Su sector determina qué ley se aplica, no su tamaño
El hecho de que se aplique a su organización la Directiva NIS2 u DORA depende del sector en el que opera, no del número de empleados que tiene ni de la magnitud de su facturación. DORA, la Ley de Resiliencia Operativa Digital, es el Reglamento europeo específico para el sector financiero: bancos, aseguradoras, empresas de inversión, instituciones de pago y determinados proveedores de servicios de TI que prestan servicios a estas instituciones. La Directiva NIS2 se dirige a todos los demás sectores mencionados en los anexos I y II de la directiva, desde la energía y el transporte hasta la infraestructura digital y el agua residual. Una entidad financiera sujeta a DORA no se encuentra, por tanto, también sujeta a la Directiva NIS2 por esas mismas actividades.
La razón por la que esta pregunta se plantea con frecuencia es que ambas normativas son similares: ambas imponen la gestión de riesgos, la notificación de incidentes y la consideración de los proveedores. Quien haya leído el texto de uno de los dos, reconocerá casi automáticamente la estructura del otro. Por ello es especialmente importante establecer primero en cuál de los dos marcos se encuentra su organización, antes de invertir tiempo en su implementación.
Lo que DORA regula y para quién
DORA se ha redactado específicamente para el sector financiero porque este sector ya está sujeto a una supervisión estricta, con organismos supervisores propios como DNB y la AFM en los Países Bajos. El Reglamento enumera una serie de entidades por su nombre: instituciones de crédito, instituciones de pago, instituciones de dinero electrónico, empresas de inversión, aseguradoras y reaseguradoras, y fondos de pensiones, además de los terceros de la TIC críticos que prestan servicios a estas instituciones, como los grandes proveedores de servicios en nube. Para estas partes, DORA sustituye el amplio marco de debida diligencia de la Directiva NIS2 por una normativa adaptada a los riesgos financieros y a la supervisión que ya existía.
Lo que la Directiva NIS2 regula y para quién
La Directiva NIS2 cubre los sectores enumerados en la propia directiva: energía, transporte, agua potable, infraestructura digital, sanidad y otros designados en el anexo I como esenciales y en el anexo II como importantes. Una empresa de instalación, un proveedor de software o un prestador de servicios logísticos que no operen en el sector financiero consultarán, por tanto, esta lista y no DORA. con unas pocas preguntas comprobar si su sector figura en esa lista proporciona rápidamente una primera indicación, sin necesidad de analizar el texto completo de la directiva.
Casos ambiguos: cuándo no está claro de inmediato
La mayoría de las organizaciones ven en menos de un minuto en qué lado se encuentran. La dificultad surge en formas intermedias: un corredor de seguros, una compañía de factoring, una fintech que ofrece servicios de pago sin ser en sí misma una institución de pago autorizada, o un proveedor de TI que sirve tanto a bancos como a clientes no financieros. En estos casos, la condición jurídica precisa de la entidad, y no el sector en el que se considera que opera, es lo que determina qué normativa se aplica. Los organismos supervisores publican al respecto sus propias aclaraciones, y en una situación concreta ese es el punto de contacto apropiado, junto con un abogado que pueda confrontar las definiciones de ambos textos con sus actividades reales.
Una segunda complicación surge en grupos empresariales: una empresa matriz que como entidad financiera está sujeta a DORA puede tener una filial que desarrolla una actividad completamente diferente y que, por tanto, se evalúa por separado conforme a los criterios de la Directiva NIS2. Ambas normativas examinan la entidad que presta el servicio, no automáticamente el grupo empresarial en su conjunto.
El funcionamiento en cadena se aplica en ambos sentidos
Lo que comparten ambos marcos es que van más allá de las partes que están sujetas a obligaciones. Así como una organización sujeta a NIS2 debe evaluar a sus proveedores, DORA obliga a las entidades financieras a evaluar a sus proveedores de servicios TIC y a establecer acuerdos al respecto. Un proveedor de TI que suministra a un banco puede recibir un cuestionario que procede del lado de DORA, mientras que el mismo proveedor recibe un cuestionario del lado de NIS2 de otro cliente. Para ese proveedor es útil saber de qué marco procede una pregunta, porque los documentos probatorios solicitados están estructurados de manera ligeramente diferente. Más información sobre cómo funciona exactamente un cuestionario entrante de este tipo se encuentra en la temas sobre la cadena de suministro y el cuestionario de un cliente.
Cómo verificar esto para su propia organización
La forma más rápida de obtener claridad para usted es revisar su propia licencia o registro: si tiene una licencia de DNB o AFM, o si es una de las entidades financieras explícitamente mencionadas, eso indica DORA. Si su sector figura por nombre en los anexos de la Directiva NIS2, eso indica NIS2. En caso de duda, no es un desvío poner ambos textos uno al lado del otro, o formular la pregunta directamente a la autoridad supervisora. Secria se enfoca en el lado de NIS2 de esta cuestión; en la evaluación inicial identificamos entidades financieras y las derivamos, para que no trabaje con la lista de verificación incorrecta. Cómo determinamos exactamente el sector y el papel en la cadena de suministro, y qué fuentes utilizamos para ello, puede leerlo en la página sobre cómo se genera la información en esta plataforma.
¿Desea obtener primero una indicación antes de continuar leyendo? Realice la verificación NIS2 gratuita o explore la base de conocimientos por temas; ambas son accesibles sin cuenta y le darán una respuesta dentro de media hora con la que puede avanzar.