Vaš sektor određuje koji zakon vrijedi, a ne vaša veličina
Primjena NIS2-a ili DORA-e na vašu organizaciju ovisi o sektoru u kojem poslujete, a ne o broju zaposlenih ili veličini vašeg prihoda. DORA, Uredba o operativnoj otpornosti digitalnih tehnologija, je europska uredba posebno za financijski sektor: banke, osiguravajuća društva, investicijska društva, institucije za plaćanje i broj subjekata koji pružaju IT-usluge tim institucijama. NIS2 se primjenjuje na sve ostale sektore koje richtlinja navodi u prilozima I i II, od energetike i prometa do digitalne infrastrukture i otpadnih voda. Financijska institucija koja podliježe DORA-i time ne podliježe i NIS2-i za istu djelatnost.
Razlog što se ovo pitanje često postavlja je što su obje uredbe slične: obje zahtijevaju upravljanje rizicima, izvještavanje o incidentima i pažnju prema dobavljačima. Tko je pročitao tekst jedne od njih, gotovo automatski prepoznaje strukturu druge. To čini dodatno važnim da prvo odredite u koji od dva okvira spada vaša organizacija, prije nego što vremenske energije uložite u provedbu.
Što DORA uređuje i za koga
DORA je napisana specifično za financijski sektor jer taj sektor već podliježi strogom nadzoru, s vlastitim nadzornim tijelima kao što su DNB i AFM u Nizozemskoj. Uredba navodi niz subjekata po imenu: kreditne institucije, institucije za plaćanje, institucije za elektronički novac, investicijska društva, osiguravajuća društva i reosiguravajuća društva, te mirovinskih fondova, kao i kritične ICT-treće strane koje služe tim institucijama, kao što su veliki pružatelji usluga u oblaku. Za te subjekte DORA zamjenjuje širok okvir brige NIS2-a uredbom prilagođenom financijskim rizicima i nadzoru koji je već postojao.
Što NIS2 uređuje i za koga
NIS2 obuhvaća sektore navedene u samoj richtliji: energetiku, promet, pijaću vodu, digitalnu infrastrukturu, zdravstvenu zaštitu i nekoliko ostalih koje su u prilogu I označene kao bitne, a u prilogu II kao važne. Instalacijski obrt, software dobavljač ili logistička uslužna tvrtka koja ne posluje u financijskom sektoru trebala bi dakle pogledati tu listu, a ne DORA-u. u nekoliko pitanja vidjeti je li vaš sektor na toj listi daje tamo brzu prvu naznaku, bez da trebate pregledati cijeli tekst richtlije.
Dvojbeni slučajevi: kada nije odmah jasno
Većina organizacija vidi u roku od minute u kojem kampu se nalaze. Teže postaje kod međuoblika: osiguravajući posrednik, factoring društvo, fintech koji nudi usluge plaćanja bez da sam bude licencirana institucija za plaćanje, ili IT dobavljač koji služi i bankama i nefinancijskim klijentima. U tim slučajevima određuje precizni pravni status subjekta, a ne grana u kojoj se osjećaju kao kod kuće, pod koju uredbu spadaju. Nadzorna tijela objavljuju vlastita pojašnjenja o tome, a za konkretnu situaciju to je prikladan kontaktna točka, zajedno s pravnikom koji može staviti definition iz obaju tekstova pored vaših stvarnih djelatnosti.
Druga komplikacija nastaje s grupama: matično poduzeće koje kao financijska institucija podliježe DORA-i, može imati kćersko poduzeće koje obavlja sasvim drugu djelatnost i zbog toga se odvojeno procjenjuje prema kriterijima NIS2-a. Dvije uredbe promatraju subjekt koji pruža uslugu, a ne automatski cijelo poduzeće kao cjelinu.
Efekt lanca vrijedi s obje strane
Ono što oba okvira imaju zajedničko je da njima nadmašuju strane koje su same obvezne. Baš kao što organizacija obavezna prema NIS2 mora procjenjivati svoje dobavljače, DORA financijske institucije obvezuje da ispitaju svoje ICT pružatelje usluga i zaključe dogovore o tome. IT dobavljač koji snabdijeva banku stoga može dobiti upitnik koji dolazi iz DORA kuta, dok isti dobavljač od drugog tipa klijenta prima upitnik iz NIS2 kuta. Za tog dobavljača samog je korisno znati iz kojeg okvira pitanje dolazi, jer su traženi dokazi malo drugačije strukturirani. Više o tome kako točno takav stigao upitnik funkcionira nalazi se u temama o lancu nabave i upitnicima primatelja.
Kako to provjeravate za vašu vlastitu organizaciju
Najbrži način da sebi pribavite jasnoću je da pogledate vašu vlastitu dozvolu ili registraciju: ako imate dozvolu od DNB ili AFM, ili ste jedna od eksplicitno navedenih financijskih entiteta, to pokazuje prema DORA. Ako vaš sektor s imenom stoji u prilozima NIS2 direktive, to pokazuje prema NIS2. U slučaju sumnje nije zaobilazan put da poredite oba teksta jedan pored drugoga, ili da pitanje direktno postavite nadzornom tijelu. Secria se fokusira na NIS2 aspekt ovog pitanja; tijekom preuzimanja prepoznajemo financijske institucije i upućujemo vas dalje, kako ne biste počeli s krivom listom provjere. Kako točno utvrđujemo sektor i ulogu u lancu nabave te koje izvore koristimo za to, možete pročitati na stranici o kako se informacije na ovoj platformi kreiraju.
Želite li prvo sami dobiti naznaku prije nego što nastavite čitati? Izvedite besplatnu NIS2 provjeru ili pretražite bazu znanja s temama; oboje je dostupno bez računa i daje vam odgovor u roku od pola sata s kojim možete dalje.