Az Ön szektora határozza meg, melyik törvény vonatkozik, nem a mérete
Hogy a NIS2 vagy a DORA vonatkozik-e szervezetére, az attól függ, hogy mely szektorban működik, nem attól, hogy hány alkalmazottja van vagy mekkora a bevétele. A DORA, a digitális operatív reziliencia törvénye az Európai Unió pénzügyi szektorra vonatkozó rendelete: bankok, biztosítók, befektetési vállalkozások, fizetési intézmények és számos olyan szerv, amely IT-szolgáltatásokat nyújt ezeknek az intézményeknek. A NIS2 az összes többi szektorra irányul, amelyeket az I. és II. melléklet említenek, az energia és szállítástól a digitális infrastruktúráig és a szennyvízkezelésig. Egy pénzügyi intézmény, amely a DORA hatálya alá tartozik, ugyanakkor nem tartozik a NIS2 hatálya alá ugyanezekre a tevékenységekre.
Ennek a kérdésnek az az oka, hogy gyakran felvetik, hogy mindkét szabályozás hasonlít egymásra: mindkettő kötele kockázatkezelésre, incidensbejelentésre és a szállítók figyelemmel kísérésére. Aki az egyik szövegét elolvasta, szinte automatikusan felismeri a másik szerkezetét. Ez még fontosabbá teszi, hogy először megállapítsa, hogy szervezete a kettő közül melyik keretbe tartozik, mielőtt időt fordítana a megvalósításra.
Mit szabályoz a DORA és kire vonatkozik
A DORA azért írták a pénzügyi szektorra, mert az már szigorú felügyelet alatt áll, saját felügyeleti hatóságokkal, például az Egyesült Államok-beli DNB és AFM. A rendelet sorozatában felsorolja az entitásokat: hitelintézeteket, fizetési intézményeket, elektronikus pénzintézményeket, befektetési vállalkozásokat, biztosítókat és visszabiztosítókat, valamint nyugdíjalapokat, valamint a kritikus IKT-harmadik feleket, amelyek ezeket az intézményeket szolgálják, például a nagyobb felhőszolgáltatókat. Ezekre a felekre a DORA helyettesíti a NIS2 széles körű gondoskodási keretét egy olyan szabályozással, amely a pénzügyi kockázatokra és az ott már létező felügyeletre van igazítva.
Mit szabályoz a NIS2 és kire vonatkozik
A NIS2 a szektorra terjed ki, amelyeket maga a direktíva sorol fel: energia, szállítás, ivóvíz, digitális infrastruktúra, egészségügy és számos egyéb, amely az I. mellékletben lényegesként és a II. mellékletben fontosként van megjelölve. Egy installáló vállalat, egy szoftverszállító vagy egy logisztikai szolgáltató, amely nem a pénzügyi szektorban működik, tehát erre a listára néz, és nem a DORA-ra. néhány kérdésben megtudhatja, szektora szerepel-e ezen a listán gyorsan első jelzést ad, anélkül, hogy átnéznéd az irányelvszöveg teljes terjedelmét.
Vitatott esetek: amikor nem azonnal világos
A legtöbb szervezet egy percen belül látja, hogy melyik táborba tartozik. Nehezebb lesz az átmeneti formáknál: egy biztosítási közvetítő, egy faktorálási vállalat, egy olyan fintech, amely fizetési szolgáltatásokat kínál anélkül, hogy maga licenccel rendelkező fizetési intézmény lenne, vagy egy olyan IT-szállító, amely bankok és nem pénzügyi ügyfelek egyaránt szolgálja. Ilyen esetekben az entitás pontos jogi státusza, és nem az az iparág, amelyből jól érzi magát, határozza meg, hogy melyik szabályozás vonatkozik rá. A felügyeleti hatóságok ezzel kapcsolatban saját részletezéseket tesznek közzé, és egy konkrét helyzet esetén ez az alkalmas kapcsolattartási pont, valamint egy olyan jogász, aki az egyik szöveg definícióit az Ön tényleges tevékenységei mellett tudja helyezni.
Egy második szövődmény akkor alakul ki csoportoknál: egy anyavállalat, amely pénzügyi intézményként a DORA hatálya alá tartozik, lehet egy olyan leányvállalata, amely egészen más tevékenységet végez, és ezért függetlenül ettől a NIS2-kritériumoknak megfelelően kerül értékelésre. A két szabályozás arra az entitásra néz, amely a szolgáltatást nyújtja, nem automatikusan az egész csoportra.
Az ellátási lánc működése mindkét oldalon érvényes
Ami közös a két szabályozásban, hogy mindkettő túlmegy azokon a szervezeteken, amelyek közvetlenül kötelezettségek alá tartoznak. Ahogyan egy NIS2 hatálya alá tartozó szervezetnek értékelnie kell szállítóit, a DORA is kötelezi a pénzügyi intézményeket az ICT-szolgáltatóik ellenőrzésére és erre vonatkozó megállapodások megkötésére. Egy banknak szállító IK-szállító tehát olyan kérdéslistát kaphat, amely a DORA szabályozásból ered, miközben ugyanez a szállító egy másik típusú ügyfélnél a NIS2 szabályozásból származó kérdéslistát kaphat. Magára a szállítóra nézve hasznos, ha tudja, hogy egy kérdés mely szabályozási keretből ered, mivel a kért bizonyítékok némileg eltérő módon kerülnek rendezésre. A beérkező kérdéslisták pontos működésérről bővebben a szállítási lánc és vevő kérdéslistája tárgyban olvasható.
Hogyan ellenőrizze ezt saját szervezete számára
A leggyorsabb módszer ahhoz, hogy tisztázódjon az Ön helyzete, az, ha megnézi saját engedélyét vagy bejegyzését: ha van engedélye a DNB-tól vagy az AFM-tól, vagy Ön a kifejezetten megnevezett pénzügyi szervezetek között szerepel, az a DORA felé mutat. Ha szektora a NIS2-irányelvlet függelékében szerepel név szerint, az a NIS2 felé mutat. Kétség esetén nem veszeleg azzal, ha a két szöveget egymás mellett tanulmányozza, vagy közvetlenül a felügyeleti hatóságnál teszi fel a kérdést. A Secria a NIS2 aspektusára összpontosít; az intézmények felvételénél azonosítjuk a pénzügyi intézményeket, és a megfelelő útmutató felé irányítjuk őket, hogy ne a hibás ellenőrzőlistával kezdje meg a munkát. Hogyan állapítjuk meg pontosan a szektort és a szállítási láncon belüli szerepet, valamint mely forrásokat használunk erre, az erre vonatkozó oldalon olvasható: hogyan születnek meg az információk ezen a platformon.
Szeretné előbb saját maga is felmérni a helyzetet, mielőtt továbbolvass? Végezze el az ingyenes NIS2-ellenőrzést, vagy böngésszen a tudástárban szereplő témák között; mindkettő regisztráció nélkül elérhető, és fél óra alatt választ ad, amellyel továbbléphet.