DORA vs NIS2
Comparação entre o quadro de resiliência digital do setor financeiro da UE e a sua diretiva de cibersegurança intersetorial
Comparação rápida
Visão lado a lado das principais dimensões regulatórias
| Dimensão | DORA | NIS2 |
|---|---|---|
| Instrumento jurídico | Regulamento (UE) 2022/2554, diretamente aplicável em todos os Estados-Membros | Diretiva (UE) 2022/2555, que exige a transposição nacional por cada Estado-Membro |
| Âmbito | Apenas o setor financeiro: bancos, seguradoras, empresas de investimento, instituições de pagamento, prestadores de serviços de criptoativos e terceiros prestadores críticos de serviços de TIC | Intersetorial: entidades essenciais e importantes de 18 setores, como a energia, os transportes, a saúde, as infraestruturas digitais, a administração pública e outros |
| Objetivo principal | Garantir a resiliência operacional digital das entidades financeiras face a perturbações das TIC e a ciberataques | Alcançar um elevado nível comum de cibersegurança em toda a UE para as redes e os sistemas de informação |
| Gestão de riscos | Quadro detalhado de gestão do risco das TIC, com requisitos prescritivos de identificação, proteção, deteção, resposta, recuperação e aprendizagem | Abordagem baseada no risco que exige medidas técnicas, operacionais e organizativas adequadas e proporcionais ao risco |
| Notificação de incidentes | Notificação em três fases às autoridades de supervisão financeira: notificação inicial (nas 4 horas seguintes à classificação), relatório intercalar (no prazo de 72 horas) e relatório final (no prazo de 1 mês) | Alerta precoce no prazo de 24 horas, notificação completa do incidente no prazo de 72 horas e relatório final no prazo de 1 mês, às CSIRT nacionais ou às autoridades competentes |
| Testes de resiliência | Programa obrigatório de testes de resiliência operacional digital, incluindo testes de penetração baseados em ameaças (TLPT) a cada 3 anos para as entidades significativas | Não prescreve um regime de testes específico; as medidas de segurança devem ser adequadas, mas os requisitos de testes ficam a cargo da aplicação nacional |
| Gestão de terceiros | Quadro abrangente do risco das TIC decorrente de terceiros, com cláusulas contratuais obrigatórias, registo de terceiros prestadores e supervisão à escala da UE dos prestadores críticos de serviços de TIC | Requisitos de segurança da cadeia de abastecimento, incluindo o dever de diligência relativamente aos fornecedores, mas menos prescritivos do que o DORA quanto a mecanismos contratuais e de supervisão concretos |
| Sanções | Determinadas pelos Estados-Membros; para os prestadores críticos de serviços de TIC, até 1% do volume de negócios diário médio a nível mundial por cada dia de incumprimento (máximo de 6 meses) | Entidades essenciais: coimas máximas nacionais de pelo menos 10 milhões de euros ou 2 % do volume de negócios anual mundial, consoante o que for mais elevado; entidades importantes: pelo menos 7 milhões de euros ou 1,4 % |
Diferenças principais
O que distingue estas normas
- DORA
O DORA é lex specialis para os serviços financeiros
O DORA prevalece sobre a NIS2 para as entidades financeiras. Quando ambas as normas regulam a mesma matéria, como a notificação de incidentes ou a gestão de riscos de cibersegurança, as entidades financeiras devem seguir os requisitos mais prescritivos do DORA e não os da NIS2.
- NIS2
A NIS2 abrange 18 setores, não apenas o financeiro
A NIS2 aplica-se de forma ampla à energia, aos transportes, à saúde, à água, às infraestruturas digitais, à administração pública, ao espaço, aos serviços postais, à gestão de resíduos, à indústria transformadora, à alimentação e aos produtos químicos, muito para além do foco financeiro do DORA.
- DORA
O DORA exige testes de penetração avançados
O DORA exige que as entidades financeiras significativas realizem testes de penetração baseados em ameaças (TLPT) segundo o quadro TIBER-EU, pelo menos a cada três anos. A NIS2 não prescreve uma metodologia nem uma frequência de testes específicas.
- NIS2
A NIS2 fixa níveis mínimos para as coimas máximas
A NIS2 obriga os Estados-Membros a fixar coimas máximas de pelo menos 10 milhões de euros ou 2 % do volume de negócios para as entidades essenciais, consoante o que for mais elevado, enquanto o DORA deixa a maioria dos montantes à discrição nacional e só especifica sanções pecuniárias compulsórias para os prestadores críticos de serviços de TIC.
- DORA
O DORA cria um quadro de supervisão direta da UE para os prestadores críticos de serviços de TIC
O DORA estabelece um mecanismo único de Enquadramento de Superintendência, através do qual as Autoridades Europeias de Supervisão supervisionam diretamente os terceiros prestadores críticos de serviços de TIC. A NIS2 confia a aplicação às autoridades nacionais competentes.
- NIS2
A NIS2 introduz a responsabilidade pessoal da direção de topo
A NIS2 permite expressamente aos Estados-Membros responsabilizar pessoalmente os órgãos de direção pelos incumprimentos e inibir temporariamente pessoas do exercício de funções de direção. O DORA exige a responsabilização da direção, mas não vai tão longe em matéria de responsabilidade pessoal.
Onde se sobrepõem
Domínios em que ambas as normas coincidem
- Ambas exigem que as organizações implementem medidas de gestão de riscos de cibersegurança, com governação ao mais alto nível de direção
- Ambas obrigam a notificar atempadamente os incidentes às autoridades competentes, através de processos de notificação em várias fases
- Ambas tratam a gestão do risco da cadeia de abastecimento e de terceiros como um componente crítico da postura de cibersegurança
- Ambas responsabilizam a direção de topo pela governação e pelo cumprimento em matéria de cibersegurança
- Ambas incentivam a partilha de informações sobre ciberameaças entre entidades para reforçar a resiliência coletiva
Qual se aplica ao seu caso?
Cenários habituais e que norma prevalece
É um banco ou uma seguradora que opera na UE
O DORA é a sua principal obrigação de cumprimento e prevalece como lex specialis. Ainda assim, deve também avaliar a NIS2 nos aspetos que o DORA não abrange especificamente, sobretudo se a transposição nacional acrescentar requisitos.
É uma empresa tecnológica que presta serviços de cloud a instituições financeiras
Pode estar sujeita tanto ao DORA (como terceiro prestador crítico de serviços de TIC para o setor financeiro) como à NIS2 (como prestador de infraestruturas digitais). Tem de cumprir os requisitos contratuais e de supervisão do DORA que os seus clientes financeiros lhe transmitem e, ao mesmo tempo, as obrigações da NIS2.
É um prestador de cuidados de saúde ou uma empresa de energia na UE
A NIS2 é a sua principal norma de cibersegurança. O DORA não se aplica ao seu setor. Concentre-se nos requisitos da NIS2 de gestão de riscos, notificação de incidentes e segurança da cadeia de abastecimento, tal como transpostos no seu Estado-Membro.
É uma fintech que também presta serviços de infraestruturas digitais
Provavelmente está sujeita ao DORA e à NIS2. Identifique com cuidado os requisitos que se sobrepõem: o DORA prevalece nas suas atividades de serviços financeiros, enquanto a NIS2 se aplica ao seu papel mais amplo como infraestrutura digital. Uma abordagem de cumprimento integrada reduzirá as duplicações.
Perguntas frequentes
Perguntas habituais sobre estas normas
Leia os guias completos
Mais comparações
Gira o DORA e a NIS2 em conjunto com a Reversa
Gira as obrigações de cibersegurança que se sobrepõem a partir de uma única plataforma. Identifique controlos comuns, elimine o trabalho duplicado e acompanhe as alterações de ambos os quadros.
- 01Reunião inicial
- 02Demonstração sobre o seu caso
- 03Implementação em semanas