DORA versus NIS2
Een vergelijking tussen het EU-kader voor digitale weerbaarheid van de financiële sector en de sectoroverschrijdende cyberbeveiligingsrichtlijn
Snelle vergelijking
Overzicht naast elkaar van de belangrijkste regelgevende dimensies
| Dimensie | DORA | NIS2 |
|---|---|---|
| Juridisch instrument | Verordening (EU) 2022/2554, rechtstreeks toepasselijk in alle lidstaten | Richtlijn (EU) 2022/2555, die door elke lidstaat in nationaal recht moet worden omgezet |
| Toepassingsgebied | Alleen de financiële sector: banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen, aanbieders van cryptoactivadiensten en kritieke derde aanbieders van ICT-diensten | Sectoroverschrijdend: essentiële en belangrijke entiteiten in 18 sectoren, waaronder energie, vervoer, gezondheidszorg, digitale infrastructuur, overheid en meer |
| Hoofddoel | De digitale operationele weerbaarheid van financiële entiteiten tegen ICT-verstoringen en cyberaanvallen waarborgen | Een hoog gemeenschappelijk niveau van cyberbeveiliging van netwerk- en informatiesystemen in de hele EU bereiken |
| Risicobeheer | Gedetailleerd kader voor ICT-risicobeheer met voorschrijvende eisen voor identificatie, bescherming, detectie, respons, herstel en lering | Risicogebaseerde aanpak die passende technische, operationele en organisatorische maatregelen vereist die in verhouding staan tot het risico |
| Incidentmelding | Melding in drie fasen aan financiële toezichthouders: eerste kennisgeving (binnen 4 uur na classificatie), tussentijds rapport (binnen 72 uur) en eindrapport (binnen 1 maand) | Vroegtijdige waarschuwing binnen 24 uur, volledige incidentmelding binnen 72 uur en eindrapport binnen 1 maand aan nationale CSIRT's of bevoegde autoriteiten |
| Weerbaarheidstests | Verplicht testprogramma voor digitale operationele weerbaarheid, inclusief dreigingsgestuurde penetratietests (TLPT) om de 3 jaar voor significante entiteiten | Geen specifiek testregime voorgeschreven; beveiligingsmaatregelen moeten passend zijn, maar testeisen worden aan de nationale uitvoering overgelaten |
| Beheer van derde partijen | Uitgebreid kader voor ICT-risico's van derden, met verplichte contractuele bepalingen, een register van derde aanbieders en toezicht op EU-niveau op kritieke ICT-aanbieders | Eisen voor de beveiliging van de toeleveringsketen, waaronder due diligence bij leveranciers, maar minder voorschrijvend dan DORA wat betreft specifieke contractuele en toezichtsmechanismen |
| Sancties | Vastgesteld door de lidstaten; voor kritieke ICT-aanbieders tot 1% van de gemiddelde dagelijkse wereldwijde omzet per dag van niet-naleving (max. 6 maanden) | Essentiële entiteiten: nationale maximumboetes van ten minste 10 miljoen euro of 2 % van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is; belangrijke entiteiten: ten minste 7 miljoen euro of 1,4 % |
Belangrijkste verschillen
Wat deze regelgeving van elkaar onderscheidt
- DORA
DORA is lex specialis voor financiële diensten
Voor financiële entiteiten gaat DORA voor op NIS2. Waar beide regelingen hetzelfde terrein bestrijken, zoals incidentmelding of cyberbeveiligingsrisicobeheer, moeten financiële entiteiten de meer voorschrijvende eisen van DORA volgen in plaats van NIS2.
- NIS2
NIS2 bestrijkt 18 sectoren, niet alleen de financiële
NIS2 geldt breed voor energie, vervoer, gezondheidszorg, water, digitale infrastructuur, overheid, ruimtevaart, postdiensten, afvalbeheer, maakindustrie, levensmiddelen en chemie, ver buiten de focus van DORA op de financiële sector.
- DORA
DORA verplicht geavanceerde penetratietests
DORA verplicht significante financiële entiteiten om ten minste om de drie jaar dreigingsgestuurde penetratietests (TLPT) volgens het TIBER-EU-kader uit te voeren. NIS2 schrijft geen specifieke testmethode of frequentie voor.
- NIS2
NIS2 stelt minimumniveaus voor maximumboetes vast
NIS2 verplicht lidstaten om voor essentiële entiteiten maximumboetes van ten minste 10 miljoen euro of 2 % van de omzet vast te stellen, afhankelijk van welk bedrag hoger is, terwijl DORA de meeste bedragen aan de lidstaten overlaat en alleen dwangsommen voor kritieke derde aanbieders van ICT-diensten vastlegt.
- DORA
DORA creëert een rechtstreeks EU-toezichtskader voor kritieke ICT-aanbieders
DORA voert een uniek mechanisme met een leidende toezichthouder in, waarmee de Europese toezichthoudende autoriteiten rechtstreeks toezicht houden op kritieke derde aanbieders van ICT-diensten. NIS2 laat de handhaving over aan de nationale bevoegde autoriteiten.
- NIS2
NIS2 voert persoonlijke aansprakelijkheid voor het hoger management in
NIS2 staat lidstaten uitdrukkelijk toe leidinggevende organen persoonlijk aansprakelijk te stellen voor tekortkomingen in de naleving en personen tijdelijk uit te sluiten van leidinggevende functies. DORA vereist verantwoordingsplicht van het management, maar gaat minder ver in bepalingen over persoonlijke aansprakelijkheid.
Waar ze overlappen
Gebieden waarop beide regelingen raakvlakken hebben
- Beide verplichten organisaties tot maatregelen voor cyberbeveiligingsrisicobeheer, met governance op het hoogste managementniveau
- Beide verplichten tot tijdige incidentmelding aan bevoegde autoriteiten via meldingsprocessen in meerdere fasen
- Beide behandelen het risicobeheer van de toeleveringsketen en derde partijen als kritieke onderdelen van de cyberbeveiliging
- Beide houden het hoger management verantwoordelijk en aanspreekbaar voor governance en naleving op het gebied van cyberbeveiliging
- Beide stimuleren het delen van informatie over cyberdreigingen tussen entiteiten om de collectieve weerbaarheid te versterken
Welke is op u van toepassing?
Veelvoorkomende scenario's en welke regeling voorgaat
U bent een bank of verzekeraar die actief is in de EU
DORA is uw belangrijkste nalevingsverplichting en gaat als lex specialis voor. Beoordeel echter ook NIS2 voor aspecten die DORA niet specifiek regelt, vooral als de nationale omzetting extra eisen stelt.
U bent een technologiebedrijf dat clouddiensten levert aan financiële instellingen
U kunt onder zowel DORA (als kritieke derde ICT-aanbieder voor de financiële sector) als NIS2 (als aanbieder van digitale infrastructuur) vallen. U moet voldoen aan de contractuele en toezichtseisen van DORA vanuit uw financiële klanten en tegelijk aan de verplichtingen van NIS2.
U bent een zorgaanbieder of energiebedrijf in de EU
NIS2 is uw belangrijkste regelgeving voor cyberbeveiliging. DORA is niet van toepassing op uw sector. Richt u op de NIS2-eisen voor risicobeheer, incidentmelding en beveiliging van de toeleveringsketen zoals omgezet in uw lidstaat.
U bent een fintechbedrijf dat ook digitale-infrastructuurdiensten levert
Waarschijnlijk valt u onder zowel DORA als NIS2. Breng de overlappende eisen zorgvuldig in kaart: DORA gaat voor bij uw financiële dienstverlening, terwijl NIS2 geldt voor uw bredere rol als infrastructuuraanbieder. Een geïntegreerde nalevingsaanpak vermindert dubbel werk.
Veelgestelde vragen
Veelgestelde vragen over deze regelgeving
Lees de volledige gidsen
Meer vergelijkingen
Beheer DORA en NIS2 samen met Reversa
Beheer overlappende cyberbeveiligingsverplichtingen vanuit één platform. Vind gemeenschappelijke beheersmaatregelen, voorkom dubbel werk en volg de wijzigingen in beide kaders.
- 01Kennismakingsgesprek
- 02Demonstratie op uw casus
- 03Uitrol binnen enkele weken