NIS2 vs DORA
NIS2 vs DORA: dwie unijne ustawy o cyberodporności dla różnych odbiorców. DORA szczegółowo obejmuje sektor finansowy, NIS2 obejmuje wiele innych sektorów.
NIS2 vs DORA sprowadza się do sektora. DORA, czyli Digital Operational Resilience Act, to rozporządzenie dla podmiotów finansowych i dostawców ICT, od których zależą, i obowiązuje od 17 stycznia 2025. NIS2 to dyrektywa obejmująca wiele sektorów, takich jak energetyka, transport, zdrowie, infrastruktura cyfrowa i produkcja przemysłowa, a każde państwo przenosi ją do prawa krajowego.
Dla podmiotów finansowych DORA jest przepisem szczególnym i ma pierwszeństwo przed NIS2 tam, gdzie się nakładają. Inne objęte firmy stosują NIS2. Firma może być też dotknięta pośrednio, na przykład jako dostawca IT dla banku.
Obok siebie
| Możliwość | NIS2 | DORA |
|---|---|---|
| Imię i nazwisko | Dyrektywa (UE) 2022/2555 w sprawie bezpieczeństwa sieci i informacji | Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej |
| Forma prawna | Dyrektywa, wymaga przepisów krajowych, szczegóły różnią się w zależności od kraju | Rozporządzenie, stosowane bezpośrednio we wszystkich państwach członkowskich |
| Kogo obejmuje | Podmioty kluczowe i ważne w wielu sektorach | Banki, ubezpieczyciele, firmy inwestycyjne, dostawcy usług płatniczych i kryptoaktywów oraz inne podmioty finansowe, a także krytyczni dostawcy ICT |
| Obowiązuje od | Państwa członkowskie miały obowiązek wdrożenia do 17 października 2024 r., terminy krajowe są różne | 17 stycznia 2025 |
| Zarządzanie ryzykiem ICT | Wymagane, określone na ogólnym poziomie | Wymagane, z bardziej szczegółowymi i rygorystycznymi przepisami |
| Zgłaszanie incydentów | Wczesne ostrzeganie, powiadomienie i raport końcowy do organów krajowych | Zgłaszanie poważnych incydentów do nadzorów finansowych |
| Testowanie odporności | Oczekiwane w ramach zarządzania ryzykiem | Zdefiniowany program testów, zaawansowane testowanie oparte na zagrożeniach dla podmiotów istotnych |
| Ryzyko związane z podmiotami trzecimi | Środki bezpieczeństwa łańcucha dostaw | Szczegółowe zasady umów i rejestru dla dostawców ICT |
| Kary | Do 10 milionów euro lub 2% obrotu dla podmiotów kluczowych, do 7 milionów lub 1,4% dla podmiotów ważnych | Ustalane przez krajowe organy nadzorcze i organy, sprawdź swojego regulatora |
W czym każdy z nich jest dobry
NIS2
- Szeroki zakres w sektorach krytycznych i ważnych
- Elastyczne wymagania oparte na ryzyku
- Obejmuje obowiązki w zakresie łańcucha dostaw i zarządzania
- Podnosi poziom odniesienia dla wielu średnich firm
- Przepisy krajowe różnią się między krajami
- Mniej szczegółowe niż DORA w zakresie testowania i dostawców
- Zakres może być trudny do oceny bez doradztwa
DORA
- Jedna bezpośrednio stosowana zasada w całej UE
- Szczegółowe wymagania dotyczące ryzyka ICT i testowania
- Jasne zasady outsourcingu do dostawców ICT
- Ma pierwszeństwo przed NIS2 w przypadku podmiotów finansowych
- Duża dokumentacja i praca nad umowami
- Tylko dla sektora finansowego i jego dostawców ICT
- Dostawcy mogą zostać objęci poprzez umowy z klientami
Na NIS2 warto spojrzeć, gdy
- Działają Państwo w energetyce, transporcie, ochronie zdrowia, infrastrukturze cyfrowej, produkcji przemysłowej lub innym objętym sektorze
- Są Państwo dostawcą usług zarządzanych, chmury lub centrum danych
- Są Państwo średnią lub dużą firmą w sektorze z listy
- Klient prosi o potwierdzenie bezpieczeństwa na poziomie NIS2
- Trzeba sprawdzić, czego wymaga prawo krajowe Państwa kraju
Na DORA warto spojrzeć, gdy
- Są Państwo bankiem, ubezpieczycielem, firmą inwestycyjną, dostawcą usług płatniczych lub kryptoaktywów bądź podobnym podmiotem finansowym
- Świadczą Państwo usługi ICT dla podmiotów finansowych
- Klient finansowy zmienia umowę z powodu DORA
- Trzeba prowadzić rejestr dostawców ICT zewnętrznych
- Regulator pyta o testowanie odporności
Częste pytania
Czy NIS2 lub DORA dotyczą mojej firmy?
Jaka jest główna różnica między NIS2 a DORA?
Czy firmy finansowe muszą też przestrzegać NIS2?
Kiedy DORA zaczęła obowiązywać?
Więcej o: porównania
Nie są Państwo pewni, czy to dotyczy Państwa firmy?
Doświadczony inżynier analizuje Państwa stronę, widoczność w wyszukiwarkach i sposób, w jaki trafiają do Państwa zapytania, a następnie zapisuje trzy rzeczy, które warto naprawić w pierwszej kolejności. Dokument zostaje u Państwa tak czy inaczej.