ar mano bankui ar draudikui taikoma dora ar nis2

Bankai ir draudimo bendrovės patenka po DORA, o ne po NIS2

Bankui, draudimo bendrovei ar kitai finansinei institucijai praktikoje taikomas DORA (Skaitmeninės operacinės atsparumo aktas), o ne NIS2 direktyva. NIS2 direktyva pati nustato, kad finansinės institucijos, kurios jau patenka po sektoriui skirtam Europos skaitmeninės atsparumo reguliavimui, lieka jos taikymo srities ribose — DORA yra būtent toks reguliavimas. Priežastis nėra ta, kad finansų sektoriui daroma išimtis, bet ta, kad šiam sektoriui jau egzistuoja toks pat ar griežtesnis režimas, su savais reikalavimais, be kita ko, IRT rizikos valdymui, incidentų pranešimui ir kritinių IRT tiekėjų priežiūrai.

Tai nereiškia, kad finansinė institucija neturi daryti nieko kibernetinio saugumo srityje — DORA kelia savus įpareigojimus, su savo laiko grafiku ir savo reguliatoriumi. Tai reiškia, kad aprūpinimo pareiga, registracijos pareiga ir pranešimo pareiga iš NIS2 direktyvos ir Kibernetinio saugumo įstatymo nėra tinkamas kelias. Jei kyla abejonės, ar organizacija tikrai laikoma finansine institucija DORA prasme, ar gali iš dalies patenka po NIS2, nes taip pat vykdo kitas veiklas, šį klausimą geriausia pirmiausia aiškiai suformuluoti per kaip žinau, ar mano įmonė patenka į nis2. Tiems, kurie visai pradeda šią problemą spręsti, yra Nuo ko pradėti? logiškas sekantis žingsnis.

Iš kur tai kyla: skirtis tarp NIS2 ir DORA

Skirtis tarp NIS2 ir DORA kyla iš pačios NIS2 direktyvos, kuri I ir II prieduose nurodytus sektorius žymi kaip esminius ar svarbius, bet išima finansines subjektus, kurios patenka po sektoriui skirtam Europos skaitmeninės operacinės atsparumo reguliavimui. Kibernetinio saugumo įstatymas, kaip tos direktyvos transponavimas į Nyderlandų teisę, laikosi tos pačios skirtties. Sektorių, kurie iš tiesų patenka po Kibernetinio saugumo įstatymu, apžvalga yra paskelbta kurie sektoriai patenka į nis2 direktyvą. Norėdami sužinoti tikslų šios išimties tekstą, turėtumėte konsultuotis su pačia NIS2 direktyva, taip pat su reguliatoriaus paskelbta išaiškinamuoju pranešimu.