Toimialasi määrittää, mikä laki pätee, eivät henkilöstön määrä tai liikevaihto
Se, koskeeko organisaatiotasi NIS2 vai DORA, riippuu siitä, missä toimialalla organisaatio toimii, ei siitä, kuinka monta työntekijää sillä on tai kuinka suuri sen liikevaihto on. DORA, digitaalisen toimintakestävyyden säädös, on Euroopan asetus rahoitusalalle: pankeille, vakuutusyhtiöille, sijoitusyrityksille, maksulaitoksille ja joillekin näille laitoksille IT-palveluita tarjoaville toimijoille. NIS2 koskee kaikkia muita liitteissä I ja II mainitun direktiivin alaisia toimialoja, energiasta ja kuljetuksista digitaaliseen infrastruktuuriin ja jätevesipalveluihin. Rahoituslaitos, joka kuuluu DORA-sääntelyn piiriin, ei samalla kuulu NIS2-sääntelyn piiriin näistä samoista toiminnoista.
Tämän kysymyksen esittämisen syy usein on, että molemmat säännökset muistuttavat toisiaan: molemmat edellyttävät riskienhallintaa, tapahtumien ilmoittamista ja huomiota toimittajiin. Joka on lukenut yhden näistä teksteistä, tunnistaa lähes automaattisesti toisen rakenteen. Tämä tekee erityisen tärkeäksi määrittää ensin, kumman sääntelykehikon piiriin organisaatiosi kuuluu, ennen kuin käytät aikaa toteuttamiseen.
Mitä DORA säätelee ja kenelle
DORA on kirjoitettu rahoitusalalle erityisesti, koska alan jo valvotaan tiukasti omilla valvontaviranomaisilla, kuten Suomessa Finanssivalvonnalla. Asetus mainitsee sarjan entiteettejä nimentään: luottolaitokset, maksulaitokset, sähköisen rahan laitokset, sijoitusyritykset, vakuutusyhtiöt ja jälleenvakuutusyhtiöt sekä eläkesäätiöt, sekä kriittiset ICT-kolmannen osapuolen palveluntarjoajat, jotka palvelevat näitä laitoksia, kuten suuret pilvipalveluntarjoajat. Näille osapuolille DORA korvaa NIS2:n laajan vastuuvelvollisuuskehikon sääntelyllä, joka on räätälöity rahoitusriskeille ja sen valvonnalle, joka jo olemassa.
Mitä NIS2 säätelee ja kenelle
NIS2 kattaa direktiivissä luetellut toimialat: energian, kuljetukset, juomavesi, digitaalisen infrastruktuurin, terveydenhuollon ja muut, jotka on merkitty liitteessä I välttämättömiksi ja liitteessä II tärkeiksi. Asennus- ja rakennusyritys, ohjelmistotoimittaja tai logistiikan palveluntarjoaja, joka ei toimi rahoitusalalla, katsoo tähän luetteloon, ei DORA-sääntelyyn. Muutamalla kysymyksellä nähdään, onko toimialasi siinä luettelossa antaa siitä nopeasti ensimmäisen viitteen ilman, että sinun täytyy vaivautua koko direktiivin tekstiin.
Epäselvät tapaukset: milloin se ei ole heti selkeää
Useimmat organisaatiot näkevät minuutissa, kummalla puolella ne ovat. Hankalampaa on välimuodoissa: vakuutusvälittäjä, factoring-yhtiö, fintech-yritys, joka tarjoaa maksutietoja ilman, että se itse on valtuutettu maksulaitoksen lisenssinhaltija, tai IT-toimittaja, joka palvelee sekä pankkeja että ei-rahoitusalan asiakkaita. Näissä tapauksissa entiteetin tarkka oikeudellinen asema, eikä toimiala, johon se kokee kuuluvansa, määrittää, kumman sääntelyn piiriin se kuuluu. Valvontaviranomaiset julkaisevat omia selityksiään, ja konkreettisessa tilanteessa ne ovat asianmukainen yhteyshenkilö yhdessä juristin kanssa, joka voi verrata molempien tekstien määritelmiä organisaatiosi tosiasiallisiin toimintoihin.
Toinen komplikaatio syntyy konserneissa: emoyhtiö, joka rahoituslaitoksena kuuluu DORA-sääntelyn piiriin, voi omistaa tytäryhtiön, joka harjoittaa täysin erilaista toimintaa ja joutuu siksi itsenäisesti NIS2-kriteerien arviointiin. Molemmat säännöt katsovat siihen entiteettiin, joka palvelua tarjoaa, eivät automaattisesti koko konserniin.
Ketjun vaikutukset pätevät molempiin suuntiin
Molempien kehysten yhteinen piirre on kuitenkin se, että ne ulottuvat pidemmälle kuin vain velvoitettuihin osapuoliin. Samalla tavalla kuin NIS2-velvoitetun organisaation on arvioitava toimittajiaan, velvoittaa DORA rahoituslaitoksia testaamaan niiden ICT-palveluntarjoajia ja tekemään niistä sopimuksia. IT-toimittaja, joka toimittaa pankille, voi siten saada kyselylomakkeen DORA-puolelta, kun taas sama toimittaja voi saada kyselylomakkeen NIS2-puolelta toiselta asiakkaalta. Toimittajalle itselleen on hyödyllistä tietää, mistä kehyksestä kysymys tulee, koska pyydetyt todisteet on järjestetty hieman eri tavoin. Lisää siitä, miten vastaanotettu kyselylomake tarkalleen ottaen toimii, löytyy toimitusketjua ja asiakkaan kyselylomaketta koskevista aiheista.
Miten tämän vahvistat omaa organisaatiotasi varten
Nopein tapa saada selkeyttä itsellesi on tarkistaa oma lupakirjasi tai rekisteröintisi: jos sinulla on DNB:n tai AFM:n myöntämä lupakirja, tai olet yksi nimenomaisesti mainituista rahoitusyksiköistä, se osoittaa DORA-suuntaan. Jos sektorisi on nimetty NIS2-direktiivin liitteissä, se osoittaa NIS2-suuntaan. Epävarmuuden tapauksessa ei ole turhaa vaivaa, jos laitat molemmat tekstit vierekkäin tai esität kysymyksen suoraan valvontaviranomaiselle. Secria keskittyy tämän kysymyksen NIS2-puoleen; ottovaiheessa tunnistamme rahoituslaitokset ja ohjaamme ne eteenpäin, jotta et ala työskennellä väärän tarkistusluettelon kanssa. Miten määritämme sektorin ja roolin toimitusketjussa tarkalleen ja mitä lähteitä käytämme, voit lukea siitä, miten tämän alustan tiedot tulevat osaksi.
Haluatko ensin oman arvion ennen kuin luet lisää? Tee ilmainen NIS2-tarkistus tai selaa tietopankkia aiheittain; molemmat ovat saatavilla ilman tiliä ja antavat sinulle puolen tunnin sisällä vastauksen, jolla voit edetä.