koskeeko pankkiani tai vakuutusyhtiötäni DORA vai NIS2

Pankit ja vakuutusyhtiöt kuuluvat DORA:n piiriin, eivät NIS2:n

Pankille, vakuutusyhtiölle tai muulle rahoituslaitokselle soveltuu käytännössä DORA (Digital Operational Resilience Act), ei NIS2-direktiiviä. NIS2-direktiivi säätelee itse, että rahoituslaitokset, jotka jo kuuluvat sektorikohtaisen eurooppalaisen digitaalisen vastustuskyvyn sääntelyyn, jäävät sen soveltamisalan ulkopuolelle — DORA on juuri sellainen säännöstö. Taustalla ei ole se, että rahoitussektori ohitettaisiin, vaan se, että kyseiselle sektorille on jo olemassa yhtä tiukka tai tiukempi sääntelyohjelma, jonka mukaan asetetaan omat vaatimukset muun muassa ICT-riskinhallinnan, poikkeamien ilmoittamisen ja kriittisten ICT-toimittajien valvonnan osalta.

Se ei tarkoita, että rahoituslaitos ei joutuisi tekemään mitään kyberturvallisuuden alalla — DORA asettaa omat velvoitteet, omalla aikajanalla ja omalla valvojalla. Se tarkoittaa, että NIS2-direktiivin ja kansallisen kyberturvalainsäädännön mukainen huolellisuusvelvoite, rekisteröintivelvoite ja ilmoitusvelvoite eivät ole sovellettava reitti. Kuka epäröi, kuuluuko organisaatio todella DORA:n määritelmän mukaisesti rahoituslaitokseksi vai voiko se mahdollisesti (osittain) kuulua NIS2:n piiriin, koska sillä on myös muuta toimintaa, kannattaa selvittää asia ensin kuinka tiedän, vaatiiko yritykselleni NIS2:n. Kelle tämä koko kysymys on aivan uusi, Mistä minun pitäisi aloittaa? looginen jatkokohta.

Mistä tämä johtuu: määritelmät direktiivissä

NIS2:n ja DORA:n välinen rajaus johtuu itse NIS2-direktiivistä, joka nimeää liitteiden I ja II sektorit olennaisiksi tai tärkeiksi, mutta poistaa soveltamisalan piiristä rahoituslaitokset, joihin sovelletaan digitaalisen operatiivisen kestävyyden osalta erityistä unionin säädöstä. Kybertietoturvalaissa, joka on direktiivin kansallinen täytäntöönpano Alankomaissa, noudatetaan samaa rajausta. Luettelo sektoreista, joihin Kybertietoturvalaaki todella soveltuu, löytyy osoitteesta mitkä sektorit kuuluvat NIS2-direktiivin piiriin`. Tämän poikkeaman tarkaksi tekiksi on NIS2-direktiivi itse ensisijainen lähde, samoin kuin valvontaviranomaisen siitä julkaisema selitys.