Jūsų sektorius lemia, kurie teisės aktai galioja, o ne jūsų dydis
Tai, ar NIS2 ar DORA taikoma jūsų organizacijai, priklauso nuo sektoriaus, kuriame veiklai, o ne nuo to, kiek turite darbuotojų ar kokia jūsų apyvarta. DORA, Skaitmeninės operacinės atsparumo aktas, yra Europos reglamentas, skirtas specialiai finansų sektoriui: bankams, draudimo bendrovėms, investicinėms bendrovėms, mokėjimo paslaugų teikėjams ir keliems subjektams, kurie šioms institucijoms teikia IT paslaugas. NIS2 orientuojasi į visus kitus sektorius, kuriuos nurodo richtlinio I ir II priedai – nuo energetikos ir transporto iki skaitmenės infrastruktūros ir nuotekų. Finansinė institucija, kuri patenka po DORA, tuo pačiu nepatenka ir po NIS2 dėl tų pačių veiklų.
Šis klausimas dažnai užduodamas dėl to, kad abu reglamentavimai yra panašūs: abu reikalauja rizikos valdymo, incidentų pranešimo ir dėmesio tiekėjams. Kas nors, kuris perskaitė vieno ar kito tekstą, beveik automatiškai atpažins kito struktūrą. Tai dar labiau aktualizuoja būtinybę pirmiausia nustatyti, kuriame iš šių dviejų rėmų yra jūsų organizacija, prieš skirdami laiką jos įgyvendinimui.
Ką reglamentuoja DORA ir kam
DORA parengta finansų sektoriui specialiai, nes tas sektorius jau kontroliuojamas griežtai, su savais priežiūros subjektais, pavyzdžiui, DNB ir AFM Nyderlanduose. Reglamente išvardytos tam tikros subjektų kategorijos: kredito institucijos, mokėjimo paslaugų teikėjai, elektroninės pinigų institucijos, investicinės bendrovės, draudikai ir perdraudikai, pensijų fondai, taip pat kritinės ICT trečiosios šalys, kurios aptarnauja šias institucijas, pavyzdžiui, dideli debesų paslaugų teikėjai. Šioms šalims DORA pakeičia platų NIS2 rūpesčio pareigų rėmą specialiu reglamentavimu, pritaikytu finansinėms rizikoms ir jau egzistuojančiai priežiūrai.
Ką reglamentuoja NIS2 ir kam
NIS2 apima sektorius, kurie išvardyti pačioje richtlinyje: energetiką, transportą, geriamąjį vandenį, skaitmeninę infrastruktūrą, sveikatos apsaugą ir kai kuriuos kitus sektorius, kurie I priede pažymėti kaip esminiai, o II priede – kaip svarbūs. Taigi montuotojas, programinės įrangos tiekėjas arba logistikos paslaugų teikėjas, kurie neveikia finansų sektoriuje, žiūrėtų į šį sąrašą, o ne į DORA. per keletą klausimų nustatykite, ar jūsų sektorius yra tame sąraše jums greitai suteiks pirminę informaciją, nereikalaudama peržiūrėti visą richtlinio tekstą.
Neaiškūs atvejai: kai iš karto nėra aišku
Dauguma organizacijų per minutę supranta, kurioje pusėje jos yra. Sudėtingiau būna su tarpinėmis formomis: draudimo tarpininkas, faktoringo bendrovė, fintech, teikianti mokėjimo paslaugas, neturėdama pati licencijos kaip mokėjimo paslaugų teikėjas, arba IT tiekėjas, kurio klientai yra tiek bankai, tiek ne finansinės institucijos. Tokiais atvejais sprendžiamą vaidmenį lemia tikslus juridinis subjekto statusas, o ne šaka, kurioje jis jaučiasi namie. Priežiūros subjektai šiuo klausimu skelbia savo paaiškinimus, o konkrečią situaciją tikslinga aptarti su jais ir su juristo, kuris galėtų palyginti abu tekstus su jūsų faktine veikla.
Antra komplikacija kyla dėl grupių: patronalinė bendrovė, kuri yra finansinė institucija ir patenka po DORA, gali turėti filialą, vykdantį visai kitą veiklą, kuris todėl atskirai vertinamas pagal NIS2 kriterijus. Abu reglamentavimai žiūri į subjektą, teikiantį paslaugą, o ne automatiškai į visą konglomeratą.
Toliausios grandinės veikimas taikomas abiem pusėms
Abu dviem sistemas susieja tai, kad jie siekia toliau nei patys reguliuojami subjektai. Kaip NIS2-reguliuojama organizacija turi įvertinti savo tiekėjus, DORA privalo finansų įstaigas tikrinti jų IKT paslaugų teikėjus ir dėl jų sudaryti susitarimus. IKT tiekėjas, teikiantis paslaugas bankui, gali gauti klausimyną iš DORA pusės, o tas pats tiekėjas iš kitos rūšies kliento gali gauti klausimyną iš NIS2 pusės. Tam tiekėjui pačiam naudinga žinoti, iš kurio reguliavimo rėmo kyla klausimai, nes reikalingi įrodymų dokumentai šiek tiek skiriasi. Daugiau informacijos apie tai, kaip tiksliai veikia gaunamas klausimynas, pateikiama temose apie tiekimo grandinę ir klientų klausimynus.
Kaip tai patikrinti savo organizacijai
Grečiausias būdas gauti jums reikalingą aiškumą – peržvelgti savo licenciją arba registraciją: jei turite DNB ar AFM licenciją arba esate viena iš aiškiai nurodytų finansų institucijų, tai rodo DORA link. Jei jūsų sektoriaus pavadinimas nurodytas NIS2 direktyvos prieduose, tai rodo NIS2 link. Abejojant nėra naudinga padėti abi nuostatas viena šalia kitos arba iš karto pakelti klausimą reguliatoriui. Secria dėmesį sutelkia į NIS2 aspektą; priėmimo metu atpažįstame finansų įstaigas ir nukreipiame jas toliau, kad jūs nedirbsite su neteisingu sąrašu. Tai, kaip tiksliai nustatome sektorių ir vaidmenį tiekimo grandinėje bei kokius šaltinius tam naudojame, skaitykite puslapyje kaip informacija šioje platformoje kuriama.
Norite gauti nurodymą prieš tęsdami skaityti? Atlikite nemokamą NIS2 patikrą arba peržvelkite žinių bazę su temomis; abi pasiekiamos be paskyros ir per pusvalandį gausite atsakymą, kuriuo galite pasinaudoti.