Váš sektor určuje, které zákony se použijí, ne vaše velikost
To, zda se na vaši organizaci vztahuje NIS2 nebo DORA, závisí na sektoru, ve kterém působíte, nikoli na počtu vašich zaměstnanců nebo velikosti vašich příjmů. DORA, Nařízení o digitální odolnosti operačního systému, je evropský předpis určený speciálně pro finanční sektor: banky, pojišťovny, investiční firmy, poskytovatele platebních služeb a některé subjekty, které poskytují IT služby těmto institucím. NIS2 se zaměřuje na všechny ostatní sektory uvedené v příloze I a II směrnice, od energetiky a dopravy po digitální infrastrukturu a odpadní vody. Finanční instituce, která podléhá DORA, tedy současně nepodléhá NIS2 pro stejné činnosti.
Důvodem, proč je tato otázka často kladena, je, že se oba předpisy podobají: oba vyžadují řízení rizik, hlášení incidentů a pozornost věnovanou dodavatelům. Pokud jste si přečetli text jednoho z těchto dvou předpisů, téměř automaticky poznáte strukturu toho druhého. Proto je zvláště důležité nejdříve zjistit, do kterého z těchto dvou rámců vaše organizace patří, než začnete věnovat čas jejich implementaci.
Co DORA upravuje a pro koho
DORA byla napsána speciálně pro finanční sektor, protože je v přísném dohledu s vlastními regulačními orgány, jako jsou DNB a AFM v Holandsku. Nařízení uvádí řadu subjektů jménem: úvěrové instituce, poskytovatele platebních služeb, poskytovatele služeb elektronických peněz, investiční firmy, pojišťovny a zajišťovny a důchodové fondy, plus důležité poskytovatelé ICT třetích stran, kteří tyto instituce obsluhují, například velké poskytovatelé cloudových služeb. Pro tyto subjekty DORA nahrazuje širokého rámce povinné péče podle NIS2 regulací šitou na míru finančním rizikům a existujícímu dohledu.
Co NIS2 upravuje a pro koho
NIS2 pokrývá sektory uvedené v samotné směrnici: energetiku, dopravu, pitnou vodu, digitální infrastrukturu, zdravotnictví a několik dalších, které jsou v příloze I označeny jako důležité a v příloze II jako importantes. Instalační společnost, poskytovatel softwaru nebo poskytovatel logistických služeb, který nepůsobí v sektoru financí, se tedy podívá na tento seznam a ne na DORA. pomocí několika otázek zjistíte, zda je váš sektor na tomto seznamu poskytuje k tomu rychle první orientaci, aniž byste museli procházet úplný text směrnice.
Sporné případy: kdy není hned jasné
Většina organizací si během minuty uvědomí, do kterého tábora patří. Těžší to je u hraničních případů: pojišťovací prostředník, faktoringová společnost, fintech, který nabízí platební služby bez vlastní licence poskytovatele platebních služeb, nebo IT dodavatel, který obsluhuje jak banky, tak nefinanční klienty. V těchto případech je přesný právní stav subjektu, a nikoli odvětví, kterému se věnuje, rozhodující pro určení příslušného předpisu. Regulační orgány zveřejňují své vlastní pokyny, a pro konkrétní situaci je vhodné se obrátit na ně spolu s právníkem, který může definice z obou textů porovnat s vašimi skutečnými činnostmi.
Druhou komplikaci způsobují skupiny: mateřská společnost, která jako finanční instituce podléhá DORA, může mít dceřinou společnost, která provádí zcela odlišnou činnost a je proto nezávisle posuzována podle kritérií NIS2. Oba předpisy se zaměřují na subjekt, který službu poskytuje, a ne automaticky na skupinu jako celek.
Řetězové fungování se vztahuje na obě strany
Obě rámce mají společné, že se rozprostírají dále než na strany, které jsou samy povinny. Stejně jako je organizace zavázaná podle NIS2 povinna posuzovat své dodavatele, zavazuje DORA finanční instituce k prověření jejich poskytovatelů služeb ICT a k uzavření příslušných dohod. Dodavatel IT, který dodává bance, tedy může obdržet dotazník pocházející z oblasti DORA, zatímco stejný dodavatel od jiného typu zákazníka obdrží dotazník z oblasti NIS2. Pro samotného dodavatele je užitečné vědět, z kterého rámce dotaz pochází, protože požadované podpůrné dokumenty jsou mírně odlišně strukturovány. Více o tom, jak přesně funguje příchozí dotazník, se nachází v tématech zabývajících se řetězcem a dotazníkem příjemce.
Jak si to ověřit pro vaši vlastní organizaci
Nejrychlejší způsob, jak získat jasnost, je podívat se na vaši vlastní licenci nebo registraci: máte-li licenci od DNB nebo AFM, nebo jste jednou z výslovně zmíněných finančních entit, naznačuje to směrem k DORA. Pokud je váš sektor jménem uveden v přílohách směrnice NIS2, naznačuje to směrem k NIS2. V případě nejistoty není obchvat, položit oba texty vedle sebe nebo předložit otázku přímo dozorujícímu orgánu. Secria se zaměřuje na stránku NIS2 tohoto problému; během prvotního posouzení poznáme finanční instituce a odkážeme vás dále, aby jste nepostupovali s nesprávnou kontrolním seznamem. Jak přesně určujeme sektor a roli v řetězci a jaké zdroje k tomu používáme, si přečtete na stránce jak se informace na této platformě vytváří.
Chcete si nejprve udělat představu, než budete pokračovat v čtení? Proveďte bezplatnou kontrolu NIS2 nebo procházejte znalostní základnu podle témat; obojí je přístupné bez účtu a poskytne vám odpověď, se kterou si budete moci poradit, během půlhodiny.