DORA έναντι NIS2
Σύγκριση του πλαισίου ψηφιακής ανθεκτικότητας του χρηματοπιστωτικού τομέα της ΕΕ με την οδηγία της για την κυβερνοασφάλεια σε όλους τους τομείς
Γρήγορη σύγκριση
Παράλληλη επισκόπηση των βασικών κανονιστικών διαστάσεων
| Διάσταση | DORA | NIS2 |
|---|---|---|
| Νομική πράξη | Κανονισμός (ΕΕ) 2022/2554, άμεσα εφαρμοστέος σε όλα τα κράτη μέλη | Οδηγία (ΕΕ) 2022/2555, η οποία απαιτεί μεταφορά στο εθνικό δίκαιο από κάθε κράτος μέλος |
| Πεδίο εφαρμογής | Μόνο ο χρηματοπιστωτικός τομέας: τράπεζες, ασφαλιστικές επιχειρήσεις, επιχειρήσεις επενδύσεων, ιδρύματα πληρωμών, πάροχοι υπηρεσιών κρυπτοστοιχείων και κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ | Διατομεακό: βασικές και σημαντικές οντότητες σε 18 τομείς, μεταξύ των οποίων η ενέργεια, οι μεταφορές, η υγεία, οι ψηφιακές υποδομές, η δημόσια διοίκηση και άλλοι |
| Πρωταρχικός στόχος | Διασφάλιση της ψηφιακής επιχειρησιακής ανθεκτικότητας των χρηματοοικονομικών οντοτήτων έναντι διαταραχών ΤΠΕ και κυβερνοεπιθέσεων | Επίτευξη υψηλού κοινού επιπέδου κυβερνοασφάλειας σε ολόκληρη την ΕΕ για τα συστήματα δικτύου και πληροφοριών |
| Διαχείριση κινδύνων | Λεπτομερές πλαίσιο διαχείρισης κινδύνων ΤΠΕ με δεσμευτικές απαιτήσεις για τον εντοπισμό, την προστασία, την ανίχνευση, την απόκριση, την ανάκαμψη και τη μάθηση | Προσέγγιση βάσει κινδύνου που απαιτεί κατάλληλα τεχνικά, επιχειρησιακά και οργανωτικά μέτρα, αναλογικά προς τον κίνδυνο |
| Αναφορά περιστατικών | Αναφορά σε τρία στάδια προς τις χρηματοοικονομικές εποπτικές αρχές: αρχική κοινοποίηση (εντός 4 ωρών από την ταξινόμηση), ενδιάμεση αναφορά (εντός 72 ωρών) και τελική αναφορά (εντός 1 μήνα) | Έγκαιρη προειδοποίηση εντός 24 ωρών, πλήρης κοινοποίηση του περιστατικού εντός 72 ωρών και τελική έκθεση εντός 1 μήνα προς τις εθνικές CSIRT ή τις αρμόδιες αρχές |
| Δοκιμές ανθεκτικότητας | Υποχρεωτικό πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας, που περιλαμβάνει δοκιμές διείσδυσης βάσει απειλών (TLPT) κάθε 3 χρόνια για τις σημαντικές οντότητες | Δεν προβλέπεται συγκεκριμένο καθεστώς δοκιμών· τα μέτρα ασφάλειας πρέπει να είναι κατάλληλα, αλλά οι απαιτήσεις δοκιμών αφήνονται στην εθνική εφαρμογή |
| Διαχείριση τρίτων | Ολοκληρωμένο πλαίσιο για τον κίνδυνο ΤΠΕ από τρίτους, που περιλαμβάνει υποχρεωτικές συμβατικές ρήτρες, μητρώο τρίτων παρόχων και εποπτεία σε επίπεδο ΕΕ των κρίσιμων παρόχων ΤΠΕ | Απαιτήσεις ασφάλειας της αλυσίδας εφοδιασμού, που περιλαμβάνουν δέουσα επιμέλεια για τους προμηθευτές, αλλά λιγότερο δεσμευτικές από τον DORA ως προς τους συγκεκριμένους συμβατικούς και εποπτικούς μηχανισμούς |
| Κυρώσεις | Καθορίζονται από τα κράτη μέλη· για τους κρίσιμους παρόχους ΤΠΕ, έως 1% του μέσου ημερήσιου παγκόσμιου κύκλου εργασιών για κάθε ημέρα μη συμμόρφωσης (έως 6 μήνες) | Βασικές οντότητες: εθνικά ανώτατα πρόστιμα τουλάχιστον 10 εκατ. ευρώ ή 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο· σημαντικές οντότητες: τουλάχιστον 7 εκατ. ευρώ ή 1,4 % |
Βασικές διαφορές
Τι διακρίνει αυτούς τους κανονισμούς
- DORA
Ο DORA είναι lex specialis για τις χρηματοοικονομικές υπηρεσίες
Για τις χρηματοοικονομικές οντότητες, ο DORA υπερισχύει της NIS2. Όπου οι δύο ρυθμίσεις καλύπτουν το ίδιο αντικείμενο, όπως η αναφορά περιστατικών ή η διαχείριση κινδύνων κυβερνοασφάλειας, οι χρηματοοικονομικές οντότητες πρέπει να ακολουθούν τις πιο δεσμευτικές απαιτήσεις του DORA και όχι της NIS2.
- NIS2
Η NIS2 καλύπτει 18 τομείς, όχι μόνο τον χρηματοοικονομικό
Η NIS2 εφαρμόζεται ευρέως στην ενέργεια, τις μεταφορές, την υγεία, το νερό, τις ψηφιακές υποδομές, τη δημόσια διοίκηση, το διάστημα, τις ταχυδρομικές υπηρεσίες, τη διαχείριση αποβλήτων, τη μεταποίηση, τα τρόφιμα και τα χημικά, πολύ πέρα από την εστίαση του DORA στον χρηματοοικονομικό τομέα.
- DORA
Ο DORA επιβάλλει προηγμένες δοκιμές διείσδυσης
Ο DORA απαιτεί από τις σημαντικές χρηματοοικονομικές οντότητες να διενεργούν δοκιμές διείσδυσης βάσει απειλών (TLPT) σύμφωνα με το πλαίσιο TIBER-EU τουλάχιστον κάθε τρία χρόνια. Η NIS2 δεν προβλέπει συγκεκριμένη μεθοδολογία ή συχνότητα δοκιμών.
- NIS2
Η NIS2 ορίζει ελάχιστα επίπεδα για τα ανώτατα πρόστιμα
Η NIS2 υποχρεώνει τα κράτη μέλη να ορίζουν για τις βασικές οντότητες ανώτατα πρόστιμα τουλάχιστον 10 εκατ. ευρώ ή 2 % του κύκλου εργασιών, όποιο είναι υψηλότερο, ενώ ο DORA αφήνει τα περισσότερα ποσά στην εθνική διακριτική ευχέρεια και προβλέπει μόνο περιοδικές χρηματικές ποινές για τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.
- DORA
Ο DORA δημιουργεί άμεσο πλαίσιο εποπτείας της ΕΕ για τους κρίσιμους παρόχους ΤΠΕ
Ο DORA θεσπίζει έναν μοναδικό μηχανισμό επικεφαλής φορέα εποπτείας, μέσω του οποίου οι Ευρωπαϊκές Εποπτικές Αρχές εποπτεύουν άμεσα τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ. Η NIS2 βασίζεται στις εθνικές αρμόδιες αρχές για την επιβολή.
- NIS2
Η NIS2 εισάγει προσωπική ευθύνη για τα ανώτερα διοικητικά στελέχη
Η NIS2 επιτρέπει ρητά στα κράτη μέλη να θεωρούν τα διοικητικά όργανα προσωπικά υπεύθυνα για παραλείψεις συμμόρφωσης και να απαγορεύουν προσωρινά σε φυσικά πρόσωπα την άσκηση διοικητικών καθηκόντων. Ο DORA απαιτεί λογοδοσία της διοίκησης, αλλά δεν φτάνει τόσο μακριά στις διατάξεις για την προσωπική ευθύνη.
Πού επικαλύπτονται
Τομείς στους οποίους οι δύο ρυθμίσεις έχουν κοινό έδαφος
- Και οι δύο απαιτούν από τους οργανισμούς να εφαρμόζουν μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, με διακυβέρνηση στο ανώτατο επίπεδο διοίκησης
- Και οι δύο επιβάλλουν έγκαιρη αναφορά περιστατικών στις αρμόδιες αρχές, με διαδικασίες κοινοποίησης σε πολλά στάδια
- Και οι δύο αντιμετωπίζουν τη διαχείριση κινδύνων της αλυσίδας εφοδιασμού και των τρίτων ως κρίσιμα στοιχεία της κυβερνοασφάλειας
- Και οι δύο καθιστούν τα ανώτερα διοικητικά στελέχη υπεύθυνα και υπόλογα για τη διακυβέρνηση και τη συμμόρφωση στην κυβερνοασφάλεια
- Και οι δύο ενθαρρύνουν την ανταλλαγή πληροφοριών για κυβερνοαπειλές μεταξύ οντοτήτων, ώστε να ενισχυθεί η συλλογική ανθεκτικότητα
Ποιος εφαρμόζεται σε εσάς;
Συνήθη σενάρια και ποια ρύθμιση υπερισχύει
Είστε τράπεζα ή ασφαλιστική επιχείρηση που δραστηριοποιείται στην ΕΕ
Ο DORA είναι η κύρια υποχρέωση συμμόρφωσής σας και υπερισχύει ως lex specialis. Ωστόσο, θα πρέπει να εξετάσετε και τη NIS2 για όσες πτυχές δεν καλύπτει ειδικά ο DORA, ιδίως εάν η εθνική μεταφορά προσθέτει απαιτήσεις.
Είστε εταιρεία τεχνολογίας που παρέχει υπηρεσίες cloud σε χρηματοπιστωτικά ιδρύματα
Μπορεί να υπάγεστε τόσο στον DORA (ως κρίσιμος τρίτος πάροχος ΤΠΕ του χρηματοοικονομικού τομέα) όσο και στη NIS2 (ως πάροχος ψηφιακών υποδομών). Πρέπει να πληροίτε τις συμβατικές και εποπτικές απαιτήσεις του DORA που σας θέτουν οι χρηματοοικονομικοί πελάτες σας και, παράλληλα, να συμμορφώνεστε με τις υποχρεώσεις της NIS2.
Είστε πάροχος υγειονομικής περίθαλψης ή εταιρεία ενέργειας στην ΕΕ
Η NIS2 είναι η κύρια ρύθμιση κυβερνοασφάλειας για εσάς. Ο DORA δεν εφαρμόζεται στον τομέα σας. Εστιάστε στις απαιτήσεις της NIS2 για τη διαχείριση κινδύνων, την αναφορά περιστατικών και την ασφάλεια της αλυσίδας εφοδιασμού, όπως έχουν μεταφερθεί στο κράτος μέλος σας.
Είστε εταιρεία fintech που παρέχει επίσης υπηρεσίες ψηφιακών υποδομών
Πιθανότατα υπάγεστε τόσο στον DORA όσο και στη NIS2. Χαρτογραφήστε προσεκτικά τις αλληλεπικαλυπτόμενες απαιτήσεις: ο DORA υπερισχύει για τις δραστηριότητές σας στις χρηματοοικονομικές υπηρεσίες, ενώ η NIS2 εφαρμόζεται στον ευρύτερο ρόλο σας ως παρόχου ψηφιακών υποδομών. Μια ενιαία προσέγγιση συμμόρφωσης θα μειώσει τις επικαλύψεις.
Συχνές ερωτήσεις
Συνήθη ερωτήματα για αυτούς τους κανονισμούς
Διαβάστε τους πλήρεις οδηγούς
Περισσότερες συγκρίσεις
Διαχειριστείτε τον DORA και τη NIS2 μαζί με τη Reversa
Διαχειριστείτε τις αλληλεπικαλυπτόμενες υποχρεώσεις κυβερνοασφάλειας από μία ενιαία πλατφόρμα. Εντοπίστε τους κοινούς ελέγχους, εξαλείψτε την επανάληψη εργασιών και παρακολουθήστε τις αλλαγές και στα δύο πλαίσια.
- 01Αρχική συνάντηση
- 02Επίδειξη στη δική σας περίπτωση
- 03Ανάπτυξη σε λίγες εβδομάδες