Il vostro settore determina quale legge si applica, non le vostre dimensioni
Che la NIS2 o il DORA si applichino alla vostra organizzazione dipende dal settore in cui operate, non dal numero di dipendenti o dall'entità del vostro fatturato. DORA, il Digital Operational Resilience Act, è il regolamento europeo specifico per il settore finanziario: banche, assicuratori, imprese di investimento, istituti di pagamento e alcuni fornitori di servizi IT a queste istituzioni. La NIS2 si rivolge a tutti gli altri settori menzionati negli allegati I e II della direttiva, dall'energia ai trasporti, dalla infrastruttura digitale alle acque reflue. Un istituto finanziario che rientra nel DORA non è allo stesso tempo soggetto alla NIS2 per le medesime attività.
La ragione per cui questa domanda viene frequentemente posta è che entrambe le normative sono simili: entrambe impongono la gestione del rischio, la segnalazione degli incidenti e l'attenzione verso i fornitori. Chi ha letto il testo di una delle due normative riconosce quasi automaticamente la struttura dell'altra. Questo rende ancora più importante stabilire innanzitutto in quale dei due quadri ricade la vostra organizzazione, prima di dedicare tempo alla sua attuazione.
Cosa regola il DORA e per chi
DORA è redatto specificamente per il settore finanziario perché questo settore è già sottoposto a una vigilanza ristretta, con proprie autorità di vigilanza come DNB e l'AFM nei Paesi Bassi. Il regolamento elenca una serie di entità per nome: istituti di credito, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, assicuratori e riassicuratori, fondi pensione, oltre alle terze parti critiche per le tecnologie dell'informazione e della comunicazione che servono queste istituzioni, come i grandi fornitori di servizi cloud. Per questi soggetti, il DORA sostituisce il ampio quadro di responsabilità della NIS2 con una normativa su misura per i rischi finanziari e la vigilanza che già esisteva.
Cosa regola la NIS2 e per chi
La NIS2 copre i settori elencati nella direttiva stessa: energia, trasporti, acqua potabile, infrastrutture digitali, sanità e una serie di altri settori designati come essenziali nell'allegato I e importanti nell'allegato II. Un'impresa di installazione, un fornitore di software o un prestatore di servizi logistici che non opera nel settore finanziario esamina quindi questo elenco e non il DORA. in poche domande capire se il vostro settore è in quell'elenco fornisce una rapida prima indicazione, senza che dobbiate setacciare l'intero testo della direttiva.
Casi dubbi: quando non è immediatamente chiaro
La maggior parte delle organizzazioni comprende in un minuto in quale ambito rientra. Diventa più complicato nel caso di forme ibride: un intermediario assicurativo, una società di factoring, una fintech che offre servizi di pagamento senza essere essa stessa un istituto di pagamento autorizzato, oppure un fornitore IT che serve sia banche che clienti non finanziari. In questi casi, è lo status giuridico preciso dell'entità, non il settore in cui si ritiene di operare, a determinare quale normativa si applica. Le autorità di vigilanza pubblicano chiarimenti specifici al riguardo, e per una situazione concreta è consigliabile rivolgersi a loro insieme a un legale che possa confrontare le definizioni di entrambi i testi con le vostre attività effettive.
Una seconda complicazione nasce nei gruppi aziendali: una società madre che rientra nel DORA come istituto finanziario può avere una filiale che esercita un'attività completamente diversa e quindi è sottoposta ai criteri della NIS2 in modo indipendente. Le due normative guardano all'entità che fornisce il servizio, non automaticamente al gruppo nel suo insieme.
L'effetto della catena di fornitura vale in entrambi i casi
Ciò che i due quadri hanno in comune è che si estendono oltre i soggetti che sono direttamente obbligati. Proprio come un'organizzazione soggetta alla direttiva NIS2 deve valutare i propri fornitori, il regolamento DORA obbliga gli enti finanziari a testare i propri fornitori di servizi ICT e a stipulare accordi in merito. Un fornitore IT che fornisce servizi a una banca potrebbe quindi ricevere un questionario DORA, mentre lo stesso fornitore presso un altro tipo di cliente riceve un questionario NIS2. Per il fornitore è utile sapere da quale quadro normativo proviene una domanda, perché le prove richieste sono strutturate in modo leggermente diverso. Ulteriori informazioni su come funziona esattamente un questionario in entrata sono disponibili in argomenti sulla catena di fornitura e il questionario di un cliente.
Come verificare questo per la vostra organizzazione
Il modo più rapido per ottenere chiarezza è controllare la vostra licenza o registrazione: se possedete una licenza della DNB o dell'AFM, o siete uno degli enti finanziari esplicitamente menzionati, questo indica il regolamento DORA. Se il vostro settore è nominato negli allegati della direttiva NIS2, questo indica la NIS2. In caso di dubbio, non è uno scarto mettere i due testi uno accanto all'altro, o porre la domanda direttamente all'autorità di vigilanza. Secria si concentra sul versante NIS2 di questa questione; durante l'intake riconosciamo gli enti finanziari e li indirizziamo altrove, in modo che non iniziate con la checklist sbagliata. Come determiniamo esattamente il settore e il ruolo nella catena di fornitura, e quali fonti utilizziamo, potete leggerlo nella pagina su come si crea l'informazione su questa piattaforma.
Volete prima un'indicazione prima di continuare a leggere? Fate la verifica NIS2 gratuita o sfogliate la banca di conoscenze per argomenti; entrambe sono accessibili senza account e vi daranno una risposta entro mezz'ora con cui potrete procedere.