DORA vs NIS2
Comparando el marco de resiliencia digital del sector financiero de la UE con su directiva de ciberseguridad intersectorial
Comparación Rápida
Vista lado a lado de las dimensiones regulatorias clave
Reglamento (UE) 2022/2554, directamente aplicable en todos los Estados miembros
Directiva (UE) 2022/2555, que requiere transposicion nacional por cada Estado miembro
Solo sector financiero: bancos, aseguradoras, empresas de inversion, instituciones de pago, proveedores de servicios de criptoactivos y proveedores criticos de servicios TIC de terceros
Intersectorial: entidades esenciales e importantes en 18 sectores incluyendo energia, transporte, salud, infraestructura digital, administracion publica y mas
Asegurar la resiliencia operativa digital de las entidades financieras frente a interrupciones TIC y ciberataques
Lograr un alto nivel comun de ciberseguridad en toda la UE para redes y sistemas de informacion
Marco detallado de gestion de riesgos TIC con requisitos prescriptivos para identificacion, proteccion, deteccion, respuesta, recuperacion y aprendizaje
Enfoque basado en riesgo que requiere medidas tecnicas, operativas y organizativas apropiadas y proporcionadas al riesgo
Notificacion en tres etapas a supervisores financieros: notificacion inicial (dentro de 4 horas tras la clasificacion), informe intermedio (dentro de 72 horas) e informe final (dentro de 1 mes)
Alerta temprana dentro de 24 horas, notificacion completa del incidente dentro de 72 horas e informe final dentro de 1 mes a los CSIRTs nacionales o autoridades competentes
Programa obligatorio de pruebas de resiliencia operativa digital incluyendo pruebas de penetracion basadas en amenazas (TLPT) cada 3 anos para entidades significativas
No se prescribe un regimen de pruebas especifico; las medidas de seguridad deben ser apropiadas pero los requisitos de pruebas se dejan a la implementacion nacional
Marco integral de riesgo de terceros TIC incluyendo disposiciones contractuales obligatorias, registro de proveedores terceros y supervision a nivel de la UE de proveedores TIC criticos
Requisitos de seguridad de la cadena de suministro incluyendo debida diligencia sobre proveedores, pero menos prescriptivo que DORA en mecanismos contractuales y de supervision especificos
Determinadas por los Estados miembros; para proveedores TIC criticos, hasta el 1% del volumen de negocios medio diario mundial por dia de incumplimiento (max 6 meses)
Entidades esenciales: hasta 10 millones EUR o 2% del volumen de negocios mundial anual; entidades importantes: hasta 7 millones EUR o 1,4% del volumen de negocios mundial anual
Diferencias Clave
Qué distingue a estas regulaciones
DORA es lex specialis para servicios financieros
DORA tiene prioridad sobre NIS2 para entidades financieras. Donde ambas regulaciones cubren el mismo terreno, como la notificacion de incidentes o la gestion de riesgos de ciberseguridad, las entidades financieras deben seguir los requisitos mas prescriptivos de DORA en lugar de NIS2.
NIS2 cubre 18 sectores, no solo finanzas
NIS2 se aplica ampliamente en energia, transporte, salud, agua, infraestructura digital, administracion publica, espacio, servicios postales, gestion de residuos, fabricacion, alimentacion y productos quimicos, mucho mas alla del enfoque del sector financiero de DORA.
DORA exige pruebas de penetracion avanzadas
DORA requiere que las entidades financieras significativas realicen pruebas de penetracion basadas en amenazas (TLPT) siguiendo el marco TIBER-EU al menos cada tres anos. NIS2 no prescribe una metodologia o frecuencia de pruebas especifica.
NIS2 establece umbrales maximos de multas explicitos
NIS2 establece niveles maximos de sanciones claros (10 millones EUR o 2% de facturacion para entidades esenciales), mientras que DORA deja la mayoria de los importes de sanciones a la discrecion nacional, especificando solo penalizaciones periodicas para proveedores TIC criticos.
DORA crea un marco de supervision directa de la UE para proveedores TIC criticos
DORA establece un mecanismo unico de Supervisor Principal a traves del cual las Autoridades Europeas de Supervision supervisan directamente a los proveedores criticos de servicios TIC de terceros. NIS2 depende de las autoridades nacionales competentes para la aplicacion.
NIS2 introduce responsabilidad personal para la alta direccion
NIS2 permite explicitamente a los Estados miembros responsabilizar personalmente a los organos de direccion por incumplimientos y prohibir temporalmente a personas ejercer funciones directivas. DORA requiere responsabilidad de la direccion pero no llega tan lejos en las disposiciones de responsabilidad personal.
Dónde se Superponen
Áreas donde ambas regulaciones comparten terreno común
Ambas requieren que las organizaciones implementen medidas integrales de gestion de riesgos de ciberseguridad con gobernanza al mas alto nivel directivo
Ambas exigen la notificacion oportuna de incidentes a las autoridades competentes con procesos de notificacion en multiples etapas
Ambas abordan la gestion de riesgos de la cadena de suministro y de terceros como componentes criticos de la postura de ciberseguridad
Ambas responsabilizan a la alta direccion de la gobernanza y el cumplimiento en materia de ciberseguridad
Ambas fomentan el intercambio de informacion sobre ciberamenazas entre entidades para fortalecer la resiliencia colectiva
¿Cuál te Aplica?
Escenarios comunes y qué regulación prevalece
Es un banco o compania de seguros que opera en la UE
DORA es su obligacion principal de cumplimiento y tiene prioridad como lex specialis. Sin embargo, tambien debe evaluar NIS2 para cualquier aspecto no cubierto especificamente por DORA, particularmente si su transposicion nacional anade requisitos.
Es una empresa tecnologica que proporciona servicios en la nube a instituciones financieras
Puede estar sujeto tanto a DORA (como proveedor critico de servicios TIC de terceros para el sector financiero) como a NIS2 (como proveedor de infraestructura digital). Debe cumplir los requisitos contractuales y de supervision de DORA de sus clientes financieros y tambien las obligaciones de NIS2.
Es un proveedor de salud o empresa energetica en la UE
NIS2 es su regulacion principal de ciberseguridad. DORA no se aplica a su sector. Concentrese en los requisitos de gestion de riesgos, notificacion de incidentes y seguridad de la cadena de suministro de NIS2 segun la transposicion en su Estado miembro.
Es una empresa fintech que tambien proporciona servicios de infraestructura digital
Probablemente este sujeto tanto a DORA como a NIS2. Mapee cuidadosamente los requisitos solapados: DORA prevalece para sus actividades de servicios financieros, mientras que NIS2 se aplica a su rol mas amplio de infraestructura digital. Un enfoque de cumplimiento integrado reducira la duplicacion.
Preguntas Frecuentes
Preguntas comunes sobre estas regulaciones