Teie sektor määrab, milline seadus kehtib, mitte teie suurus
Kas NIS2 või DORA teie organisatsioonile kehtib, sõltub sektorist, milles te tegutsete, mitte sellest, kui palju töötajaid teil on või kui suur teie müügikäive on. DORA, Digital Operational Resilience Act, on Euroopa määrus, mis on spetsiaalselt finantssektori jaoks: pangad, kindlustusseltsid, investeerimisühingud, makseasutused ja teatud osapooled, kes pakuvad IT-teenuseid neile asutustele. NIS2 on suunatud kõigile teistele sektoritele, mida määruses on loetletud I ja II lisas, alates energiast ja transportist kuni digitaalse infrastruktuuri ja reovee käitluseni. Finantsinstitutsioon, mis kuulub DORA regulatsiooni alla, ei kuulu samas sama tegevuse osas ka NIS2 regulatsiooni alla.
Põhjus, miks seda küsimust sageli esitatakse, on see, et mõlemad määrused on üksteisega sarnased: mõlemad kohustab riskijuhtimisele, juhtumite teatamisele ja tähelepanu pööramisele tarnijatele. Kes on lugenud ühe või teise teksti, tunneb peaaegu automaatselt teise struktuuri ära. See muudab eriti oluliseks kõigepealt kindlaks teha, millises kahest raamistikust teie organisatsioon asub, enne kui investeerite aega selle väljatöötamisse.
Mida DORA reguleerib ja kellele
DORA on kirjutatud finantssektori jaoks spetsiaalselt, sest see sektor on juba rangliku järelevalve all, omades omaette järelevalveasutusi nagu Hollandis DNB ja AFM. Määruses on nimega loetletud rida üksuseid: krediidiasutused, makseasutused, elektroonilist raha väljastava üksused, investeerimisühingud, kindlustusseltsid ja tagakindlustusseltsid, pensionifondid, samuti kriitilised IKT-kolmandate osapoolte, kes neid asutusi teenindavad, näiteks suured pilveteenuste pakkujad. Nende osapoolte jaoks asendab DORA NIS2 laia hoolsusmääratlusraami sellega, mis on kohandatud finantssektori riskidele ja sellele, mis järelevalves juba kehtis.
Mida NIS2 reguleerib ja kellele
NIS2 hõlmab sektoreid, mis on määruses endas loetletud: energia, transport, joogiveesisaldus, digitaalne infrastruktuur, tervishoiuvaldkond ja mitmeid teisi, mis on I lisas märgitud oleuliseks ja II lisas oluliseks. Paigaldusettevõte, tarkvarateenuse pakkuja või logistikateenuste osutaja, kes ei tegutsege finantssektoris, vaatab seega selle listi ja mitte DORA poole. paar küsimuses näha, kas teie sektor on selles loetelu all annab sellest kiire esimese näitamise ilma, et peaksite käima läbi kogu määruse teksti.
Kaheldavad juhtumid: kui see kohe selge pole
Enamik organisatsioone näevad minuti jooksul, millisesse laagri nad kuuluvad. Keerulisemaks muutub see vahepealsete vormide puhul: kindlustusvahendaja, faktooringettevõtte, fintech, mis pakub makseteenuseid ilma ise litsentseeritud makseasutuseks olemata, või IT-teenuse pakkuja, kes teenindab nii panku kui ka mittefinantssektor kliente. Sellistel juhtudel määrab üksuse täpne õiguslik seisund, mitte tööstusharu, kuhu ta end kuuluvaks peab, milline regulatsioon kehtib. Järelevalveasutused avaldavad selle kohta oma selgitused, ja konkreetse olukorra jaoks on see sobiv kontaktpunkt koos juristiga, kes saab määratluseid mõlemast tekstist teie tegeliku tegevuse kõrvale panna.
Teine keerukus tekib kontsernides: emaettevõte, kes kuulub DORA regulatsiooni alla kui finantsinstitutsioon, võib omada tütarettevõtet, kes tegeleb täiesti teistsuguse tegevusega ja seetõttu vaadeldakse eraldi NIS2 kriteeriumidele vastavusena. Mõlemad määrused vaatavad üksusele, kes teenust osutab, mitte automaatselt kontsernile tervikuna.
Ahelvõrkude regulatsioon kehtib mõlemalt poolt
Mida kaks raamistikku ühist omavad, on see, et nad ulatuvad kaugemale kui osapooled, kes ise kohustatud on. Nii nagu NIS2-kohustatud organisatsioon peab hindama oma tarnijaid, kohustab DORA finantsinstitutsioonid nende IKT-teenuse pakkujate hindama ja sellest kokkuleppeid tegema. IT-tarnija, kes pangale tarnib, võib seega saada küsimustiku, mis pärineb DORA-suunalt, samas kui sama tarnija võib teiselt klienditüübilt saada küsimustiku NIS2-suunalt. Sellele tarnijale endale on kasulik teada, millisest raamistikust küsimus pärineb, sest nõutavad tõendid on veidi erinevalt korraldatud. Täpsemalt selle kohta, kuidas selline saabunud küsimustik täpselt toimib, leidub teemades tarneahela ja ostja küsimustiku kohta.
Kuidas seda oma organisatsiooni puhul kontrolli teha
Kiireim viis endale selgust saada on vaadata oma litsentsi või registreeringut: kui teil on DNB-i või AFM-i litsents või olete üks konkreetselt nimetatud finantsinstitutsioonidest, siis see näitab DORA suunas. Kui teie sektor on NIS2-direktiivi lisades nimetatud, siis see näitab NIS2 suunas. Kahtluse korral ei ole üle ajada mõlema teksti kõrvuti paigutamine või küsimuse esitamine otse järelevalvajale. Secria keskendub selle küsimuse NIS2-poolele; vastuvõtu käigus tuvastame finantsinstitutsioonid ja suuname teid edasi, et te ei alustaks vale kontrollnimekirjaga. Kuidas me sektorit ja rolli tarneahelas täpselt määrame ja milliseid allikaid selleks kasutame, leiate lehelt kuidas selle platvormi teave tekib.
Kas soovite enne ise üle vaadata? Tehke tasuta NIS2-kontroll või sirvige teavete andmebaasi teemade järgi; mõlemad on kontota juurdepääsetavad ja annavad teile poole tunni jooksul vastuse, millega edasi minna.