Vai manai bankai vai apdrošinātājam piemēro DORA vai NIS2

Bankas un apdrošinājuma sabiedrības ir pakļautas DORA, nevis NIS2

Bankam, apdrošinājuma sabiedrībai vai citai finanšu iestādei praksē attiecas DORA (Digitālās operacionālās noturības akts), nevis NIS2 direktīva. NIS2 direktīva pati nosaka, ka finanšu iestādes, kas jau ir pakļautas nozarei specifiskai Eiropas regulai par digitālo noturību, paliek ārpus tās piemērošanas jomas — DORA ir tieši tāds regulējums. Iemesls nav tas, ka finanšu sektors tiek izlaists, bet tas, ka šim sektoram jau pastāv tikpat stingrs vai vēl stingrs režīms ar savām prasībām ICT risku pārvaldei, incidentu ziņošanai un nozīmīgo ICT piegādātāju uzraudzībai.

Tas nenozīmē, ka finanšu iestādei nav jāveic nekādas darbības kiberdraudzības jomā — DORA nosaka savas saistības ar savu laika grafiku un savu uzraugu. Tas nozīmē, ka piesardzības pienākums, reģistrācijas pienākums un ziņošanas pienākums no NIS2 direktīvas un Kiberdrosmības likuma nav maršruts, kas būtu piemērojams. Tiem, kas šaubās, vai organizācija tiešām ir finanšu iestāde DORA izpratnē, vai arī varētu būt (daļēji) pakļauta NIS2, jo tiek veiktas arī citas darbības, šo jautājumu vislabāk vispirms noskaidrot, izmantojot Kā es zinu, vai mana uzņēmuma jāievēro NIS2. Tiem, kas šā veselā jautājuma sākumā ir Ar ko man sākt? loģisks turpmākais solis.

Kur tas izriet: noraides definīcija direktīvā

Noraides definīcija starp NIS2 un DORA izriet no pašas NIS2 direktīvas, kas I un II pielikumā norādītās nozares klasificē kā būtiskas vai svarīgas, bet izņem finanšu entitiātes, kas ietilpst nozarei specifiskā Savienības tiesību aktā par digitālās operacionālās noturības, Kibernoziegumu kaujas likums, kā minētās direktīvas nacionālā ieviešana, ievēro tādu pašu noraides definīciju. Pārskats par to, kuras nozares patiesām ietilpst Kibernoziegumu kaujas likumā, ir pieejams. Kuri sektori ietilpst NIS2 direktīvā. Precīzam šīs izņēmuma teksta formulējumam ir jākonsultējas ar pašu NIS2 direktīvu, kā arī ar paskaidrojumiem, ko par to publicē uzraudzības iestāde.