NIS2 vs DORA
NIS2 vs DORA: to EU-lover om cyberrobusthet med ulike målgrupper. DORA dekker finanssektoren i detalj, NIS2 dekker mange andre sektorer.
NIS2 vs DORA handler om sektor. DORA, Digital Operational Resilience Act, er et regelverk for finansforetak og IKT-leverandørene de er avhengige av, og har gjeldt siden 17. januar 2025. NIS2 er et direktiv som dekker mange sektorer, som energi, transport, helse, digital infrastruktur og produksjon, og hvert land gjør det til nasjonal lov.
For finansaktører er DORA den spesifikke regelen og har forrang over NIS2 der de overlapper. Andre omfattede selskaper følger NIS2. Et selskap kan også bli berørt indirekte, for eksempel som IT-leverandør til en bank.
Side om side
| Kompetanse | NIS2 | DORA |
|---|---|---|
| Fullt navn | Direktiv (EU) 2022/2555 om nettverks- og informasjonssikkerhet | Forordning (EU) 2022/2554 om digital operasjonell motstandsdyktighet |
| Juridisk form | Direktiv, krever nasjonale lover, detaljene varierer fra land til land | Regulering, gjelder direkte i alle medlemsland |
| Hvem det dekker | Viktige og essensielle virksomheter på tvers av mange sektorer | Banker, forsikringsselskaper, investeringsselskaper, betalings- og kryptoleverandører og andre finansielle enheter, pluss kritiske IKT-leverandører |
| Gjelder fra | Medlemsstatene måtte innføre reglene innen 17. oktober 2024, nasjonal timing varierer | 17. januar 2025 |
| IKT-risikostyring | Påkrevd, satt på overordnet nivå | Pålagt, med mer detaljerte og bindende regler |
| Hendelsesrapportering | Tidlig varsling, melding og sluttrapport til nasjonale myndigheter | Rapportering av alvorlige hendelser til finanstilsyn |
| Motstandskrafttesting | Forventet som en del av risikostyringen | Definert testprogram, avansert trusselstyrt testing for betydelige virksomheter |
| Tredjepartsrisiko | Sikkerhetstiltak i forsyningskjeden | Detaljerte kontrakts- og registerregler for IKT-leverandører |
| Straffer | Opptil 10 millioner euro eller 2 % av omsetningen for essensielle virksomheter, opptil 7 millioner eller 1,4 % for viktige virksomheter | Fastsettes av nasjonale tilsynsmyndigheter, sjekk din regulator |
Hva hver av dem er god på
NIS2
- Bred dekning på tvers av kritiske og viktige sektorer
- Fleksible, risikobaserte krav
- Omfatter plikter for leverandørkjede og ledelse
- Hever grunnlinjen for mange mellomstore selskaper
- Nasjonale lover varierer mellom land
- Mindre detaljert enn DORA om testing og leverandører
- Omfanget kan være vanskelig å vurdere uten rådgivning
DORA
- Én regel som gjelder direkte i hele EU
- Detaljerte krav til IKT-risiko og testing
- Klare regler for utkontraktering til IKT-leverandører
- Har forrang over NIS2 for finansforetak
- Mye dokumentasjon og kontraktarbeid
- Kun for finanssektoren og dens IKT-leverandører
- Leverandører kan trekkes inn gjennom kundekontrakter
Se på NIS2 når
- Du jobber innen energi, transport, helse, digital infrastruktur, produksjon eller en annen omfattet sektor
- Du er leverandør av managed services, skytjenester eller datasentre
- Du er en mellomstor eller stor bedrift i en oppført sektor
- En kunde ber deg vise sikkerhet på NIS2-nivå
- Du må sjekke hva den nasjonale loven i landet ditt krever
Se på DORA når
- Du er bank, forsikringsselskap, verdipapirforetak, betalings- eller kryptoleverandør eller lignende finansforetak
- Du leverer IKT-tjenester til finansforetak
- En finanskunde endrer kontrakten din på grunn av DORA
- Du må føre et register over tredjepartsleverandører av IKT-tjenester
- Tilsynsmyndigheten spør om robusthetstesting
Spørsmål folk stiller
Gjelder NIS2 eller DORA for bedriften min?
Hva er hovedforskjellen mellom NIS2 og DORA?
Må finansbedrifter også følge NIS2?
Når trådte DORA i kraft?
Usikker på hvordan dette gjelder deg?
En senioringeniør går gjennom nettstedet ditt, synligheten din i søk og måten henvendelser når deg på, og skriver deretter ned de tre tingene som er verdt å fikse først. Du beholder dokumentet uansett.