DORA vs NIS2
Comparație între cadrul UE privind reziliența digitală a sectorului financiar și directiva sa intersectorială privind securitatea cibernetică
Comparație rapidă
Prezentare comparativă a principalelor dimensiuni de reglementare
| Dimensiune | DORA | NIS2 |
|---|---|---|
| Instrument juridic | Regulamentul (UE) 2022/2554, direct aplicabil în toate statele membre | Directiva (UE) 2022/2555, care necesită transpunerea la nivel național de către fiecare stat membru |
| Domeniu de aplicare | Doar sectorul financiar: bănci, asigurători, firme de investiții, instituții de plată, furnizori de servicii de criptoactive și furnizori terți critici de servicii TIC | Intersectorial: entități esențiale și importante din 18 sectoare, inclusiv energie, transport, sănătate, infrastructură digitală, administrație publică și altele |
| Obiectiv principal | Asigurarea rezilienței operaționale digitale a entităților financiare în fața perturbărilor TIC și a atacurilor cibernetice | Atingerea unui nivel comun ridicat de securitate cibernetică în întreaga UE pentru rețelele și sistemele informatice |
| Gestionarea riscurilor | Cadru detaliat de gestionare a riscurilor TIC, cu cerințe prescriptive privind identificarea, protecția, detectarea, răspunsul, redresarea și învățarea | Abordare bazată pe risc, care impune măsuri tehnice, operaționale și organizatorice adecvate și proporționale cu riscul |
| Raportarea incidentelor | Raportare în trei etape către autoritățile de supraveghere financiară: notificare inițială (în termen de 4 ore de la clasificare), raport intermediar (în termen de 72 de ore) și raport final (în termen de o lună) | Avertizare timpurie în termen de 24 de ore, notificare completă a incidentului în termen de 72 de ore și raport final în termen de o lună către CSIRT-urile naționale sau autoritățile competente |
| Testarea rezilienței | Program obligatoriu de testare a rezilienței operaționale digitale, inclusiv testare de penetrare bazată pe amenințări (TLPT) la fiecare 3 ani pentru entitățile semnificative | Nu prevede un regim de testare specific; măsurile de securitate trebuie să fie adecvate, dar cerințele de testare sunt lăsate la latitudinea punerii în aplicare la nivel național |
| Gestionarea terților | Cadru cuprinzător privind riscurile TIC generate de terți, inclusiv clauze contractuale obligatorii, registrul furnizorilor terți și supravegherea la nivelul UE a furnizorilor TIC critici | Cerințe de securitate a lanțului de aprovizionare, inclusiv diligența necesară privind furnizorii, dar mai puțin prescriptive decât DORA în privința mecanismelor contractuale și de supraveghere specifice |
| Sancțiuni | Stabilite de statele membre; pentru furnizorii TIC critici, până la 1% din cifra de afaceri zilnică medie la nivel mondial pentru fiecare zi de neconformitate (maximum 6 luni) | Entități esențiale: amenzi maxime naționale de cel puțin 10 milioane EUR sau 2 % din cifra de afaceri anuală mondială, oricare este mai mare; entități importante: cel puțin 7 milioane EUR sau 1,4 % |
Diferențe esențiale
Ce diferențiază aceste reglementări
- DORA
DORA este lex specialis pentru serviciile financiare
DORA prevalează asupra NIS2 în cazul entităților financiare. Acolo unde ambele reglementări acoperă același domeniu, cum ar fi raportarea incidentelor sau gestionarea riscurilor de securitate cibernetică, entitățile financiare trebuie să respecte cerințele mai prescriptive ale DORA, nu pe cele ale NIS2.
- NIS2
NIS2 acoperă 18 sectoare, nu doar finanțele
NIS2 se aplică pe scară largă în domeniile energiei, transporturilor, sănătății, apei, infrastructurii digitale, administrației publice, spațiului, serviciilor poștale, gestionării deșeurilor, producției, alimentației și substanțelor chimice, mult dincolo de axarea DORA pe sectorul financiar.
- DORA
DORA impune testări de penetrare avansate
DORA impune entităților financiare semnificative să efectueze testări de penetrare bazate pe amenințări (TLPT) conform cadrului TIBER-EU cel puțin o dată la trei ani. NIS2 nu prevede o metodologie sau o frecvență de testare specifică.
- NIS2
NIS2 stabilește niveluri minime pentru amenzile maxime
NIS2 obligă statele membre să stabilească pentru entitățile esențiale amenzi maxime de cel puțin 10 milioane EUR sau 2 % din cifra de afaceri, oricare este mai mare, în timp ce DORA lasă majoritatea cuantumurilor la latitudinea statelor și prevede doar penalități cu titlu cominatoriu pentru furnizorii terți critici de servicii TIC.
- DORA
DORA creează un cadru de supraveghere directă la nivelul UE pentru furnizorii TIC critici
DORA instituie un mecanism unic de supraveghetor principal, prin care autoritățile europene de supraveghere supraveghează direct furnizorii terți critici de servicii TIC. NIS2 se bazează pe autoritățile naționale competente pentru asigurarea respectării.
- NIS2
NIS2 introduce răspunderea personală a conducerii superioare
NIS2 permite în mod explicit statelor membre să tragă la răspundere personală organele de conducere pentru nerespectarea cerințelor și să interzică temporar persoanelor exercitarea funcțiilor de conducere. DORA impune responsabilizarea conducerii, dar nu merge la fel de departe în privința răspunderii personale.
Unde se suprapun
Domenii în care cele două reglementări au elemente comune
- Ambele impun organizațiilor să implementeze măsuri de gestionare a riscurilor de securitate cibernetică, cu guvernanță la cel mai înalt nivel de conducere
- Ambele impun raportarea în timp util a incidentelor către autoritățile competente, prin procese de notificare în mai multe etape
- Ambele tratează gestionarea riscurilor lanțului de aprovizionare și ale terților ca o componentă critică a nivelului de securitate cibernetică
- Ambele fac conducerea superioară responsabilă pentru guvernanța și conformitatea în materie de securitate cibernetică
- Ambele încurajează schimbul de informații privind amenințările cibernetice între entități, pentru a consolida reziliența colectivă
Care vi se aplică?
Scenarii frecvente și ce reglementare prevalează
Sunteți o bancă sau o societate de asigurări care operează în UE
DORA este principala dumneavoastră obligație de conformitate și prevalează ca lex specialis. Cu toate acestea, ar trebui să evaluați și NIS2 pentru aspectele care nu sunt acoperite în mod specific de DORA, mai ales dacă transpunerea națională adaugă cerințe.
Sunteți o companie de tehnologie care furnizează servicii cloud instituțiilor financiare
Puteți fi supus atât DORA (ca furnizor terț critic de servicii TIC pentru sectorul financiar), cât și NIS2 (ca furnizor de infrastructură digitală). Trebuie să îndepliniți cerințele contractuale și de supraveghere ale DORA transmise de clienții dumneavoastră financiari și, în același timp, să respectați obligațiile NIS2.
Sunteți un furnizor de servicii medicale sau o companie energetică din UE
NIS2 este principala dumneavoastră reglementare în materie de securitate cibernetică. DORA nu se aplică sectorului dumneavoastră. Concentrați-vă pe cerințele NIS2 privind gestionarea riscurilor, raportarea incidentelor și securitatea lanțului de aprovizionare, astfel cum au fost transpuse în statul dumneavoastră membru.
Sunteți o companie fintech care furnizează și servicii de infrastructură digitală
Probabil intrați sub incidența atât a DORA, cât și a NIS2. Identificați cu atenție cerințele care se suprapun: DORA prevalează pentru activitățile dumneavoastră de servicii financiare, în timp ce NIS2 se aplică rolului dumneavoastră mai larg de infrastructură digitală. O abordare integrată a conformității va reduce dublările.
Întrebări frecvente
Întrebări frecvente despre aceste reglementări
Citiți ghidurile complete
Mai multe comparații
Gestionați DORA și NIS2 împreună cu Reversa
Gestionați dintr-o singură platformă obligațiile de securitate cibernetică care se suprapun. Identificați controalele comune, eliminați munca dublată și urmăriți modificările ambelor cadre.
- 01Întâlnire inițială
- 02Demonstrație pe cazul dumneavoastră
- 03Implementare în câteva săptămâni