Sectorul dumneavoastră determină care lege se aplică, nu dimensiunea dumneavoastră
Indiferent dacă NIS2 sau DORA se aplică organizației dumneavoastră depinde de sectorul în care sunteți activi, nu de câți angajați aveți sau cât de mare este cifra dumneavoastră de afaceri. DORA, Actul privind reziliența operațională digitală, este reglementarea europeană special pentru sectorul financiar: bănci, companii de asigurări, întreprinderi de investiții, instituții de plată și un număr de părți care furnizează servicii IT acestor instituții. NIS2 se adresează tuturor celorlalți sectori pe care îi menționează directiva în anexele I și II, de la energie și transport la infrastructura digitală și apele uzate. O instituție financiară care se supune DORA nu se supune, prin urmare, și NIS2 pentru aceleași activități.
Motivul pentru care această întrebare este adesea pusă este că ambele reglementări se asemănă: amândouă obligă la gestionarea riscurilor, raportarea incidentelor și atenție pentru furnizori. Oricine a citit textul uneia dintre cele două recunoaște aproape automat structura celeilalte. Aceasta face deosebit de important să stabilim mai întâi în care dintre cele două cadre se încadrează organizația dumneavoastră, înainte de a investi timp în implementare.
Ce reglementează DORA și pentru cine
DORA a fost scrisă special pentru sectorul financiar deoarece acel sector se află deja sub o supraveghere strictă, cu supraveghetori proprii, cum ar fi DNB și AFM în Olanda. Reglementarea menționează o serie de entități după denumire: instituții de credit, instituții de plată, instituții de bani electronic, întreprinderi de investiții, companii de asigurări și reasigurări, și fonduri de pensii, plus terțe părți ICT critice care servesc aceste instituții, cum ar fi marii furnizori de cloud. Pentru aceste părți, DORA înlocuiește cadrul larg de diligență al NIS2 cu o reglementare adaptată riscurilor financiare și supravegherii care deja exista.
Ce reglementează NIS2 și pentru cine
NIS2 acoperă sectoarele enumerate în directivă: energie, transport, apă potabilă, infrastructură digitală, sănătate și un număr de altele marcate în anexa I ca esențiale și în anexa II ca importante. O întreprindere de instalații, un furnizor de software sau un prestator de servicii logistici care nu sunt activi în sectorul financiar, consultă prin urmare această listă și nu DORA. în câteva întrebări puteți vedea dacă sectorul dumneavoastră se află pe acea listă oferă o indicație rapidă inițială, fără a trebui să consultați textul complet al directivei.
Cazuri discutabile: când nu este imediat clar
Cele mai multe organizații văd în decurs de un minut în care categorie se situează. Devine mai dificil cu formele intermediare: un intermediar de asigurări, o companie de factoring, o fintech care oferă servicii de plată fără a fi ea însăși o instituție de plată autorizată, sau un furnizor IT care servește atât bănci, cât și clienți non-financiari. În aceste cazuri, statutul juridic precis al entității, și nu sectorul în care se consideră că activează, determină sub care reglementare se încadrează. Supraveghetorii publică pe aceasta propriile explicații, iar pentru o situație concretă acesta este punctul de contact indicat, alături de un jurist care poate pune definițiile din ambele texte alături de activitățile dumneavoastră reale.
O a doua complicație apare în cazul grupurilor: o companie mamă care se încadrează ca instituție financiară sub DORA poate avea o filială care desfășoară o activitate cu totul diferită și este prin urmare evaluată separat conform criteriilor NIS2. Cele două reglementări se uită la entitatea care prestează serviciul, nu automat la grup în ansamblu.
Mecanismul lanțului de aprovizionare se aplică în ambele direcții
Ceea ce au în comun cele două cadre este că se extind dincolo de entitățile care sunt ele însele supuse unor obligații. La fel cum o entitate supusă NIS2 trebuie să evalueze furnizorii săi, DORA obligă instituțiile financiare să testeze furnizorii lor de servicii TIC și să încheie acorduri în acest sens. Un furnizor IT care furnizează unei bănci poate primi deci posibil o chestionar care provine din sfera DORA, în timp ce același furnizor, la un alt tip de client, primește un chestionar din sfera NIS2. Pentru acel furnizor este util să știe din care cadru provine o întrebare, deoarece documentele de dovedit solicitate sunt organizate ușor diferit. Mai multe informații despre modul exact în care funcționează un chestionar primit în acest sens se găsesc în subiectele privind lanțul de aprovizionare și chestionarul unui cumpărător.
Cum verific acest lucru pentru propria organizație
Cel mai rapid mod de a obține claritate pentru dumneavoastră este să vă uitați la propria licență sau înregistrare: dacă dețineți o licență de la DNB sau AFM, sau sunteți una dintre entitățile financiare explicit menționate, aceasta indică DORA. Dacă sectorul dumneavoastră este menționat nominalizat în anexele Directivei NIS2, aceasta indică NIS2. În caz de îndoială, nu este inutil să puneți cele două texte una lângă alta, sau să adresați întrebarea direct autorității de supraveghere. Secria se concentrează pe aspectul NIS2 al acestei chestiuni; în faza de evaluare, identificăm instituțiile financiare și le redirecționăm, pentru ca să nu lucrați cu lista de verificare greșită. Cum stabilim exact sectorul și rolul în lanțul de aprovizionare, și ce surse folosim în acest scop, puteți citi pe pagina privind cum se generează informațiile pe această platformă.
Doriți mai întâi o indicație proprie înainte de a continua? Faceți verificarea NIS2 gratuită sau răsfoiți baza de cunoștințe cu subiecte; ambele sunt accesibile fără cont și vă oferă răspunsul în termen de jumătate de oră cu care puteți avansa.