NIS2 vs DORA
NIS2 vs DORA: due leggi UE sulla resilienza informatica con destinatari diversi. DORA copre in dettaglio il settore finanziario, NIS2 copre molti altri settori.
NIS2 vs DORA si riduce al settore. DORA, il Digital Operational Resilience Act, è un regolamento per le entità finanziarie e i fornitori ICT da cui dipendono, ed è in vigore dal 17 gennaio 2025. NIS2 è una direttiva che copre molti settori, come energia, trasporti, sanità, infrastrutture digitali e manifattura, e ogni Paese la recepisce nel diritto nazionale.
Per le entità finanziarie, DORA è la regola specifica e prevale su NIS2 dove si sovrappongono. Le altre aziende coperte seguono NIS2. Un'azienda può anche essere interessata indirettamente, per esempio come fornitore IT di una banca.
A confronto
| Funzionalità | NIS2 | DORA |
|---|---|---|
| Nome e cognome | Direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi | Regolamento (UE) 2022/2554 sulla resilienza operativa digitale |
| Forma giuridica | Direttiva, richiede leggi nazionali, i dettagli variano da paese a paese | Regolamento, si applica direttamente in tutti gli Stati membri |
| Chi riguarda | Entità essenziali e importanti in molti settori | Banche, assicurazioni, imprese di investimento, fornitori di pagamenti e criptovalute e altre entità finanziarie, oltre ai fornitori ICT critici |
| Si applica dal | Gli Stati membri dovevano recepirla entro il 17 ottobre 2024, le tempistiche nazionali variano | 17 gennaio 2025 |
| Gestione del rischio ICT | Richiesta, definita a livello generale | Richiesta, con regole più dettagliate e prescrittive |
| Segnalazione degli incidenti | Allerta precoce, notifica e relazione finale alle autorità nazionali | Segnalazione degli incidenti gravi alle autorità di vigilanza finanziaria |
| Test di resilienza | Previsti nell'ambito della gestione del rischio | Programma di test definito, test avanzati guidati dalle minacce per le entità significative |
| Rischio di terze parti | Misure di sicurezza della catena di fornitura | Regole dettagliate su contratti e registro per i fornitori ICT |
| Sanzioni | Fino a 10 milioni di euro o al 2% del fatturato per le entità essenziali, fino a 7 milioni o all'1,4% per le entità importanti | Stabilite dalle autorità di vigilanza nazionali e dalle autorità competenti, verifichi il suo regolatore |
In cosa eccelle ciascuno
NIS2
- Ampia copertura nei settori critici e importanti
- Requisiti flessibili e basati sul rischio
- Include obblighi su catena di fornitura e management
- Alza il livello minimo per molte aziende di medie dimensioni
- Le leggi nazionali differiscono tra i paesi
- Meno dettagliata di DORA su test e fornitori
- L'ambito può essere difficile da valutare senza consulenza
DORA
- Una regola direttamente applicabile in tutta l'UE
- Requisiti dettagliati su rischio ICT e test
- Regole chiare per l'outsourcing verso fornitori ICT
- Prevale su NIS2 per le entità finanziarie
- Notevole lavoro su documentazione e contratti
- Solo per il settore finanziario e i suoi fornitori ICT
- I fornitori possono essere coinvolti tramite i contratti con i clienti
Consideri NIS2 quando
- Opera nell'energia, nei trasporti, nella sanità, nelle infrastrutture digitali, nella manifattura o in un altro settore coperto
- È un fornitore di servizi gestiti, cloud o data center
- È un'azienda media o grande in un settore elencato
- Un cliente le chiede di dimostrare una sicurezza di livello NIS2
- Deve verificare cosa richiede la legge nazionale del suo paese
Consideri DORA quando
- È una banca, un'assicurazione, un'impresa di investimento, un fornitore di pagamenti o criptovalute o un'entità finanziaria simile
- Fornisce servizi ICT a entità finanziarie
- Un cliente finanziario sta modificando il suo contratto per DORA
- Deve tenere un registro dei suoi fornitori terzi ICT
- Il suo regolatore chiede informazioni sui test di resilienza
Domande frequenti
NIS2 o DORA si applicano alla mia azienda?
Le entità finanziarie rientrano in DORA, mentre le altre aziende in settori elencati e al di sopra delle soglie dimensionali rientrano in NIS2. Verifichi il testo e la legge nazionale, o si rivolga a un consulente legale.
Qual è la differenza principale tra NIS2 e DORA?
NIS2 è una direttiva che copre molti settori in termini generali. DORA è un regolamento per la finanza, con regole più dettagliate.
Anche le aziende finanziarie devono seguire NIS2?
DORA è la regola specifica di settore e prevale dove le due si sovrappongono. Alcuni obblighi NIS2 possono restare rilevanti, quindi verifichi con il suo regolatore.
Da quando si applica DORA?
Dal 17 gennaio 2025. NIS2 doveva essere recepita nel diritto nazionale entro il 17 ottobre 2024, anche se i paesi hanno proceduto a velocità diverse.
Altro su: confronti
Non è sicuro che questo valga per lei?
Un ingegnere senior analizza il suo sito, la sua presenza sui motori di ricerca e il modo in cui le richieste le arrivano, poi annota le tre cose da sistemare per prime. Il documento resta suo in ogni caso.