NIS2 vs. DORA
NIS2 vs DORA: to EU-love om cyberrobusthed med forskellige målgrupper. DORA dækker finanssektoren i detaljer, NIS2 dækker mange andre sektorer.
NIS2 vs DORA afhænger af sektoren. DORA, Digital Operational Resilience Act, er en forordning for finansielle enheder og de ICT-udbydere, de er afhængige af, og den har været gældende siden 17. januar 2025. NIS2 er et direktiv, der dækker mange sektorer, såsom energi, transport, sundhed, digital infrastruktur og fremstilling, og hvert land omsætter det til national lovgivning.
For finansielle enheder er DORA den specifikke regel og har forrang for NIS2, hvor de overlapper. Andre omfattede virksomheder følger NIS2. En virksomhed kan også blive påvirket indirekte, for eksempel som IT-leverandør til en bank.
Side om side
| Kompetence | NIS2 | DORA |
|---|---|---|
| Fulde navn | Direktiv (EU) 2022/2555 om net- og informationssikkerhed | Forordning (EU) 2022/2554 om digital operationel robusthed |
| Selskabsform | Direktiv, kræver nationale love, detaljer varierer fra land til land | Regulering, gælder direkte i alle medlemsstater |
| Hvem det dækker | Væsentlige og vigtige enheder på tværs af mange sektorer | Banker, forsikringsselskaber, investeringsselskaber, betalings- og kryptoudbydere og andre finansielle enheder samt kritiske ICT-leverandører |
| Gælder fra | Medlemsstaterne skulle implementere senest 17. oktober 2024, national timing varierer | 17. januar 2025 |
| IKT-risikostyring | Påkrævet, fastsat på overordnet niveau | Påkrævet, med mere detaljerede og præskriptive regler |
| Hændelsesrapportering | Tidlig advarsel, underretning og endelig rapport til nationale myndigheder | Rapportering af større hændelser til finanstilsyn |
| Robusthedstest | Forventes som en del af risikostyringen | Defineret testprogram, avanceret trusselsledet test for væsentlige enheder |
| Tredjepartsrisiko | Sikkerhedstiltag i forsyningskæden | Detaljerede kontrakt- og registerregler for ICT-leverandører |
| Bøder | Op til 10 millioner euro eller 2 % af omsætningen for væsentlige enheder, op til 7 millioner eller 1,4 % for vigtige enheder | Fastsat af nationale tilsyn og myndigheder, tjek din regulator |
Hvad hver enkelt er god til
NIS2
- Bred dækning på tværs af kritiske og vigtige sektorer
- Fleksible, risikobaserede krav
- Omfatter forsyningskæde- og ledelsesforpligtelser
- Hæver bundniveauet for mange mellemstore virksomheder
- Nationale love er forskellige fra land til land
- Mindre detaljeret end DORA om test og udbydere
- Omfanget kan være svært at vurdere uden rådgivning
DORA
- Én direkte anvendelig regel i hele EU
- Detaljerede krav til IKT-risiko og test
- Klare regler for outsourcing til IKT-leverandører
- Har forrang over NIS2 for finansielle enheder
- Tung dokumentation og kontraktarbejde
- Kun for den finansielle sektor og dens ICT-leverandører
- Leverandører kan blive omfattet via kundekontrakter
Se på NIS2, når
- Du arbejder i energi, transport, sundhed, digital infrastruktur, fremstilling eller en anden omfattet sektor
- Du er udbyder af managed services, cloud eller datacenter
- Du er en mellemstor eller stor virksomhed i en omfattet sektor
- En kunde beder dig dokumentere NIS2-niveau sikkerhed
- Du skal undersøge, hvad din lands nationale lov kræver
Se på DORA, når
- Du er bank, forsikringsselskab, investeringsselskab, betalings- eller kryptoudbyder eller lignende finansiel enhed
- Du leverer IKT-tjenester til finansielle enheder
- En finansiel kunde ændrer din kontrakt på grund af DORA
- Du skal føre et register over dine IKT-tredjepartsudbydere
- Din tilsynsmyndighed spørger om robusthedstest
Spørgsmål, folk stiller
Gælder NIS2 eller DORA for min virksomhed?
Hvad er den største forskel på NIS2 og DORA?
Skal finansielle virksomheder også følge NIS2?
Hvornår begyndte DORA at gælde?
Mere om: sammenligninger
Ikke sikker på, hvordan det gælder for dig?
En senioringeniør gennemgår din side, din søgetilstedeværelse og måden, henvendelser når dig på, og skriver derefter de tre ting ned, der er værd at udbedre først. Du beholder dokumentet uanset hvad.