Ο τομέας σας καθορίζει ποιος νόμος ισχύει, όχι το μέγεθός σας
Το ότι η NIS2 ή η DORA ισχύει για τον οργανισμό σας εξαρτάται από τον τομέα στον οποίο δραστηριοποιείστε, όχι από το πόσους υπαλλήλους έχετε ή πόσο μεγάλος είναι ο κύκλος εργασιών σας. Η DORA, ο Κανονισμός Λειτουργικής Ανθεκτικότητας Ψηφιακής Τεχνολογίας, είναι ο ευρωπαϊκός κανονισμός ειδικά για τον χρηματοπιστωτικό τομέα: τράπεζες, ασφαλιστικές εταιρείες, επιχειρήσεις επενδύσεων, φορείς παροχής υπηρεσιών πληρωμών και ορισμένα μέρη που παρέχουν υπηρεσίες ΤΠ σε αυτά τα ιδρύματα. Η NIS2 στοχεύει σε όλους τους άλλους τομείς που αναφέρονται στο παράρτημα I και II της richtlijn, από την ενέργεια και τις μεταφορές έως την ψηφιακή υποδομή και τα λύματα. Ένα χρηματοπιστωτικό ίδρυμα που υπόκειται στη DORA δεν υπόκειται επίσης στη NIS2 για τις ίδιες δραστηριότητες.
Ο λόγος για τον οποίο αυτή η ερώτηση συχνά τίθεται είναι ότι και οι δύο ρυθμίσεις μοιάζουν μεταξύ τους: και οι δύο απαιτούν διαχείριση κινδύνου, αναφορά περιστατικών και προσοχή στους προμηθευτές. Όποιος έχει διαβάσει το κείμενο ενός από τα δύο, αναγνωρίζει σχεδόν αυτόματα τη δομή του άλλου. Αυτό καθιστά ακόμη πιο σημαντικό να προσδιοριστεί πρώτα σε ποιο από τα δύο πλαίσια εμπίπτει ο οργανισμός σας, πριν ξοδέψετε χρόνο στην εφαρμογή.
Τι ρυθμίζει η DORA και για ποιους
Η DORA γράφτηκε ειδικά για τον χρηματοπιστωτικό τομέα επειδή αυτός ο τομέας υπόκειται ήδη σε αυστηρή εποπτεία, με τις δικές του εποπτικές αρχές όπως η DNB και η AFM στην Ολλανδία. Ο κανονισμός αναφέρει μια σειρά οντοτήτων με όνομα: πιστωτικά ιδρύματα, φορείς παροχής υπηρεσιών πληρωμών, φορείς έκδοσης ηλεκτρονικού χρήματος, επιχειρήσεις επενδύσεων, ασφαλιστές και αντασφαλιστές, και συνταξιακά ταμεία, καθώς και τα κρίσιμα ψηφιακά κέντρα τρίτων που εξυπηρετούν αυτά τα ιδρύματα, όπως μεγάλοι πάροχοι υπολογιστικού νέφους. Για αυτα τα μέρη, η DORA αντικαθιστά το ευρύ πλαίσιο περίθαλψης της NIS2 με μια ρύθμιση που προσαρμόζεται στους χρηματοπιστωτικούς κινδύνους και στην εποπτεία που υπάρχει ήδη.
Τι ρυθμίζει η NIS2 και για ποιους
Η NIS2 καλύπτει τους τομείς που απαριθμούνται στην ίδια τη richtlijn: ενέργεια, μεταφορές, πόσιμο νερό, ψηφιακή υποδομή, υγειονομική περίθαλψη και ορισμένα άλλα που αναφέρονται στο παράρτημα I ως ουσιώδη και στο παράρτημα II ως σημαντικά. Μια εταιρεία εγκατάστασης, ένας προμηθευτής λογισμικού ή ένας πάροχος υπηρεσιών logistics που δεν δραστηριοποιείται στον χρηματοπιστωτικό τομέα, εξετάζει λοιπόν αυτή τη λίστα και όχι τη DORA. σε λίγες ερωτήσεις δείτε αν ο τομέας σας είναι σε αυτή τη λίστα δίνει μια γρήγορη πρώτη ένδειξη, χωρίς να χρειάζεται να μελετήσετε πλήρως το κείμενο της richtlijn.
Περιπτώσεις αμφιβολίας: όταν δεν είναι άμεσα σαφές
Οι περισσότεροι οργανισμοί βλέπουν σε λιγότερο από ένα λεπτό σε ποια κατηγορία ανήκουν. Πιο δύσκολο γίνεται με ενδιάμεσες μορφές: ένας ασφαλιστικός ενδιάμεσος, μια εταιρεία factoring, μια fintech που προσφέρει υπηρεσίες πληρωμών χωρίς να είναι μόνη της ένα άδειες φορέα παροχής υπηρεσιών πληρωμών, ή ένας προμηθευτής ΤΠ που εξυπηρετεί και τράπεζες και μη χρηματοπιστωτικούς πελάτες. Σε τέτοιες περιπτώσεις, η ακριβής νομική κατάσταση της οντότητας, και όχι ο τομέας στον οποίο νιώθει ότι ανήκει, καθορίζει ποια ρύθμιση ισχύει. Οι εποπτικές αρχές δημοσιεύουν δικές τους διευκρινήσεις για τούτο, και για μια συγκεκριμένη κατάσταση αυτό είναι το κατάλληλο σημείο επαφής, μαζί με έναν δικηγόρο που μπορεί να συγκρίνει τους ορισμούς και από τα δύο κείμενα με τις πραγματικές σας δραστηριότητες.
Δεύτερη πολυπλοκότητα προκύπτει στις ομάδες: μια μητρική εταιρεία που υπόκειται στη DORA ως χρηματοπιστωτικό ίδρυμα, μπορεί να έχει μια θυγατρική που ασκεί μια εντελώς διαφορετική δραστηριότητα και λόγω αυτού εξετάζεται ανεξάρτητα σύμφωνα με τα κριτήρια NIS2. Οι δύο ρυθμίσεις κοιτάζουν την οντότητα που παρέχει την υπηρεσία, όχι αυτόματα ολόκληρη την ομάδα.
Η λειτουργία της αλυσίδας ισχύει και στις δύο πλευρές
Αυτό που κοινό έχουν τα δύο πλαίσια είναι ότι εκτείνονται πέρα από τους φορείς που υπόκεινται υποχρεωτικά. Όπως ένας υποχρεωτικός φορέας της NIS2 πρέπει να αξιολογήσει τους προμηθευτές του, το DORA υποχρεώνει τα πιστωτικά ιδρύματα να ελέγχουν τις υπηρεσίες ΤΠ και να καθορίζουν συμφωνίες σχετικά με αυτές. Ένας προμηθευτής ΤΠ που παρέχει υπηρεσίες σε τράπεζα, ενδέχεται να λάβει ερωτηματολόγιο που προέρχεται από το DORA, ενώ ο ίδιος προμηθευτής μπορεί να λάβει ερωτηματολόγιο από την πλευρά της NIS2 από έναν άλλο τύπο πελάτη. Για τον προμηθευτή είναι χρήσιμο να γνωρίζει από ποιο πλαίσιο προέρχεται μια ερώτηση, επειδή τα ζητούμενα στοιχεία απόδειξης έχουν ορισμένες διαφορές στη διάρθρωσή τους. Περισσότερες πληροφορίες σχετικά με τον τρόπο λειτουργίας ενός τέτοιου εισερχόμενου ερωτηματολογίου, περιέχονται στα θέματα σχετικά με την αλυσίδα εφοδιασμού και το ερωτηματολόγιο ενός αγοραστή.
Πώς να το επαληθεύσετε για τη δική σας οργανισμό
Ο ταχύτερος τρόπος να αποκτήσετε σαφήνεια για τον εαυτό σας είναι να δείτε την άδεια ή την εγγραφή σας: εάν έχετε άδεια από την DNB ή την AFM, ή εάν είστε ένας από τους ρητά αναφερόμενους χρηματοπιστωτικούς φορείς, αυτό υποδεικνύει το DORA. Εάν ο τομέας σας αναφέρεται με όνομα στα παραρτήματα της Οδηγίας NIS2, αυτό υποδεικνύει το NIS2. Σε περίπτωση αμφιβολίας, δεν είναι περιττό να τοποθετήσετε και τα δύο κείμενα δίπλα δίπλα, ή να υποβάλετε την ερώτηση απευθείας στον εποπτικό φορέα. Η Secria εστιάζεται στην πλευρά NIS2 αυτού του θέματος· κατά την εισαγωγή αναγνωρίζουμε τα πιστωτικά ιδρύματα και κατευθύνουμε, ώστε να μην ξεκινήσετε με το λάθος ερωτηματολόγιο. Πώς ορίζουμε ακριβώς τον τομέα και το ρόλο στην αλυσίδα εφοδιασμού, και ποιες πηγές χρησιμοποιούμε, θα διαβάσετε στη σελίδα σχετικά με τον τρόπο σύνταξης των πληροφοριών σε αυτήν την πλατφόρμα.
Θέλετε πρώτα μια ενδεικτική εικόνα πριν συνεχίσετε; Κάντε το δωρεάν έλεγχο NIS2 ή περιηγηθείτε στη βάση γνώσης με θέματα· και τα δύο είναι προσβάσιμα χωρίς λογαριασμό και σας δίνουν μια απάντηση εντός μισής ώρας με την οποία μπορείτε να προχωρήσετε.