DORA a NIS2
Porównanie unijnych ram operacyjnej odporności cyfrowej sektora finansowego z międzysektorową dyrektywą o cyberbezpieczeństwie
Szybkie porównanie
Zestawienie kluczowych aspektów regulacyjnych
| Aspekt | DORA | NIS2 |
|---|---|---|
| Instrument prawny | Rozporządzenie (UE) 2022/2554, stosowane bezpośrednio we wszystkich państwach członkowskich | Dyrektywa (UE) 2022/2555, wymagająca transpozycji do prawa krajowego przez każde państwo członkowskie |
| Zakres | Wyłącznie sektor finansowy: banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze, dostawcy usług w zakresie kryptoaktywów oraz kluczowi zewnętrzni dostawcy usług ICT | Międzysektorowy: podmioty kluczowe i ważne w 18 sektorach, w tym energetyce, transporcie, ochronie zdrowia, infrastrukturze cyfrowej, administracji publicznej i innych |
| Główny cel | Zapewnienie operacyjnej odporności cyfrowej podmiotów finansowych na zakłócenia ICT i cyberataki | Osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa sieci i systemów informatycznych w całej UE |
| Zarządzanie ryzykiem | Szczegółowe ramy zarządzania ryzykiem ICT z normatywnymi wymogami w zakresie identyfikacji, ochrony, wykrywania, reagowania, przywracania i wyciągania wniosków | Podejście oparte na ryzyku, wymagające odpowiednich środków technicznych, operacyjnych i organizacyjnych, proporcjonalnych do ryzyka |
| Zgłaszanie incydentów | Trzyetapowe zgłaszanie do organów nadzoru finansowego: zgłoszenie wstępne (w ciągu 4 godzin od klasyfikacji), raport pośredni (w ciągu 72 godzin) i raport końcowy (w ciągu 1 miesiąca) | Wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie incydentu w ciągu 72 godzin i raport końcowy w ciągu 1 miesiąca do krajowych zespołów CSIRT lub właściwych organów |
| Testowanie odporności | Obowiązkowy program testowania operacyjnej odporności cyfrowej, w tym testy penetracyjne prowadzone w oparciu o analizę zagrożeń (TLPT) co 3 lata w przypadku istotnych podmiotów | Brak określonego reżimu testowania; środki bezpieczeństwa muszą być odpowiednie, ale wymogi dotyczące testów pozostawiono wdrożeniu krajowemu |
| Zarządzanie podmiotami zewnętrznymi | Kompleksowe ramy ryzyka związanego z zewnętrznymi dostawcami usług ICT, w tym obowiązkowe postanowienia umowne, rejestr zewnętrznych dostawców i nadzór na poziomie UE nad kluczowymi dostawcami ICT | Wymogi bezpieczeństwa łańcucha dostaw, w tym należyta staranność wobec dostawców, ale mniej normatywne niż DORA w zakresie konkretnych mechanizmów umownych i nadzorczych |
| Kary | Określane przez państwa członkowskie; w przypadku kluczowych dostawców ICT do 1% średniego dziennego światowego obrotu za każdy dzień naruszenia (maksymalnie 6 miesięcy) | Podmioty kluczowe: krajowe kary maksymalne w wysokości co najmniej 10 mln EUR lub 2 % całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa; podmioty ważne: co najmniej 7 mln EUR lub 1,4 % |
Kluczowe różnice
Co odróżnia te regulacje
- DORA
DORA jest lex specialis dla usług finansowych
W przypadku podmiotów finansowych DORA ma pierwszeństwo przed NIS2. Tam, gdzie obie regulacje obejmują ten sam obszar, np. zgłaszanie incydentów lub zarządzanie ryzykiem cyberbezpieczeństwa, podmioty finansowe muszą stosować bardziej szczegółowe wymogi DORA, a nie NIS2.
- NIS2
NIS2 obejmuje 18 sektorów, nie tylko finanse
NIS2 ma szerokie zastosowanie w energetyce, transporcie, ochronie zdrowia, gospodarce wodnej, infrastrukturze cyfrowej, administracji publicznej, przestrzeni kosmicznej, usługach pocztowych, gospodarowaniu odpadami, produkcji, żywności i chemikaliach, daleko wykraczając poza sektor finansowy, na którym skupia się DORA.
- DORA
DORA wymaga zaawansowanych testów penetracyjnych
DORA wymaga od istotnych podmiotów finansowych przeprowadzania testów penetracyjnych prowadzonych w oparciu o analizę zagrożeń (TLPT) zgodnie z ramami TIBER-EU co najmniej raz na trzy lata. NIS2 nie określa konkretnej metodyki ani częstotliwości testów.
- NIS2
NIS2 ustala minimalne poziomy kar maksymalnych
NIS2 zobowiązuje państwa członkowskie do ustalenia dla podmiotów kluczowych kar maksymalnych w wysokości co najmniej 10 mln EUR lub 2 % obrotu, w zależności od tego, która kwota jest wyższa, podczas gdy DORA pozostawia większość kwot uznaniu krajowemu i określa jedynie okresowe kary pieniężne dla kluczowych zewnętrznych dostawców usług ICT.
- DORA
DORA tworzy bezpośrednie ramy nadzoru UE nad kluczowymi dostawcami ICT
DORA ustanawia szczególny mechanizm wiodącego organu nadzorczego, za pośrednictwem którego europejskie urzędy nadzoru bezpośrednio nadzorują kluczowych zewnętrznych dostawców usług ICT. NIS2 opiera egzekwowanie przepisów na właściwych organach krajowych.
- NIS2
NIS2 wprowadza osobistą odpowiedzialność kadry kierowniczej wyższego szczebla
NIS2 wprost pozwala państwom członkowskim pociągać organy zarządzające do osobistej odpowiedzialności za naruszenia zgodności oraz czasowo zakazywać danym osobom pełnienia funkcji kierowniczych. DORA wymaga rozliczalności kierownictwa, ale nie idzie tak daleko w zakresie przepisów o odpowiedzialności osobistej.
Obszary wspólne
Obszary, w których obie regulacje są zbieżne
- Obie wymagają od organizacji wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa z nadzorem na najwyższym szczeblu kierownictwa
- Obie nakładają obowiązek terminowego zgłaszania incydentów właściwym organom w wieloetapowym procesie
- Obie traktują zarządzanie ryzykiem łańcucha dostaw i podmiotów zewnętrznych jako kluczowy element cyberbezpieczeństwa
- Obie czynią kadrę kierowniczą wyższego szczebla odpowiedzialną i rozliczalną za nadzór nad cyberbezpieczeństwem i zgodność
- Obie zachęcają podmioty do wymiany informacji o cyberzagrożeniach w celu wzmocnienia wspólnej odporności
Co ma zastosowanie?
Typowe scenariusze i regulacja, która ma pierwszeństwo
Bank lub zakład ubezpieczeń działający w UE
DORA jest głównym obowiązkiem w zakresie zgodności i ma pierwszeństwo jako lex specialis. Należy jednak ocenić także NIS2 pod kątem aspektów, których DORA nie obejmuje wprost, zwłaszcza jeśli transpozycja krajowa wprowadza dodatkowe wymogi.
Firma technologiczna świadcząca usługi chmurowe instytucjom finansowym
Firma może podlegać zarówno DORA (jako kluczowy zewnętrzny dostawca usług ICT dla sektora finansowego), jak i NIS2 (jako dostawca infrastruktury cyfrowej). Konieczne jest spełnienie wymogów umownych i nadzorczych DORA wynikających z relacji z klientami finansowymi przy jednoczesnym wypełnianiu obowiązków NIS2.
Podmiot ochrony zdrowia lub firma energetyczna w UE
NIS2 jest główną regulacją w zakresie cyberbezpieczeństwa. DORA nie ma zastosowania do tego sektora. Należy skupić się na wymogach NIS2 dotyczących zarządzania ryzykiem, zgłaszania incydentów i bezpieczeństwa łańcucha dostaw w brzmieniu transponowanym w danym państwie członkowskim.
Firma fintech, która świadczy również usługi infrastruktury cyfrowej
Firma najprawdopodobniej podlega zarówno DORA, jak i NIS2. Należy starannie zmapować pokrywające się wymogi: DORA ma pierwszeństwo w odniesieniu do działalności w zakresie usług finansowych, a NIS2 dotyczy szerszej roli dostawcy infrastruktury cyfrowej. Zintegrowane podejście do zgodności ograniczy powielanie działań.
Najczęściej zadawane pytania
Typowe pytania dotyczące tych regulacji
Pełne przewodniki
Więcej porównań
DORA i NIS2 razem z Reversą
Zarządzanie pokrywającymi się obowiązkami w zakresie cyberbezpieczeństwa z jednej platformy. Identyfikacja wspólnych mechanizmów kontroli, eliminacja powielonej pracy i śledzenie zmian w obu aktach.
- 01Spotkanie wstępne
- 02Demonstracja na Państwa przypadku
- 03Wdrożenie w kilka tygodni