Sektor Pani/Pana organizacji decyduje o obowiązujących przepisach, a nie wielkość firmy
To, czy do organizacji mają zastosowanie przepisy DORA czy NIS2, zależy od sektora, w którym Pani/Pana organizacja działa, a nie od liczby zatrudnionych pracowników lub wysokości przychodów. DORA, czyli europejskie rozporządzenie o odporności operacyjnej sektora finansowego, to przepisy dotyczące wyłącznie sektora finansowego: banków, zakładów ubezpieczeń, firm inwestycyjnych, instytucji płatniczych i kilku podmiotów świadczących usługi IT tym instytucjom. NIS2 skierowana jest do wszystkich pozostałych sektorów wymienionych w załącznikach I i II dyrektywy, od energii i transportu po infrastrukturę cyfrową i gospodarowanie ściekami. Instytucja finansowa podlegająca DORA nie podlega jednocześnie NIS2 w odniesieniu do tych samych działań.
Powód, dla którego to pytanie jest często zadawane, polega na tym, że oba przepisy są do siebie podobne: oba nakładają obowiązek zarządzania ryzykiem, zgłaszania incydentów i zwracania uwagi na dostawców. Kto przeczytał tekst jednego z nich, prawie automatycznie rozpoznaje strukturę drugiego. Dlatego tak ważne jest najpierw ustalić, w ramach którego z tych dwóch przepisów mieści się Pani/Pana organizacja, zanim Pani/Pan poświęci czas na wdrażanie.
Co reguluje DORA i dla kogo
DORA został opracowany specjalnie dla sektora finansowego, ponieważ sektor ten już podlega ścisłemu nadzorowi, z własnymi organami nadzoru, takimi jak DNB i AFM w Holandii. Rozporządzenie wymienia szereg podmiotów z nazwy: instytucje kredytowe, instytucje płatnicze, instytucje emitujące pieniądz elektroniczny, firmy inwestycyjne, ubezpieczyciele i reasekuratorzy, fundusze emerytalne, a także krytyczne podmioty trzecie świadczące usługi IT tym instytucjom, takie jak duże dostawcy usług w chmurze. Dla tych podmiotów DORA zastępuje szeroki system obowiązków zawartych w NIS2 przepisami dostosowanymi do ryzyka finansowego i istniejącego już nadzoru.
Co reguluje NIS2 i dla kogo
NIS2 obejmuje sektory wymienione w samej dyrektywie: energetykę, transport, zaopatrzenie w wodę pitną, infrastrukturę cyfrową, opiekę zdrowotną i kilka innych wymienionych w załączniku I jako istotne oraz w załączniku II jako ważne. Zakład instalacyjny, dostawca oprogramowania lub usługodawca logistyczny niezatrudniający się w sektorze finansowym powinien zatem kierować się tą listą, a nie DORA. kilka pytań, aby szybko stwierdzić, czy Pani/Pana sektor znajduje się na tej liście daje szybki wstępny obraz, bez konieczności przebijania się przez pełny tekst dyrektywy.
Przypadki wątpliwe: kiedy nie jest od razu jasne
Większość organizacji w ciągu minuty widzi, w którym obozie się znajduje. Trudniej jest w przypadkach przejściowych: pośrednik ubezpieczeniowy, spółka faktoringowa, fintech oferujący usługi płatnicze bez bycia sama licencjonowaną instytucją płatniczą, czy dostawca IT obsługujący zarówno banki, jak i klientów spoza sektora finansowego. W takich przypadkach to dokładny status prawny podmiotu, a nie branża, w której czuje się on u siebie, decyduje o tym, jakie przepisy mają zastosowanie. Organy nadzoru publikują w sprawie tego własne wytyczne, a do konkretnej sytuacji właściwym punktem kontaktowym są te organy, wraz z prawnikiem, który potrafi porównać definicje z obu tekstów z faktycznymi działaniami Pani/Pana organizacji.
Druga komplikacja pojawia się w przypadku grup kapitałowych: spółka matka będąca instytucją finansową podlegającą DORA może mieć spółkę zależną prowadzącą zupełnie inną działalność i w związku z tym podlegającą niezależnie ocenie zgodnie z kryteriami NIS2. Oba przepisy patrzą na podmiot świadczący usługę, a nie automatycznie na całą grupę kapitałową.
Działanie w łańcuchu dostaw obowiązuje po obu stronach
Wspólnym elementem obu ram jest to, że wykraczają one poza podmioty, które same podlegają obowiązkowi. Tak jak organizacja podlegająca NIS2 musi oceniać swoich dostawców, rozporządzenie DORA zobowiązuje instytucje finansowe do testowania swoich dostawców usług ICT i zawarcia w tej sprawie porozumień. Dostawca IT, który dostarcza usługi bankowi, może zatem otrzymać kwestionariusz pochodzący ze strony DORA, podczas gdy ten sam dostawca u innego typu klienta może otrzymać kwestionariusz pochodzący ze strony NIS2. Dla tego dostawcy samego w sobie jest korzystne wiedzieć, z którego ram pochodzi dane pytanie, ponieważ żądane dowody mają nieco inną strukturę. Więcej informacji na temat sposobu funkcjonowania takiego przychodzącego kwestionariusza znajduje się w tematy dotyczące łańcucha dostaw i kwestionariusza odbiorcy.
Jak to sprawdzić w przypadku Twojej organizacji
Najszybszym sposobem na uzyskanie jasności dla siebie jest sprawdzenie własnej licencji lub rejestracji: jeśli posiadasz licencję od DNB lub AFM, lub jesteś jedną z wyraźnie wymienionych instytucji finansowych, to wskazuje kierunek DORA. Jeśli Twój sektor jest wymieniony z nazwy w załącznikach do Dyrektywy NIS2, to wskazuje kierunek NIS2. W razie wątpliwości nie jest obejściem położenie obu tekstów obok siebie lub przedstawienie pytania bezpośrednio organowi nadzoru. Secria skupia się na aspekcie NIS2 tego zagadnienia; podczas rejestracji rozpoznajemy instytucje finansowe i przekierowujemy, aby nie pracować z niewłaściwą listą kontrolną. Jak dokładnie ustalamy sektor i rolę w łańcuchu dostaw oraz jakie źródła do tego wykorzystujemy, przeczytaj na stronie jak informacje na tej platformie powstają.
Chcesz najpierw uzyskać própną wskazówkę, zanim będziesz czytać dalej? Wykonaj bezpłatne sprawdzenie NIS2 lub przejrzyj bazę wiedzy z tematy; oba są dostępne bez konta i dadzą Ci odpowiedź w ciągu pół godziny, z którą możesz iść dalej.