O seu sector determina qual é a lei aplicável, não o seu tamanho
O facto de a DORA ou a NIS2 ser aplicável à sua organização depende do sector em que exerce a sua atividade, não do número de colaboradores que tem ou da dimensão do seu volume de negócios. A DORA, Lei Europeia de Resiliência Operacional Digital, é o regulamento europeu especificamente para o sector financeiro: bancos, seguradoras, empresas de investimento, instituições de pagamento e um conjunto de entidades que prestam serviços de TI a estas instituições. A NIS2 abrange todos os outros sectores mencionados no regulamento nos anexos I e II, desde a energia e transportes até à infraestrutura digital e água residual. Uma instituição financeira sujeita à DORA não fica, por conseguinte, também sujeita à NIS2 pelas mesmas atividades.
A razão pela qual esta questão é frequentemente colocada é que ambos os regulamentos são semelhantes: ambos obrigam à gestão de risco, à comunicação de incidentes e à atenção aos fornecedores. Quem tenha lido o texto de um dos dois reconhece automaticamente a estrutura do outro. Isto torna extra importante determinar primeiro em qual dos dois quadros se insere a sua organização, antes de investir tempo na sua implementação.
O que a DORA regulamenta e para quem
A DORA foi redigida especificamente para o sector financeiro porque esse sector já está sujeito a supervisão rigorosa, com autoridades supervisoras próprias, como o DNB e a AFM nos Países Baixos. O regulamento enumera uma série de entidades por nome: instituições de crédito, instituições de pagamento, instituições de dinheiro eletrónico, empresas de investimento, seguradoras e resseguradoras, e fundos de pensões, bem como os terceiros críticos de TI que servem estas instituições, como os grandes fornecedores de computação em nuvem. Para estas entidades, a DORA substitui o amplo quadro de diligência da NIS2 por um regulamento adaptado aos riscos financeiros e à supervisão que já existia.
O que a NIS2 regulamenta e para quem
A NIS2 abrange os sectores enumerados no próprio regulamento: energia, transportes, água para consumo humano, infraestrutura digital, saúde, e um conjunto de outros designados no anexo I como essenciais e no anexo II como importantes. Uma empresa de instalação, um fornecedor de software ou um prestador de serviços de logística que não exerça atividades no sector financeiro deve, portanto, consultar esta lista e não a DORA. verificar em algumas questões se o seu sector consta dessa lista fornece rapidamente uma primeira indicação, sem necessidade de consultar o texto completo do regulamento.
Casos duvidosos: quando não fica imediatamente claro
A maioria das organizações vê em poucos minutos em que categoria se inserem. Mais complexo é o caso de formas intermédias: um intermediário de seguros, uma sociedade de factoring, uma fintech que oferece serviços de pagamento sem ser ela própria uma instituição de pagamento autorizada, ou um fornecedor de TI que presta serviços tanto a bancos como a clientes não financeiros. Nestes casos, é o estatuto jurídico preciso da entidade, e não a indústria em que se considera inserida, que determina sob qual regulamento se enquadra. As autoridades supervisoras publicam os seus próprios esclarecimentos sobre este assunto, e para uma situação concreta, esse é o ponto de contacto apropriado, juntamente com um jurista que possa cotejar as definições de ambos os textos com as suas atividades reais.
Uma segunda complicação surge em grupos: uma empresa-mãe que seja uma instituição financeira sujeita à DORA pode ter uma empresa filial que exerça uma atividade completamente diferente e que, por isso, seja avaliada separadamente em relação aos critérios da NIS2. Os dois regulamentos focam-se na entidade que presta o serviço, não automaticamente no grupo no seu conjunto.
A lógica de cadeia aplica-se em ambos os sentidos
O que os dois marcos têm em comum é que vão além das partes que são obrigadas por lei. Assim como uma organização obrigada pela NIS2 deve avaliar seus fornecedores, a DORA obriga as instituições financeiras a testar seus prestadores de serviços de TIC e estabelecer acordos sobre isso. Um fornecedor de TI que fornece para um banco pode, portanto, receber um questionário que vem do lado da DORA, enquanto o mesmo fornecedor recebe um questionário do lado da NIS2 de outro tipo de cliente. É útil para esse fornecedor saber de qual marco uma pergunta vem, porque os documentos solicitados estão estruturados de forma ligeiramente diferente. Mais sobre como esse questionário recebido funciona exatamente está em tópicos sobre a cadeia de fornecimento e o questionário de um cliente.
Como verificar isso para sua própria organização
A maneira mais rápida de obter clareza para si mesmo é verificar sua própria licença ou registro: se você tiver uma licença do DNB ou da AFM, ou se você for uma das entidades financeiras explicitamente mencionadas, isso aponta para a DORA. Se seu setor é mencionado por nome nos anexos da Diretiva NIS2, isso aponta para a NIS2. Em caso de dúvida, não é um desvio colocar os dois textos lado a lado ou colocar a pergunta diretamente ao regulador. A Secria se concentra no lado NIS2 desta questão; na entrevista inicial, reconhecemos instituições financeiras e as encaminhamos, para que você não comece com a lista de verificação errada. Como determinamos precisamente o setor e o papel na cadeia de fornecimento, e quais fontes usamos para isso, você pode ler na página sobre como as informações nesta plataforma são compiladas.
Quer primeiro uma indicação antes de continuar a ler? Faça a verificação NIS2 gratuita ou navegue pela base de conhecimento com tópicos; ambas são acessíveis sem conta e lhe dão uma resposta dentro de meia hora com a qual você pode continuar.