokumentace. Pouze 11 žadatelů předložilo dokumentaci v takovém rozsahu a kvalitě, aby se ČNB mohla zabývat samotným obsahem žádosti. Ve 28 případech nebyl uhrazen správní poplatek, sedm řízení skončilo kvůli procesním nedostatkům, zejména chybějícím překladům dokumentů, a ve 13 případech byla žádost podána způsobem, který nesplňoval zákonné požadavky. K červnu 2026 zatím ČNB udělila 11 MiCA licencí. Přitom platí, že služby spojené s kryptoaktivy lze od 1. července letošního roku poskytovat pouze s touto licencí.
Za nejzajímavější z této části výroční zprávy lze považovat skutečnost, že většina řízení skončila ještě před posuzováním obchodního modelu, řízení rizik, zajištění kybernetické bezpečnosti nebo finanční stability žadatele. Převážná část problémů totiž souvisela se základní přípravou žádosti a doložením požadovaných podkladů, když významnou část žadatelů navíc tvořily takzvané ready-made společnosti založené krátce před koncem přechodného období. Takové ČNB na trh rozhodně pustit nechce.
Od dokumentů k fungování organizace
Výroční zpráva České národní banky za rok 2025 ukazuje posun, který je patrný napříč jednotlivými sektory finančního trhu. DORA přinesla komplexní dohled nad digitální provozní odolností, MiCA otevřela zcela novou oblast regulace kryptoaktiv. Sankční rozhodnutí ve “starých oblastech” současně ukazují, že ČNB stále častěji hodnotí kvalitu řídících a kontrolních mechanismů jako celku, nikoliv pouze jednotlivá porušení povinností.
Tento motiv se objevuje napříč celou výroční zprávou zprávou. Ať už jde o DORA, MiCA, AML, platební služby, úvěry nebo investice, ČNB se nezaměřuje pouze na existenci pravidel. Hodnotí, zda finanční instituce dokáže doložit, že podle nich právních předpisů i interních pravidel a směrnic opravdu postupuje. Pokud to doložit nedokáže, má problém
