Din sektor bestemmer, hvilken lov der gælder, ikke din størrelse
Om NIS2 eller DORA gælder for din organisation, afhænger af den sektor, du er aktiv i, ikke af hvor mange medarbejdere du har, eller hvor stort dit omsætning er. DORA, Digital Operational Resilience Act, er EU-forordningen særligt for finanssektoren: banker, forsikringsselskaber, investeringsselskaber, betalingsinstitutioner og en række aktører, der leverer it-tjenester til disse institutioner. NIS2 retter sig mod alle andre sektorer, som direktivet nævner i bilag I og II, fra energi og transport til digital infrastruktur og spildevand. En finansiel institution, der falder under DORA, falder dermed ikke også under NIS2 for samme aktiviteter.
Grunden til, at dette spørgsmål ofte stilles, er, at begge reguleringer ligner hinanden: de forpligter begge til risikostyring, indberetning af hændelser og opmærksomhed på leverandører. Hvis man har læst teksten til en af de to, genkender man næsten automatisk strukturen i den anden. Det gør det ekstra vigtigt først at fastslå, hvilket af de to rammer din organisation falder ind under, før du bruger tid på gennemførelsen.
Hvad DORA regulerer og for hvem
DORA er skrevet specifikt for finanssektoren, fordi denne sektor allerede er underlagt streng tilsyn med egne tilsynsmyndigheder som DNB og AFM i Danmark. Forordningen nævner en række enheder ved navn: kreditinstitutioner, betalingsinstitutioner, elektroniske pengeinstitutter, investeringsselskaber, forsikringsselskaber og genforsikringsselskaber og pensionsfonde, samt de kritiske it-tredjeparter, der betjener disse institutioner, som f.eks. store cloudleverandører. For disse aktører erstattet DORA NIS2's brede ansvarspligt med en regulering, der er tilpasset finansielle risici og det tilsyn, der allerede eksisterede.
Hvad NIS2 regulerer og for hvem
NIS2 dækker de sektorer, som direktivet selv opgør: energi, transport, drikkevand, digital infrastruktur, sundhedsvæsen og en række andre, der er betegnet som essentielle i bilag I og vigtige i bilag II. En installationsfirma, en softwareleverandør eller en logistikudbyder, der ikke er aktiv i finanssektoren, ser altså på denne liste og ikke på DORA. at se på få spørgsmål, om din sektor står på listen giver hurtig en første indikation uden, at du skal gennemgå hele direktivteksten.
Tvivltilfælde: når det ikke umiddelbart er klart
De fleste organisationer ser inden for et minut, hvilken kategori de tilhører. Det bliver sværere med mellemformer: en forsikringsmægler, et factoringselskab, en fintech, der tilbyder betalingstjenester uden selv at være et licenseret betalingsinstitut, eller en it-leverandør, der betjener både banker og ikke-finansielle kunder. I sådanne tilfælde bestemmer enhedens præcise juridiske status, og ikke den branche, den føler sig hjemmehørende i, hvilken regulering der gælder. Tilsynsmyndigheder offentliggør deres egen vejledning herom, og for en konkret situation er det det rigtige kontaktpunkt sammen med en jurist, der kan sammenligne definitionerne fra begge tekster med dine faktiske aktiviteter.
En anden komplikation opstår i koncerner: et moderselskab, der som finansiel institution falder under DORA, kan have et datterselskab, der udfører en helt anden aktivitet og derfor skal vurderes uafhængigt efter NIS2-kriterierne. De to reguleringer ser på den enhed, der leverer tjenesten, ikke automatisk på koncernen som helhed.
Kædevirkningen gælder begge veje
Det, som de to rammer har til fælles, er, at de går længere end de parter, der selv er underlagt krav. Ligesom en NIS2-pålagt organisation skal vurdere sine leverandører, forpligter DORA finansielle institutter til at teste deres ICT-tjenesteudbydere og aftale vilkår herom. En it-leverandør, der leverer til en bank, modtager således muligvis et spørgeskema, der kommer fra DORA-siden, mens samme leverandør hos en anden type kunde modtager et spørgeskema fra NIS2-siden. For denne leverandør er det selv nyttigt at vide, hvilket rammeværk et spørgsmål stammer fra, fordi de ønskede dokumenter er indrettet lidt anderledes. Mere om, hvordan sådan et indgående spørgeskema præcis fungerer, finder du i emner om kæden og en kundes spørgeskema.
Sådan bekræfter du dette for din egen organisation
Den hurtigste måde at få klarhed for dig selv er at se på din egen licens eller registrering: hvis du har en licens fra DNB eller AFM, eller hvis du er en af de eksplicit nævnte finansielle enheder, peger det mod DORA. Hvis din sektor er navngivet i bilagene til NIS2-direktivet, peger det mod NIS2. I tilfælde af tvivl er det ingen omvej at lægge begge tekster ved siden af hinanden eller at stille spørgsmålet direkte til din tilsynsmyndighed. Secria fokuserer på NIS2-siden af dette spørgsmål; ved optagelsen genkender vi finansielle institutter og henviser videre, så du ikke starter med den forkerte checklist. Hvordan vi præcist fastslår sektor og rolle i kæden, og hvilke kilder vi bruger til det, kan du læse på siden om hvordan informationen på dette platform opstår.
Vil du først selv have en indikation, før du læser videre? Lav den gratis NIS2-check, eller gennemse videnbanken med emner; begge er tilgængelige uden konto og giver dig svar inden for en halv time, som du kan arbejde videre med.