DORA vs NIS2
Confronto tra il quadro dell’UE sulla resilienza digitale del settore finanziario e la sua direttiva intersettoriale sulla cibersicurezza
Confronto rapido
Panoramica affiancata delle principali dimensioni normative
| Dimensione | DORA | NIS2 |
|---|---|---|
| Strumento giuridico | Regolamento (UE) 2022/2554, direttamente applicabile in tutti gli Stati membri | Direttiva (UE) 2022/2555, che richiede il recepimento nazionale da parte di ciascuno Stato membro |
| Ambito di applicazione | Solo settore finanziario: banche, imprese di assicurazione, imprese di investimento, istituti di pagamento, prestatori di servizi per le cripto-attività e fornitori terzi critici di servizi TIC | Intersettoriale: soggetti essenziali e importanti in 18 settori, tra cui energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione e altri |
| Obiettivo principale | Garantire la resilienza operativa digitale delle entità finanziarie contro le perturbazioni TIC e gli attacchi informatici | Raggiungere un livello elevato e comune di cibersicurezza nell’UE per i sistemi informativi e di rete |
| Gestione del rischio | Quadro dettagliato per la gestione dei rischi informatici, con requisiti prescrittivi di identificazione, protezione, rilevamento, risposta, ripristino e apprendimento | Approccio basato sul rischio che richiede misure tecniche, operative e organizzative adeguate e proporzionate al rischio |
| Segnalazione degli incidenti | Segnalazione in tre fasi alle autorità di vigilanza finanziaria: notifica iniziale (entro 4 ore dalla classificazione), relazione intermedia (entro 72 ore) e relazione finale (entro 1 mese) | Preallarme entro 24 ore, notifica completa dell’incidente entro 72 ore e relazione finale entro 1 mese ai CSIRT nazionali o alle autorità competenti |
| Test di resilienza | Programma obbligatorio di test di resilienza operativa digitale, inclusi test di penetrazione guidati dalla minaccia (TLPT) ogni 3 anni per le entità significative | Nessun regime di test specifico; le misure di sicurezza devono essere adeguate, ma i requisiti di test sono lasciati all’attuazione nazionale |
| Gestione dei terzi | Quadro completo per il rischio informatico derivante da terzi, con disposizioni contrattuali obbligatorie, registro dei fornitori terzi e sorveglianza a livello UE dei fornitori TIC critici | Requisiti di sicurezza della catena di approvvigionamento, inclusa la due diligence sui fornitori, ma meno prescrittivi di DORA su meccanismi contrattuali e di sorveglianza specifici |
| Sanzioni | Stabilite dagli Stati membri; per i fornitori TIC critici, fino all’1% del fatturato medio giornaliero mondiale per ogni giorno di inadempimento (massimo 6 mesi) | Soggetti essenziali: sanzioni massime nazionali di almeno 10 milioni di euro o il 2 % del fatturato annuo mondiale, se superiore; soggetti importanti: almeno 7 milioni di euro o l’1,4 % |
Differenze principali
Che cosa distingue queste normative
- DORA
DORA è lex specialis per i servizi finanziari
Per le entità finanziarie DORA prevale su NIS2. Dove entrambe le normative disciplinano la stessa materia, come la segnalazione degli incidenti o la gestione del rischio di cibersicurezza, le entità finanziarie devono seguire i requisiti più prescrittivi di DORA anziché quelli di NIS2.
- NIS2
NIS2 copre 18 settori, non solo la finanza
NIS2 si applica in modo ampio a energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, spazio, servizi postali, gestione dei rifiuti, fabbricazione, alimenti e sostanze chimiche, ben oltre il settore finanziario su cui si concentra DORA.
- DORA
DORA impone test di penetrazione avanzati
DORA richiede alle entità finanziarie significative di effettuare test di penetrazione guidati dalla minaccia (TLPT) secondo il quadro TIBER-EU almeno ogni tre anni. NIS2 non prescrive una metodologia né una frequenza di test specifiche.
- NIS2
La NIS2 fissa livelli minimi per le sanzioni massime
La NIS2 impone agli Stati membri di fissare sanzioni massime di almeno 10 milioni di euro o il 2 % del fatturato per i soggetti essenziali, se superiore, mentre il DORA lascia la maggior parte degli importi alla discrezionalità nazionale e prevede solo penalità di mora per i fornitori terzi critici di servizi TIC.
- DORA
DORA crea un quadro di sorveglianza diretto dell’UE sui fornitori TIC critici
DORA istituisce un meccanismo unico di sorvegliante capofila, attraverso il quale le autorità europee di vigilanza supervisionano direttamente i fornitori terzi critici di servizi TIC. NIS2 si affida alle autorità nazionali competenti per l’applicazione.
- NIS2
NIS2 introduce la responsabilità personale degli alti dirigenti
NIS2 consente esplicitamente agli Stati membri di ritenere gli organi di gestione personalmente responsabili delle violazioni e di interdire temporaneamente le persone dalle funzioni dirigenziali. DORA richiede la responsabilità della dirigenza, ma non si spinge altrettanto lontano sulla responsabilità personale.
Dove si sovrappongono
Ambiti in cui le due normative hanno punti in comune
- Entrambe richiedono alle organizzazioni di adottare misure di gestione del rischio di cibersicurezza, con una governance al più alto livello dirigenziale
- Entrambe impongono la segnalazione tempestiva degli incidenti alle autorità competenti, con processi di notifica in più fasi
- Entrambe trattano la gestione del rischio della catena di approvvigionamento e dei terzi come componente essenziale della postura di cibersicurezza
- Entrambe rendono l’alta dirigenza responsabile della governance e della conformità in materia di cibersicurezza
- Entrambe incoraggiano la condivisione di informazioni sulle minacce informatiche tra soggetti per rafforzare la resilienza collettiva
Quale si applica al Suo caso?
Scenari comuni e quale normativa prevale
La Sua è una banca o un’impresa di assicurazione che opera nell’UE
DORA è il Suo principale obbligo di conformità e prevale in quanto lex specialis. Tuttavia, dovrebbe valutare anche NIS2 per gli aspetti non specificamente coperti da DORA, in particolare se il recepimento nazionale aggiunge requisiti.
La Sua è un’azienda tecnologica che fornisce servizi cloud a istituzioni finanziarie
Potrebbe essere soggetta sia a DORA (come fornitore terzo critico di servizi TIC al settore finanziario) sia a NIS2 (come fornitore di infrastrutture digitali). Deve soddisfare i requisiti contrattuali e di sorveglianza di DORA richiesti dai Suoi clienti finanziari e, allo stesso tempo, rispettare gli obblighi di NIS2.
La Sua è un’organizzazione sanitaria o un’impresa energetica nell’UE
NIS2 è la Sua principale normativa sulla cibersicurezza. DORA non si applica al Suo settore. Si concentri sui requisiti di NIS2 in materia di gestione del rischio, segnalazione degli incidenti e sicurezza della catena di approvvigionamento, così come recepiti nel Suo Stato membro.
La Sua è un’azienda fintech che fornisce anche servizi di infrastruttura digitale
Probabilmente rientra sia in DORA sia in NIS2. Mappi con attenzione i requisiti sovrapposti: DORA prevale per le attività di servizi finanziari, mentre NIS2 si applica al Suo ruolo più ampio di infrastruttura digitale. Un approccio integrato alla conformità ridurrà le duplicazioni.
Domande frequenti
Domande comuni su queste normative
Legga le guide complete
Altri confronti
Gestisca DORA e NIS2 insieme con Reversa
Gestisca gli obblighi di cibersicurezza sovrapposti da un’unica piattaforma. Individui i controlli comuni, elimini il lavoro duplicato e segua le modifiche di entrambi i quadri.
- 01Riunione iniziale
- 02Dimostrazione sul Suo caso
- 03Implementazione in poche settimane