se aplică băncii sau asigurătorului meu DORA sau NIS2

Băncile și asigurătorii se supun DORA, nu NIS2

Pentru o bancă, asigurător sau alte instituții financiare, în practică se aplică DORA (Actul privind reziliența operațională digitală), și nu Directiva NIS2. Directiva NIS2 prevede ea însăși că instituțiile financiare care se încadrează deja într-o reglementare europeană sectorial specifică privind reziliența digitală rămân în afara sferei sale de aplicare — DORA este exact o asemenea reglementare. Motivul din spate nu este că sectorul financiar este omis, ci că pentru acel sector există deja un regim la fel de strict sau chiar mai strict, cu cerințe proprii privind, printre altele, gestionarea riscurilor TIC, raportarea incidentelor și supravegherea furnizorilor critici de TIC.

Aceasta nu înseamnă că o instituție financiară nu trebuie să facă nimic în domeniul securității cibernetice — DORA stabilește obligații proprii, cu o cronologie proprie și un organism de supraveghere propriu. Înseamnă, însă, că obligația de diligență, obligația de înregistrare și obligația de raportare a incidentelor din Directiva NIS2 și din Legea de securitate cibernetică nu sunt ruta care se aplică. Cine are îndoieli dacă o organizație se califică într-adevăr ca instituție financiară în sensul DORA, sau dimpotrivă ar putea (parțial) să se încadreze sub NIS2 deoarece se desfășoară și alte activități, ar fi bine să clarifice mai întâi această întrebare prin cum știu dacă compania mea se încadrează în NIS2. Pentru cei care abia încep cu această chestiune întreagă, Unde ar trebui să încep? este un punct logic de continuare.

Sursa acestei deosebiri: delimitarea în directivă

Delimitarea între NIS2 și DORA rezultă din Directiva NIS2 însăși, care desemnează sectoarele din anexele I și II ca esențiale sau importante, dar exclude entitățile financiare care se supun unui act juridic al Uniunii sectorial specific privind reziliența operațională digitală. Legea de securitate cibernetică, ca transpunere națională a acelei directive, urmărește aceeași delimitare. O trecere în revistă a sectoarele care se supun Legii de securitate cibernetică se află la care sunt sectoarele care se încadrează în Directiva NIS2. Pentru textul precis al acestei excepții, Directiva NIS2 însăși este sursa de consultat, ca și explicația pe care organismul de supraveghere o publică cu privire la aceasta.