NIS2 vs DORA
NIS2 vs DORA: duas leis europeias de ciber-resiliência com públicos diferentes. A DORA abrange o setor financeiro em detalhe, a NIS2 abrange muitos outros setores.
NIS2 vs DORA resume-se ao setor. O DORA, Digital Operational Resilience Act, é um regulamento para entidades financeiras e para os fornecedores de TIC de que dependem, e aplica-se desde 17 de janeiro de 2025. O NIS2 é uma diretiva que abrange muitos setores, como energia, transportes, saúde, infraestruturas digitais e indústria transformadora, e cada país transpõe-na para o direito nacional.
Para entidades financeiras, o DORA é a regra específica e tem precedência sobre o NIS2 onde se sobrepõem. As restantes empresas abrangidas seguem o NIS2. Uma empresa também pode ser afetada indiretamente, por exemplo, como fornecedor de TI de um banco.
Lado a lado
| Capacidade | NIS2 | DORA |
|---|---|---|
| Nome completo | Diretiva (UE) 2022/2555 sobre segurança de redes e informação | Regulamento (UE) 2022/2554 sobre a resiliência operacional digital |
| Forma jurídica | Diretiva, precisa de leis nacionais, os detalhes variam por país | Regulamento, aplica-se diretamente em todos os Estados-Membros |
| Quem abrange | Entidades essenciais e importantes em vários setores | Bancos, seguradoras, empresas de investimento, prestadores de pagamentos e criptomoedas e outras entidades financeiras, além de fornecedores críticos de TIC |
| Aplica-se a partir de | Os Estados-Membros tinham de transpor até 17 de outubro de 2024, o calendário nacional varia | 17 de janeiro de 2025 |
| Gestão de risco de TIC | Obrigatório, definido a um nível geral | Obrigatória, com regras mais detalhadas e prescritivas |
| Notificação de incidentes | Alerta precoce, notificação e relatório final às autoridades nacionais | Comunicação de incidentes graves aos supervisores financeiros |
| Testes de resiliência | Esperado como parte da gestão de risco | Programa de testes definido, testes avançados orientados a ameaças para entidades significativas |
| Risco de terceiros | Medidas de segurança da cadeia de abastecimento | Regras contratuais e de registo detalhadas para fornecedores de TIC |
| Penalizações | Até 10 milhões de euros ou 2% do volume de negócios para entidades essenciais, até 7 milhões ou 1,4% para entidades importantes | Definido pelos supervisores nacionais e pelas autoridades, verifique o seu regulador |
Em que cada um se destaca
NIS2
- Cobertura ampla em setores críticos e importantes
- Requisitos flexíveis e baseados no risco
- Inclui deveres de cadeia de abastecimento e de gestão
- Eleva o nível de base para muitas empresas de média dimensão
- As leis nacionais diferem entre países
- Menos detalhada do que a DORA em testes e fornecedores
- O âmbito pode ser difícil de avaliar sem aconselhamento
DORA
- Uma regra diretamente aplicável em toda a UE
- Requisitos detalhados para risco de TIC e testes
- Regras claras para subcontratar a fornecedores de TIC
- Tem precedência sobre a NIS2 para entidades financeiras
- Muita documentação e trabalho contratual
- Apenas para o setor financeiro e os seus fornecedores de TIC
- Os fornecedores podem ser abrangidos através de contratos com clientes
Considere a NIS2 quando
- Trabalha em energia, transportes, saúde, infraestruturas digitais, indústria transformadora ou outro setor abrangido
- É um prestador de serviços geridos, nuvem ou centro de dados
- É uma empresa média ou grande num setor listado
- Um cliente pede-lhe para demonstrar segurança ao nível da NIS2
- Precisa de verificar o que exige a lei nacional do seu país
Considere a DORA quando
- É um banco, seguradora, empresa de investimento, prestador de pagamentos ou criptomoedas ou entidade financeira semelhante
- Presta serviços de TIC a entidades financeiras
- Um cliente financeiro está a alterar o seu contrato por causa da DORA
- Tem de manter um registo dos seus prestadores terceiros de TIC
- O seu regulador pergunta sobre testes de resiliência
Perguntas frequentes
O NIS2 ou o DORA aplicam-se à minha empresa?
Qual é a principal diferença entre NIS2 e DORA?
As empresas financeiras também têm de cumprir a NIS2?
Quando começou a aplicar-se a DORA?
Não sabe como isto se aplica a si?
Um engenheiro sénior percorre o seu site, a sua presença na pesquisa e a forma como os pedidos lhe chegam e depois escreve as três coisas que vale a pena corrigir primeiro. O documento fica consigo de qualquer forma.