DORA jämfört med NIS2
En jämförelse mellan EU:s ramverk för digital motståndskraft i finanssektorn och dess sektorsövergripande cybersäkerhetsdirektiv
Snabb jämförelse
Översikt sida vid sida av de viktigaste regulatoriska dimensionerna
| Dimension | DORA | NIS2 |
|---|---|---|
| Rättsakt | Förordning (EU) 2022/2554, direkt tillämplig i alla medlemsstater | Direktiv (EU) 2022/2555, som kräver nationellt genomförande i varje medlemsstat |
| Tillämpningsområde | Endast finanssektorn: banker, försäkringsbolag, värdepappersföretag, betalningsinstitut, leverantörer av kryptotillgångstjänster och kritiska tredjepartsleverantörer av IKT-tjänster | Sektorsövergripande: väsentliga och viktiga entiteter i 18 sektorer, bland annat energi, transport, hälso- och sjukvård, digital infrastruktur och offentlig förvaltning |
| Huvudsyfte | Säkerställa finansiella entiteters digitala operativa motståndskraft mot IKT-störningar och cyberattacker | Uppnå en hög gemensam cybersäkerhetsnivå i hela EU för nätverks- och informationssystem |
| Riskhantering | Detaljerat ramverk för IKT-riskhantering med föreskrivande krav på identifiering, skydd, upptäckt, respons, återställning och lärande | Riskbaserad ansats som kräver lämpliga tekniska, operativa och organisatoriska åtgärder som står i proportion till risken |
| Incidentrapportering | Rapportering i tre steg till finansiella tillsynsmyndigheter: inledande anmälan (inom 4 timmar från klassificering), mellanrapport (inom 72 timmar) och slutrapport (inom 1 månad) | Tidig varning inom 24 timmar, fullständig incidentanmälan inom 72 timmar och slutrapport inom 1 månad till nationella CSIRT-enheter eller behöriga myndigheter |
| Test av motståndskraft | Obligatoriskt testprogram för digital operativ motståndskraft, inklusive hotledda penetrationstester (TLPT) vart tredje år för betydande entiteter | Ingen särskild testordning föreskrivs; säkerhetsåtgärderna ska vara lämpliga, men testkraven överlåts till det nationella genomförandet |
| Hantering av tredjepartsleverantörer | Heltäckande ramverk för IKT-tredjepartsrisker med obligatoriska avtalsvillkor, register över tredjepartsleverantörer och tillsyn på EU-nivå av kritiska IKT-leverantörer | Krav på säkerhet i leveranskedjan, bland annat granskning av leverantörer, men mindre föreskrivande än DORA när det gäller specifika avtals- och tillsynsmekanismer |
| Sanktioner | Fastställs av medlemsstaterna; för kritiska IKT-leverantörer upp till 1 % av den genomsnittliga dagliga globala omsättningen per dag av bristande efterlevnad (högst 6 månader) | Väsentliga entiteter: nationella maximala sanktionsavgifter på minst 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket belopp som är högst; viktiga entiteter: minst 7 miljoner euro eller 1,4 % |
Viktiga skillnader
Vad som skiljer regelverken åt
- DORA
DORA är lex specialis för finansiella tjänster
DORA har företräde framför NIS2 för finansiella entiteter. Där båda regelverken täcker samma område, som incidentrapportering eller riskhantering inom cybersäkerhet, ska finansiella entiteter följa DORA:s mer föreskrivande krav i stället för NIS2.
- NIS2
NIS2 omfattar 18 sektorer, inte bara finans
NIS2 gäller brett inom energi, transport, hälso- och sjukvård, vatten, digital infrastruktur, offentlig förvaltning, rymd, posttjänster, avfallshantering, tillverkning, livsmedel och kemikalier, långt bortom DORA:s fokus på finanssektorn.
- DORA
DORA kräver avancerade penetrationstester
DORA kräver att betydande finansiella entiteter genomför hotledda penetrationstester (TLPT) enligt ramverket TIBER-EU minst vart tredje år. NIS2 föreskriver ingen särskild testmetod eller frekvens.
- NIS2
NIS2 fastställer miniminivåer för maximala sanktionsavgifter
NIS2 kräver att medlemsstaterna fastställer maximala sanktionsavgifter på minst 10 miljoner euro eller 2 % av omsättningen för väsentliga entiteter, beroende på vilket belopp som är högst, medan DORA överlåter de flesta belopp åt medlemsstaterna och bara anger löpande viten för kritiska tredjepartsleverantörer av IKT-tjänster.
- DORA
DORA inför ett direkt tillsynsramverk på EU-nivå för kritiska IKT-leverantörer
DORA inrättar en unik mekanism med en ledande tillsynsmyndighet genom vilken de europeiska tillsynsmyndigheterna direkt utövar tillsyn över kritiska tredjepartsleverantörer av IKT-tjänster. NIS2 förlitar sig på nationella behöriga myndigheter för efterlevnadskontroll.
- NIS2
NIS2 inför personligt ansvar för högsta ledningen
NIS2 tillåter uttryckligen medlemsstaterna att hålla ledningsorgan personligt ansvariga för brister i efterlevnaden och att tillfälligt förbjuda personer att inneha ledande befattningar. DORA kräver att ledningen ställs till svars men går inte lika långt i fråga om personligt ansvar.
Där de överlappar
Områden där båda regelverken har gemensamma beröringspunkter
- Båda kräver att organisationer inför åtgärder för riskhantering inom cybersäkerhet, med styrning på högsta ledningsnivå
- Båda kräver snabb incidentrapportering till behöriga myndigheter med anmälningsprocesser i flera steg
- Båda behandlar riskhantering i leveranskedjan och hos tredje part som kritiska delar av cybersäkerhetsarbetet
- Båda gör högsta ledningen ansvarig för styrning och efterlevnad inom cybersäkerhet
- Båda uppmuntrar informationsutbyte om cyberhot mellan entiteter för att stärka den gemensamma motståndskraften
Vilken gäller för dig?
Vanliga scenarier och vilket regelverk som har företräde
Du är en bank eller ett försäkringsbolag verksamt i EU
DORA är din främsta efterlevnadsskyldighet och har företräde som lex specialis. Du bör dock även bedöma NIS2 för aspekter som DORA inte specifikt täcker, särskilt om det nationella genomförandet lägger till krav.
Du är ett teknikföretag som levererar molntjänster till finansiella institut
Du kan omfattas av både DORA (som kritisk tredjepartsleverantör av IKT-tjänster till finanssektorn) och NIS2 (som leverantör av digital infrastruktur). Du behöver uppfylla DORA:s avtals- och tillsynskrav från dina finansiella kunder och samtidigt följa skyldigheterna i NIS2.
Du är en vårdgivare eller ett energiföretag i EU
NIS2 är ditt huvudsakliga regelverk för cybersäkerhet. DORA gäller inte för din sektor. Fokusera på kraven i NIS2 för riskhantering, incidentrapportering och säkerhet i leveranskedjan så som de genomförts i din medlemsstat.
Du är ett fintechföretag som även levererar tjänster för digital infrastruktur
Du omfattas sannolikt av både DORA och NIS2. Kartlägg de överlappande kraven noggrant: DORA har företräde för dina finansiella tjänster, medan NIS2 gäller för din bredare roll inom digital infrastruktur. Ett integrerat arbetssätt för efterlevnad minskar dubbelarbetet.
Vanliga frågor
Vanliga frågor om dessa regelverk
Läs de fullständiga guiderna
Fler jämförelser
Hantera DORA och NIS2 tillsammans med Reversa
Hantera överlappande cybersäkerhetsskyldigheter från en enda plattform. Hitta gemensamma kontroller, ta bort dubbelarbete och följ ändringarna i båda ramverken.
- 01Inledande möte
- 02Demonstration på ditt ärende
- 03Driftsättning på några veckor