NIS2 vs DORA
NIS2 vs DORA: két uniós kiberreziliencia-jogszabály, más célközönséggel. A DORA részletesen a pénzügyi ágazatot fedi le, a NIS2 pedig számos más ágazatot.
A NIS2 vs DORA kérdése az ágazaton múlik. A DORA, a digitális működési rezilienciáról szóló rendelet a pénzügyi szervezetekre és a tőlük függő IKT-szolgáltatókra vonatkozó szabályozás, amely 2025. január 17-e óta alkalmazandó.
A pénzügyi szervezetek számára a DORA a konkrét szabály, és átfedés esetén elsőbbséget élvez a NIS2-vel szemben. Más érintett cégek a NIS2-t követik. Egy cég közvetve is érintett lehet, például ha egy banknak szállít IT-t.
Egymás mellett
| Képesség | NIS2 | DORA |
|---|---|---|
| Teljes név | A hálózati és információs biztonságról szóló (EU) 2022/2555 irányelv | A digitális működési rezilienciáról szóló (EU) 2022/2554 rendelet |
| Jogi forma | Irányelv, nemzeti jogszabályokat igényel, a részletek országonként eltérnek | Rendelet, közvetlenül alkalmazandó minden tagállamban |
| Kire terjed ki | Lényeges és fontos szervezetekre számos ágazatban | Bankokra, biztosítókra, befektetési vállalkozásokra, fizetési és kriptoszolgáltatókra és más pénzügyi szervezetekre, valamint kritikus IKT-szolgáltatókra |
| Alkalmazandó ettől | A tagállamoknak 2024. október 17-ig kellett átültetniük, a nemzeti ütemezés eltér | 2025. január 17. |
| IKT-kockázatkezelés | Kötelező, általános szinten meghatározva | Kötelező, részletesebb és előíróbb szabályokkal |
| Incidensbejelentés | Korai figyelmeztetés, értesítés és zárójelentés a nemzeti hatóságoknak | Jelentős incidensek bejelentése a pénzügyi felügyeleteknek |
| Rezilienciatesztelés | A kockázatkezelés részeként elvárt | Meghatározott tesztelési program, jelentős szervezeteknél fejlett fenyegetésvezérelt tesztelés |
| Harmadik féltől származó kockázat | Ellátási lánc biztonsági intézkedései | Részletes szerződéses és nyilvántartási szabályok az IKT-szolgáltatókra |
| Szankciók | Lényeges szervezeteknél akár 10 millió euró vagy a forgalom 2%-a, fontos szervezeteknél akár 7 millió vagy 1,4% | A nemzeti felügyeletek és hatóságok határozzák meg, ellenőrizze a saját szabályozóját |
Miben jó az egyik és a másik
NIS2
- Széles lefedettség a kritikus és fontos ágazatokban
- Rugalmas, kockázatalapú követelmények
- Magában foglalja az ellátási láncra és a vezetésre vonatkozó kötelezettségeket
- Megemeli a szintet számos közepes méretű cég számára
- A nemzeti jogszabályok országonként eltérnek
- Kevésbé részletes, mint a DORA a tesztelés és a szolgáltatók tekintetében
- A hatály tanácsadás nélkül nehezen megítélhető
DORA
- Egy közvetlenül alkalmazandó szabály az egész EU-ban
- Részletes követelmények az IKT-kockázatra és a tesztelésre
- Egyértelmű szabályok az IKT-szolgáltatóknak történő kiszervezésre
- A pénzügyi szervezeteknél elsőbbséget élvez a NIS2-vel szemben
- Jelentős dokumentációs és szerződéses munka
- Csak a pénzügyi ágazatra és annak IKT-szolgáltatóira
- A beszállítók ügyfélszerződéseken keresztül bevonhatók
Akkor nézze a NIS2-t, ha
- Az energiaiparban, a közlekedésben, az egészségügyben, a digitális infrastruktúrában, a feldolgozóiparban vagy egy másik érintett ágazatban dolgozik
- Ön felügyelt szolgáltatást, felhőt vagy adatközpontot nyújtó szolgáltató
- Ön közepes vagy nagyvállalat egy felsorolt ágazatban
- Egy ügyfél NIS2-szintű biztonságot kér Öntől
- Meg kell vizsgálnia, mit ír elő az Ön országának nemzeti joga
Akkor nézze meg a DORA-t, ha
- Ön bank, biztosító, befektetési vállalkozás, fizetési vagy kriptoszolgáltató vagy hasonló pénzügyi intézmény
- Ön IKT-szolgáltatásokat nyújt pénzügyi intézményeknek
- Egy pénzügyi ügyfél a DORA miatt módosítja a szerződését
- Nyilvántartást kell vezetnie az IKT-külső szolgáltatóiról
- A felügyeleti szerv az ellenállóképesség teszteléséről kérdez
Gyakori kérdések
Vonatkozik-e a NIS2 vagy a DORA a cégemre?
A pénzügyi intézményekre a DORA vonatkozik, a felsorolt ágazatokban működő, méretküszöböt meghaladó egyéb cégekre pedig a NIS2. Nézze meg a jogszabály szövegét és a nemzeti jogot, vagy kérdezzen meg egy jogi tanácsadót.
Mi a fő különbség a NIS2 és a DORA között?
A NIS2 egy irányelv, amely sok ágazatot általánosan lefed. A DORA a pénzügyre vonatkozó rendelet, részletesebb szabályokkal.
A pénzügyi cégeknek is követniük kell a NIS2-t?
A DORA az ágazatspecifikus szabály, és ahol a kettő átfed, ott elsőbbséget élvez. Egyes NIS2-kötelezettségek továbbra is relevánsak lehetnek, ezért egyeztessen a felügyeleti szervével.
Mikortól alkalmazandó a DORA?
2025. január 17-től. A NIS2-t 2024. október 17-ig kellett átültetni a nemzeti jogba, bár az országok eltérő ütemben haladtak.
Több erről: összehasonlítások
Nem biztos benne, hogy ez hogyan vonatkozik Önre?
Egy vezető mérnök bejárja az Ön webhelyét, keresési jelenlétét és azt, ahogyan a megkeresések eljutnak Önhöz, majd leírja az elsőként javítandó három dolgot. A dokumentumot mindenképpen megtartja.