platí pro mou banku nebo pojišťovnu DORA nebo NIS2

Banky a pojišťovny spadají pod DORA, ne pod NIS2

Pro banku, pojišťovnu nebo jinou finanční instituci se v praxi uplatňuje DORA (nařízení o odolnosti digitálních operací), a ne směrnice NIS2. Samotná směrnice NIS2 stanoví, že finanční instituce, které již spadají pod sektorově specifické evropské předpisy týkající se digitální odolnosti, zůstávají mimo její rozsah použití — DORA je právě takovým předpisem. Důvod není ten, že by finanční sektor byl přehlížen, ale že pro tento sektor již existuje stejně přísný nebo přísnější režim se svými požadavky na například řízení rizik ICT, hlášení incidentů a dohled nad kritickými poskytovateli služeb ICT.

To neznamená, že finanční instituce nemusí podnikat nic v oblasti kybernetické bezpečnosti — DORA stanovuje vlastní povinnosti s vlastním časovým plánem a vlastním dohledovým orgánem. Znamená to však, že povinnost péče, povinnost registrace a povinnost hlášení z směrnice NIS2 a zákona o kybernetické bezpečnosti nejsou cestou, která se uplatňuje. Ti, kteří si nejsou jisti, zda se organizace skutečně kvalifikuje jako finanční instituce ve smyslu DORA, nebo zda by naopak mohla (částečně) spadat pod NIS2, protože se provádějí i další činnosti, si mohou tuto otázku nejlépe ujasní prostřednictvím jak poznám, zda moje podnik podléhá NIS2. Pro ty, kteří se teprve začínají zabývat celou touto problematikou, je Kde mám začít? logickým dalším krokem.

Odkud to vyplývá: vymezení v příslušné směrnici

Vymezení mezi NIS2 a DORA vyplývá ze samotné směrnice NIS2, která označuje sektory v příloze I a II jako podstatné nebo důležité, ale vylučuje finanční subjekty, které spadají pod sektorově specifické unijní předpisy týkající se digitální operační odolnosti. Zákon o kybernetické bezpečnosti jako československá transpozice této směrnice se řídí stejným vymezením. Přehled sektorů, které spadají pod zákon o kybernetické bezpečnosti, je uveden na které sektory podléhají směrnici NIS2. Přesný text této výjimky naleznete v samotné směrnici NIS2 a v pokynech, které k tomuto tématu zveřejňuje dohledový orgán.