NIS2 vs DORA
NIS2 vs DORA: dva zákony EU o kybernetické odolnosti s různými adresáty. DORA podrobně pokrývá finanční sektor, NIS2 mnoho dalších odvětví.
NIS2 vs DORA se rozhoduje podle odvětví. DORA, nařízení o digitální provozní odolnosti, je předpis pro finanční subjekty a ICT poskytovatele, na nichž závisí, a platí od 17. ledna 2025. NIS2 je směrnice pokrývající mnoho odvětví, jako je energetika, doprava, zdravotnictví, digitální infrastruktura a výroba, a každá země ji převádí do národního práva.
Pro finanční subjekty je DORA konkrétním pravidlem a tam, kde se překrývají, má přednost před NIS2. Ostatní pokryté firmy se řídí NIS2. Firma může být zasažena i nepřímo, například jako IT dodavatel banky.
Vedle sebe
| Možnost | NIS2 | DORA |
|---|---|---|
| Celé jméno | Směrnice (EU) 2022/2555 o bezpečnosti sítí a informací | Nařízení (EU) 2022/2554 o digitální provozní odolnosti |
| Právní forma | Směrnice, vyžaduje národní zákony, podrobnosti se liší podle země | Nařízení, platí přímo ve všech členských státech |
| Koho pokrývá | Klíčové a důležité subjekty v mnoha odvětvích | Banky, pojišťovny, investiční firmy, poskytovatele plateb a kryptoměn a další finanční subjekty, plus kritické ICT poskytovatele |
| Platí od | Členské státy musely transponovat do 17. října 2024, národní termíny se liší | 17. ledna 2025 |
| Řízení ICT rizik | Vyžadováno, stanoveno na obecné úrovni | Vyžadováno, s podrobnějšími a přísnějšími pravidly |
| Hlášení incidentů | Včasné varování, oznámení a závěrečná zpráva národním úřadům | Hlášení závažných incidentů finančním dozorům |
| Testování odolnosti | Očekáváno jako součást řízení rizik | Definovaný program testování, pokročilé testování vedené hrozbami pro významné subjekty |
| Riziko třetích stran | Opatření pro bezpečnost dodavatelského řetězce | Podrobná pravidla pro smlouvy a registr ICT poskytovatelů |
| Sankce | Až 10 milionů eur nebo 2 % obratu pro klíčové subjekty, až 7 milionů nebo 1,4 % pro důležité subjekty | Stanovují národní dozoři a úřady, ověřte si to u svého regulátora |
V čem je každá možnost silná
NIS2
- Široké pokrytí kritických a důležitých odvětví
- Flexibilní požadavky založené na riziku
- Zahrnuje povinnosti v dodavatelském řetězci a pro vedení
- Zvyšuje základ pro mnoho středně velkých firem
- Národní zákony se mezi zeměmi liší
- Méně podrobné než DORA v testování a poskytovatelích
- Rozsah lze bez porady těžko posoudit
DORA
- Jedno přímo použitelné pravidlo v celé EU
- Podrobné požadavky na ICT rizika a testování
- Jasná pravidla pro outsourcing na ICT poskytovatele
- Má přednost před NIS2 pro finanční subjekty
- Náročná dokumentace a smluvní práce
- Jen pro finanční sektor a jeho ICT poskytovatele
- Dodavatelé mohou být zataženi přes klientské smlouvy
Na NIS2 se zaměřte, když
- Působíte v energetice, dopravě, zdravotnictví, digitální infrastruktuře, výrobě nebo jiném regulovaném odvětví
- Jste poskytovatel managed služeb, cloudu nebo datového centra
- Jste střední nebo velká společnost v regulovaném odvětví
- Zákazník po vás chce prokázat zabezpečení na úrovni NIS2
- Potřebujete zjistit, co vyžaduje národní právo vaší země
Na DORA se zaměřte, když
- Jste banka, pojišťovna, investiční firma, poskytovatel platebních nebo krypto služeb či podobná finanční instituce
- Poskytujete ICT služby finančním institucím
- Finanční klient mění vaši smlouvu kvůli DORA
- Musíte vést registr svých poskytovatelů ICT třetích stran
- Regulátor se ptá na testování odolnosti
Otázky, které se lidé ptají
Vztahuje se na mou společnost NIS2, nebo DORA?
Jaký je hlavní rozdíl mezi NIS2 a DORA?
Musí se i finanční společnosti řídit NIS2?
Kdy začala platit DORA?
Nejste si jistí, jak se to týká vás?
Zkušený inženýr projde váš web, vaši viditelnost ve vyhledávání a způsob, jakým se k vám dostávají poptávky, a poté sepíše tři věci, které je vhodné opravit jako první. Dokument si ponecháte tak jako tak.