се прилага ли на моята банка или застрахователна компания DORA или NIS2

Банките и застраховките подлежат на DORA, а не на NIS2

За банка, застраховка или друго финансово учреждение на практика важи DORA (Наредба на Европейския съюз за цифровата оперативна устойчивост), а не Директива NIS2. Самата Директива NIS2 предвижда, че финансовите учреждения, които вече са обхванати от секторален европейски правен акт за цифровата устойчивост, остават извън нейния обхват на приложение — DORA е точно такъв правен акт. Причината зад това е не, че финансовият сектор се пропуска, а че за този сектор вече съществува еднакво строг или дори по-строг режим с собствени изисквания за управление на ICT рисковете, докладване на инциденти и надзор върху критичните ICT доставчици.

Това не означава, че финансовото учреждение не трябва да прави нищо в областта на кибербезопасността — DORA поставя собствени задължения с собствен график и собствен надзорен орган. Означава, че задължението да се приемат мерки, регистрационното задължение и задължението за докладване на инциденти според Директива NIS2 и Закона за кибербезопасност не са пътят, който важи. За организациите, които се съмняват дали наистина попадат в дефиницията на финансово учреждение според DORA, или напротив могат (частично) да попадат под NIS2, тъй като са включени и други дейности, е препоръчително първо да се консултират чрез как узнавам дали моята фирма попада под NIS2. За тези, които едва намират своя път в този цял въпрос е ];}); от логично следващо действие.

Откъде следва това: разграничението в директивата

Разграничението между NIS2 и DORA следва от самата Директива NIS2, която определя секторите в приложения I и II като съществени или важни, но изключва финансовите организации, които подлежат на секторален европейски правен акт за цифровата оперативна устойчивост. Законът за кибербезопасност, като национална трансформация на тази директива, следва същото разграничение. Преглед на това кои сектори все пак подлежат на Закона за кибербезопасност се находи на кои сектори попадат под директивата NIS2. За точния текст на това изключение самата Директива NIS2 е източникът, както и поясненията, които надзорният орган публикува по този въпрос.