NIS2 vs DORA
NIS2 vs DORA: twee EU-wetten voor cyberweerbaarheid met verschillende doelgroepen. DORA dekt de financiële sector in detail, NIS2 dekt veel andere sectoren.
NIS2 versus DORA komt neer op de sector. DORA, de Digital Operational Resilience Act, is een verordening voor financiële instellingen en de ICT-providers waarvan zij afhankelijk zijn, en geldt sinds 17 januari 2025. NIS2 is een richtlijn die veel sectoren bestrijkt, zoals energie, transport, gezondheidszorg, digitale infrastructuur en productie, en elk land zet die om in nationale wetgeving.
Voor financiële entiteiten is DORA de specifieke regel en die gaat voor op NIS2 waar ze overlappen. Andere betrokken bedrijven volgen NIS2. Een bedrijf kan ook indirect geraakt worden, bijvoorbeeld als IT-leverancier van een bank.
Naast elkaar
| Mogelijkheid | NIS2 | DORA |
|---|---|---|
| Volledige naam | Richtlijn (EU) 2022/2555 over netwerk- en informatiebeveiliging | Verordening (EU) 2022/2554 over digitale operationele weerbaarheid |
| Rechtsvorm | Richtlijn, vereist nationale wetgeving, details verschillen per land | Verordening, geldt rechtstreeks in alle lidstaten |
| Wie het dekt | Essentiële en belangrijke entiteiten in veel sectoren | Banken, verzekeraars, beleggingsondernemingen, betaal- en cryptoproviders en andere financiële entiteiten, plus kritieke ICT-providers |
| Geldt vanaf | Lidstaten moesten uiterlijk 17 oktober 2024 omzetten, nationale timing verschilt | 17 januari 2025 |
| ICT-risicobeheer | Vereist, op algemeen niveau vastgesteld | Verplicht, met gedetailleerdere en dwingendere regels |
| Incidentmelding | Vroege waarschuwing, melding en eindrapport aan de nationale autoriteiten | Melding van grote incidenten aan financiële toezichthouders |
| Weerbaarheidstesten | Verwacht als onderdeel van risicomanagement | Vast testprogramma, geavanceerd threat-led testen voor significante entiteiten |
| Risico van derden | Maatregelen voor supply chain-beveiliging | Gedetailleerde contract- en registerregels voor ICT-leveranciers |
| Boetes | Tot 10 miljoen euro of 2% van de omzet voor essentiële entiteiten, tot 7 miljoen of 1,4% voor belangrijke entiteiten | Vastgesteld door nationale toezichthouders en autoriteiten, check uw regulator |
Waar elk goed in is
NIS2
- Brede dekking over kritieke en belangrijke sectoren
- Flexibele, risicogebaseerde eisen
- Omvat toezicht op de toeleveringsketen en managementtaken
- Verhoogt de basis voor veel middelgrote bedrijven
- Nationale wetten verschillen per land
- Minder gedetailleerd dan DORA over testen en providers
- Scope is lastig te beoordelen zonder advies
DORA
- Eén rechtstreeks toepasselijke regel in de hele EU
- Gedetailleerde eisen voor ICT-risico en -testen
- Duidelijke regels voor uitbesteding aan ICT-leveranciers
- Gaat voor financiële entiteiten boven NIS2
- Veel documentatie- en contractwerk
- Alleen voor de financiële sector en haar ICT-leveranciers
- Leveranciers kunnen via klantcontracten worden meegenomen
Kijk naar NIS2 wanneer
- U werkt in energie, transport, gezondheidszorg, digitale infrastructuur, productie of een andere gedekte sector
- U bent een managed service-, cloud- of datacenterprovider
- U bent een middelgroot of groot bedrijf in een genoemde sector
- Een klant vraagt u om beveiliging op NIS2-niveau aan te tonen
- U moet nagaan wat de nationale wet van uw land vereist
Kijk naar DORA wanneer
- U bent een bank, verzekeraar, beleggingsonderneming, betaal- of cryptodienstverlener of vergelijkbare financiële entiteit
- U levert ICT-diensten aan financiële entiteiten
- Een financiële klant wijzigt uw contract vanwege DORA
- U moet een register bijhouden van uw ICT-derdeaanbieders
- Uw toezichthouder vraagt naar veerkrachttests
Veelgestelde vragen
Geldt NIS2 of DORA voor mijn bedrijf?
Wat is het belangrijkste verschil in NIS2 versus DORA?
Moeten financiële bedrijven ook NIS2 volgen?
Wanneer ging DORA gelden?
Weet u niet zeker hoe dit voor u werkt?
Een senior engineer loopt uw site, uw zoekpositie en de manier waarop aanvragen u bereiken na, en schrijft dan de drie dingen op die u het eerst moet aanpakken. Het document is hoe dan ook van u.