NIS2 vs DORA
NIS2 vs DORA: dos leyes europeas de ciberresiliencia con destinatarios distintos. DORA cubre el sector financiero en detalle, NIS2 cubre muchos otros sectores.
NIS2 frente a DORA se reduce al sector. DORA, el Reglamento de Resiliencia Operativa Digital, es una normativa para entidades financieras y los proveedores de TIC de los que dependen, y se aplica desde el 17 de enero de 2025. NIS2 es una directiva que abarca muchos sectores, como la energía, el transporte, la sanidad, la infraestructura digital y la fabricación, y cada país la transpone a su legislación nacional.
Para entidades financieras, DORA es la norma específica y prevalece sobre NIS2 donde se solapan. Otras empresas cubiertas siguen NIS2. Una empresa también puede verse afectada indirectamente, por ejemplo como proveedor de TI de un banco.
Comparación directa
| Capacidad | NIS2 | DORA |
|---|---|---|
| Nombre completo | Directiva (UE) 2022/2555 sobre seguridad de redes y sistemas de información | Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital |
| Forma jurídica | Directiva, requiere leyes nacionales, los detalles varían según el país | Reglamento, aplicable directamente en todos los Estados miembros |
| A quién cubre | Entidades esenciales e importantes de muchos sectores | Bancos, aseguradoras, empresas de inversión, proveedores de pagos y criptomonedas y otras entidades financieras, además de proveedores críticos de TIC |
| Se aplica desde | Los Estados miembros debían transponerla antes del 17 de octubre de 2024, el calendario nacional varía | 17 de enero de 2025 |
| Gestión de riesgos TIC | Obligatorio, definido a nivel general | Obligatoria, con reglas más detalladas y prescriptivas |
| Notificación de incidentes | Alerta temprana, notificación e informe final a las autoridades nacionales | Notificación de incidentes graves a los supervisores financieros |
| Pruebas de resiliencia | Se espera como parte de la gestión de riesgos | Programa de pruebas definido, pruebas avanzadas guiadas por amenazas para entidades significativas |
| Riesgo de terceros | Medidas de seguridad de la cadena de suministro | Reglas detalladas de contrato y registro para proveedores de TIC |
| Sanciones | Hasta 10 millones de euros o el 2% de la facturación para entidades esenciales, hasta 7 millones o el 1,4% para entidades importantes | Lo fijan los supervisores y las autoridades nacionales, consulte a su regulador |
En qué destaca cada uno
NIS2
- Amplia cobertura en sectores críticos e importantes
- Requisitos flexibles y basados en el riesgo
- Incluye la cadena de suministro y tareas de gestión
- Eleva el nivel mínimo para muchas empresas medianas
- Las leyes nacionales difieren entre países
- Menos detallada que DORA en pruebas y proveedores
- El alcance puede ser difícil de juzgar sin asesoramiento
DORA
- Una norma directamente aplicable en toda la UE
- Requisitos detallados de riesgo TIC y pruebas
- Reglas claras para externalizar a proveedores de TIC
- Prevalece sobre NIS2 para las entidades financieras
- Mucho trabajo de documentación y contratos
- Solo para el sector financiero y sus proveedores de TIC
- Los proveedores pueden verse implicados a través de contratos con clientes
Fíjese en NIS2 cuando
- Trabaja en energía, transporte, sanidad, infraestructura digital, fabricación u otro sector cubierto
- Es un proveedor de servicios gestionados, nube o centro de datos
- Es una empresa mediana o grande de un sector incluido en la lista
- Un cliente le pide demostrar seguridad de nivel NIS2
- Necesita comprobar qué exige la ley nacional de su país
Fíjese en DORA cuando
- Es un banco, una aseguradora, una empresa de inversión, un proveedor de pagos o criptomonedas o una entidad financiera similar
- Usted presta servicios TIC a entidades financieras
- Un cliente financiero está cambiando su contrato por DORA
- Debe mantener un registro de sus proveedores externos de TIC
- Su regulador pregunta por las pruebas de resiliencia
Preguntas frecuentes
¿Se aplican NIS2 o DORA a mi empresa?
¿Cuál es la principal diferencia entre NIS2 y DORA?
¿También tienen que cumplir NIS2 las empresas financieras?
¿Cuándo empezó a aplicarse DORA?
Más sobre comparativas
¿No sabe cómo se aplica a su caso?
Un ingeniero sénior recorre su web, su presencia en buscadores y la forma en que le llegan las consultas, y luego anota las tres cosas que merece la pena arreglar primero. El documento es suyo en cualquier caso.