NIS2 vs DORA
NIS2 vs DORA: två EU-lagar om cyberresiliens med olika målgrupper. DORA täcker finanssektorn i detalj, NIS2 täcker många andra sektorer.
NIS2 vs DORA handlar om sektor. DORA, Digital Operational Resilience Act, är en förordning för finansiella aktörer och de ICT-leverantörer de är beroende av, och den har gällt sedan 17 januari 2025. NIS2 är ett direktiv som omfattar många sektorer, som energi, transport, hälsa, digital infrastruktur och tillverkning, och varje land införlivar det i nationell lag.
För finansiella aktörer är DORA den specifika regeln och har företräde framför NIS2 där de överlappar. Andra omfattade företag följer NIS2. Ett företag kan också påverkas indirekt, till exempel som IT-leverantör till en bank.
Sida vid sida
| Kompetens | NIS2 | DORA |
|---|---|---|
| Fullständigt namn | Direktiv (EU) 2022/2555 om nät- och informationssäkerhet | Förordning (EU) 2022/2554 om digital operativ motståndskraft |
| Juridisk form | Direktiv, kräver nationella lagar, detaljerna varierar mellan länder | Förordning, gäller direkt i alla medlemsstater |
| Vem det omfattar | Väsentliga och viktiga enheter inom många sektorer | Banker, försäkringsbolag, investeringsbolag, betalnings- och kryptoleverantörer och andra finansiella enheter, plus kritiska ICT-leverantörer |
| Gäller från | Medlemsstaterna skulle införliva senast 17 oktober 2024, nationell tidpunkt varierar | 17 januari 2025 |
| Hantering av IKT-risk | Krävs, sätts på en övergripande nivå | Obligatoriskt, med mer detaljerade och bindande regler |
| Incidentrapportering | Tidig varning, anmälan och slutrapport till nationella myndigheter | Rapportering av allvarliga incidenter till finansinspektionen |
| Resilienstestning | Förväntas som en del av riskhanteringen | Definierat testprogram, avancerad hotledd testning för betydande enheter |
| Tredjepartsrisk | Säkerhetsåtgärder i leveranskedjan | Detaljerade avtals- och registerregler för ICT-leverantörer |
| Straff | Upp till 10 miljoner euro eller 2 % av omsättningen för väsentliga enheter, upp till 7 miljoner eller 1,4 % för viktiga enheter | Sätts av nationella tillsynsmyndigheter och myndigheterna, kontrollera din regulator |
Vad var och en är bra på
NIS2
- Bred täckning över kritiska och viktiga sektorer
- Flexibla, riskbaserade krav
- Omfattar skyldigheter för leverantörskedjan och ledningen
- Höjer ribban för många medelstora företag
- Nationella lagar skiljer sig mellan länder
- Mindre detaljerad än DORA om testning och leverantörer
- Omfattningen kan vara svår att bedöma utan rådgivning
DORA
- En direkt tillämplig regel i hela EU
- Detaljerade krav på ICT-risk och testning
- Tydliga regler för utkontraktering till ICT-leverantörer
- Har företräde framför NIS2 för finansiella enheter
- Omfattande dokumentation och avtalsarbete
- Endast för finanssektorn och dess ICT-leverantörer
- Leverantörer kan omfattas via kundavtal
Titta på NIS2 när
- Du verkar inom energi, transport, hälsa, digital infrastruktur, tillverkning eller en annan omfattad sektor
- Du är en leverantör av hanterade tjänster, moln eller datacenter
- Du är ett medelstort eller stort företag i en listad sektor
- En kund ber dig visa säkerhet på NIS2-nivå
- Du behöver kontrollera vad din nations lagstiftning kräver
Titta på DORA när
- Du är bank, försäkringsbolag, värdepappersföretag, betalnings- eller kryptoleverantör eller liknande finansiell enhet
- Du levererar ICT-tjänster till finansiella enheter
- En finansiell kund ändrar ditt avtal enligt DORA
- Du måste föra ett register över dina tredjepartsleverantörer av IKT
- Din tillsynsmyndighet frågar om motståndskraftstestning
Frågor folk ställer
Gäller NIS2 eller DORA för mitt företag?
Vad är den största skillnaden mellan NIS2 och DORA?
Måste finansföretag också följa NIS2?
När började DORA att gälla?
Osäker på hur detta gäller dig?
En senior ingenjör går igenom din webbplats, din synlighet i sök och hur förfrågningar når dig, och skriver sedan ner de tre saker som är mest värda att åtgärda först. Du behåller dokumentet oavsett.