kas minu pank või kindlustusandja kuulub DORA või NIS2 regulatsiooni alla

Pangad ja kindlustusfirmad kuuluvad DORA alla, mitte NIS2 alla

Panga, kindlustusfirma või muu rahandusasutuse puhul kehtib praktikas DORA (Digital Operational Resilience Act), mitte NIS2-direktiivi. NIS2-direktiiv ise sätestab, et rahandusasutused, mis juba kuuluvad sektorispetsiifilise Euroopa digitaalse vastupidavuse eeskirja alla, jäävad selle kohaldamisalast välja — DORA on täpselt selline eeskiri. Selle põhjuseks pole see, et finantssektorit vahele jäetakse, vaid see, et selle sektori jaoks eksisteerib juba võrdselt range või veelgi rangem režiim, millel on omat nõuded teiste hulgas ICT-riskijuhtimise, intsidentide teatamise ja kriitilistele ICT-tarnijatele järelevalve kohta.

See ei tähenda, et finantsiline asutus ei pea tegema midagi küberkaitsmise alal — DORA kehtestab omat kohustused, omat ajakava ja omat järelevalveasutuse. See tähendab aga seda, et NIS2-direktiivist ja Küberkaitseseadusest tulenevad hooledusvastutused, registreerimiskohustused ja teatamiskohustused pole rakendatav teekond. Kellel on kahtlus, kas organisatsioon on tõepoolest rahandusasutus DORA tähenduses või võib konkreetselt NIS2 alla kuuluda, kuna teostatakse ka muid tegevusi, peaks selle küsimuse selgitama kõigepealt kuidas teada saada, kas minu ettevõte kuulub NIS2 regulatsiooni alla. Kellele see kogu küsimustik on alles algus, on Kuidas alustada? loogiline järgnev samm.

Kust see tuleneb: piiritlus direktiivis

Piiritlus NIS2 ja DORA vahel tuleneb NIS2-direktiivist enast, mis määrab essentsiaalseteks ja tähtsateks sektoreid I ja II lisas, kuid välistab neist rahandusasutused, mis kuuluvad sektorispetsiifilise Euroopa digitaalse operatiivse vastupidavuse eeskirja alla. Küberkaitseseadus kui selle direktiivi riiklik rakendamine järgib sama piiritlust. Ülevaade sektoritest, mis kuuluvad Küberkaitseseaduse alla, leidub aadressil millised sektorid kuuluvad NIS2 direktiivi alla. Selle erandi täpse teksti jaoks on NIS2-direktiiv ise konsulteerimisallikaks, samuti nagu järelevalveasutuse selle kohta avaldatud selgitus.