NIS2 vs DORA
NIS2 vs DORA: kaksi EU:n kyberturvallisuuslakia eri kohderyhmille. DORA kattaa rahoitusalan yksityiskohtaisesti, NIS2 kattaa monet muut sektorit.
NIS2 vs DORA riippuu sektorista. DORA (Digital Operational Resilience Act) on asetus rahoitusyksiköille ja niiden tukemille ICT-toimittajille, ja se on ollut voimassa 17. tammikuuta 2025 lähtien. NIS2 on direktiivi, joka kattaa monia sektoreita, kuten energian, liikenteen, terveyden, digitaalisen infrastruktuurin ja valmistuksen, ja kukin maa muuntaa sen kansalliseksi laiksi.
Rahoitusyksiköille DORA on spesifi sääntö ja menee edelle NIS2:ta siellä, missä ne limittyvät. Muut kattavat yritykset noudattavat NIS2:ta. Yritystä voi myös vaikuttaa epäsuorasti, esimerkiksi pankin IT-toimittajana.
Rinnakkain
| Ominaisuus | NIS2 | DORA |
|---|---|---|
| Koko nimi | Direktiivi (EU) 2022/2555 verkko- ja tietoturvasta | Asetus (EU) 2022/2554 digitaalisesta toiminnan jatkuvuudesta |
| Oikeudellinen muoto | Direktiivi, tarvitsee kansallisia lakeja, tarkat tiedot vaihtelevat maakohtaisesti | Asetus, soveltuu suoraan kaikissa jäsenvaltioissa |
| Kenet se kattaa | Olennaiset ja tärkeät yksiköt monilla sektoreilla | Pankit, vakuutusyhtiöt, sijoituspalveluyritykset, maksu- ja kryptotoimittajat sekä muut rahoitusyksiköt sekä kriittiset ICT-toimittajat |
| Voimaantulopäivä | Jäsenvaltioiden oli transponoitava 17. lokakuuta 2024 mennessä, kansallinen ajoitus vaihtelee | 17. tammikuuta 2025 |
| ICT-riskienhallinta | Vaaditaan, asetettu yleisellä tasolla | Vaaditaan, tarkemmin ja määräytyvillä säännöillä |
| Tapahtumaraportointi | Ennakkovaroitus, ilmoitus ja lopullinen raportti kansallisille viranomaisille | Suurten tapaturmien raportointi rahoitusvalvojille |
| Jatkuvuustestaus | Odotettu osana riskienhallintaa | Määritelty testausohjelma, edistyneet uhkapohjaiset testaukset merkittäville yksiköille |
| Kolmannen osapuolen riskit | Toimitusketjun turvallisuusmittaukset | Tarkat sopimus- ja rekisterisäännöt ICT-toimittajille |
| Seuraamukset | Jopa 10 miljoonaa euroa tai 2 % liikevaihdosta olennaisille yksiköille, jopa 7 miljoonaa tai 1,4 % tärkeille yksiköille | Määrittävät kansalliset valvojat ja viranomaiset, tarkista sääntelyviranomaineesi |
Mitä kukin osaa parhaiten
NIS2
- Laaja kattavuus kriittisillä ja tärkeillä sektoreilla
- Joustava, riskiperusteiset vaatimukset
- Sisältää toimitusketjun ja hallinnon velvoitteet
- Nostaa keskitason monille keskisuurille yrityksille
- Kansalliset lait eroavat maiden välillä
- Vähemmän yksityiskohtainen kuin DORA testauksessa ja toimittajissa
- Soveltamisalaa voi olla vaikea arvioida ilman neuvoja
DORA
- Yksi suoraan sovellettava sääntö koko EU:ssa
- Tarkat vaatimukset ICT-riskien ja testauksen osalta
- Selkeät säännöt ulkoistamiselle ICT-toimittajille
- Menee edelle NIS2:ta rahoitusyksiköiden osalta
- Raskas dokumentointi- ja sopimustyö
- Vain rahoitussektorille ja sen ICT-toimittajille
- Toimittajat voidaan vetää mukaan asiakassopimusten kautta
Katso NIS2:ta, kun
- Toimitat energian, liikenteen, terveydenhuollon, digitaalisen infrastruktuurin, valmistuksen tai muun sääntelyn piiriin kuuluvan alan parissa
- Olet hallittujen palveluiden, pilvipalveluiden tai datakeskuksen tarjoaja
- Olet keskisuurta tai suurta yritystä luokitellulla toimialalla
- Asiakas pyytää sinulta näyttämään NIS2-tason tietoturvan
- Tarvitset tarkistettua, mitä maasi kansallinen lainsäädäntö vaatii
Tarkista DORA-säädös, kun
- Olet pankki, vakuutusyhtiö, sijoitusyritys, maksu- tai kryptapalveluntarjoaja tai muu vastaava rahoitusyksikkö
- Tarjoaat ICT-palveluja rahoitusyksiköille
- Rahoitusasiakas päivittää sopimuksesi DORA-säädöksen mukaiseksi
- Sinun on pidettävä rekisteriä ICT-kolmansien osapuolten toimittajistasi
- Säätelyviranomaisesi kysyy joustavuustestauksesta
Asiakkaat kysyvät usein
Koskeeko NIS2 vai DORA yritystäni?
Rahoitusyksiköt kuuluvat DORA:n piiriin ja muut luokitelluilla aloilla toimivat yritykset kokorajojen ylittyessä NIS2:n. Lue teksti ja kansallisesi lainsäädäntö tai kysy oikeudelliselta neuvonantajalta.
Mikä on pääero NIS2:n ja DORA:n välillä?
NIS2 on direktiivi, joka kattaa useita aloja yleisellä tasolla. DORA on asetus rahoitukselle yksityiskohtaisempine säännöksineen.
Pitävätkö rahoitusyhtiöt myös noudattaa NIS2:ta?
DORA on sektorikohtainen sääntö, joka ohittaa toiset siinä, missä ne limittyvät. Jotkin NIS2:n velvoitteet voivat silti olla relevantteja, joten varmista se säätelijältäsi.
Milloin DORA alkoi tulla voimaan?
17. tammikuuta 2025. NIS2 oli saatettava kansalliseen lainsäädäntöön 17. lokakuuta 2024 mennessä, vaikka maat etenivät eri vauhdilla.
Lisää aiheesta: vertailut
Et ole varma, miten tämä koskee sinua?
Kokenut insinööri käy läpi kohteen, hakukoneesi esiintymisen ja yhteydenottojen saannin, ja kirjoittaa kolme asiaa, jotka kannattaa korjata ensin. Pidät dokumentin joka tapauksessa.