ισχύει η DORA ή το NIS2 για την τράπεζά μου ή τον ασφαλιστή μου

Οι τράπεζες και οι ασφαλιστές υπόκεινται στο DORA, όχι στο NIS2

Για μια τράπεζα, ασφαλιστή ή άλλο χρηματοπιστωτικό ίδρυμα, στην πράξη ισχύει το DORA (το Κανονισμό για την Ψηφιακή Λειτουργική Ανθεκτικότητα), και όχι το NIS2 Directive. Το NIS2 Directive καθαυτό ορίζει ότι τα χρηματοπιστωτικά ιδρύματα που εμπίπτουν ήδη σε έναν τομεακό ειδικό κανονισμό της Ευρώπης για την ψηφιακή ανθεκτικότητα, παραμένουν έξω από το πεδίο εφαρμογής του — το DORA είναι ακριβώς τέτοιος κανονισμός. Ο λόγος πίσω από αυτό δεν είναι ότι ο χρηματοπιστωτικός τομέας παραλείπεται, αλλά ότι υπάρχει ήδη για αυτόν τον τομέα ένα ίσο ή και αυστηρότερο καθεστώς, με δικές του απαιτήσεις για τη διαχείριση κινδύνων ΤΠ, την αναφορά περιστατικών και την εποπτεία κρίσιμων προμηθευτών ΤΠ.

Αυτό δεν σημαίνει ότι ένα χρηματοπιστωτικό ίδρυμα δεν έχει καμία υποχρέωση στον τομέα της κυβερνοασφάλειας — το DORA θέτει δικές του υποχρεώσεις, με δικό του χρονοδιάγραμμα και δικό του εποπτικό φορέα. Αυτό σημαίνει ότι η υποχρέωση φροντίδας, η υποχρέωση καταχώρησης και η υποχρέωση αναφοράς από το NIS2 Directive και το Cybersecurity Act δεν είναι η διαδρομή που ισχύει. Όποιος αμφιβάλλει για το εάν ένας οργανισμός πράγματι εμπίπτει ως χρηματοπιστωτικό ίδρυμα σύμφωνα με το DORA, ή ενδεχομένως (εν μέρει) υπόκειται στο NIS2 επειδή διεξάγονται και άλλες δραστηριότητες, θα πρέπει να λάβει αυτήν την ερώτηση σαφώς πρώτα μέσα. πώς ξέρω αν η επιχείρησή μου υπάγεται στο NIS2Για όσους ξεκινούν από την αρχή σε ολόκληρο αυτό θέμα είναι Από πού πρέπει να ξεκινήσω; ένα λογικό επόμενο βήμα.

Πού προκύπτει αυτό: η οριοθέτηση στο Directive

Η οριοθέτηση μεταξύ NIS2 και DORA προκύπτει από το NIS2 Directive αυτό, το οποίο ορίζει τους τομείς στα παραρτήματα I και II ως ουσιώδη ή σημαντικά, αλλά εξαιρεί από αυτά τα χρηματοπιστωτικά ιδρύματα που υπόκεινται σε έναν τομεακό κανονισμό της Ένωσης για την ψηφιακή λειτουργική ανθεκτικότητα. Το Cybersecurity Act, ως ολλανδική εφαρμογή αυτού του Directive, ακολουθεί την ίδια οριοθέτηση. Ένα περιεχόμενο των τομέων που υπόκεινται στο Cybersecurity Act υπάρχει στο ποιοι τομείς υπάγονται στην Οδηγία NIS2. Για το ακριβές κείμενο αυτής της εξαίρεσης, το NIS2 Directive αυτό είναι η πηγή που πρέπει να συμβουλευθείτε, καθώς και η εξήγηση που δημοσιεύει ο εποπτικός φορέας για αυτό.