Váš sektor určuje, ktorý zákon sa vzťahuje, nie vaša veľkosť
Či sa na vašu organizáciu vzťahuje NIS2 alebo DORA, závisí od sektora, v ktorom pôsobíte, a nie od počtu zamestnancov ani od výšky vášho obratu. DORA, Nariadenie o digitálnej operačnej odolnosti, je európske nariadenie špecificky určené pre finančný sektor: banky, poisťovne, investičné spoločnosti, platobné inštitúcie a počet subjektov, ktoré poskytujú IT služby týmto inštitúciám. NIS2 sa zameriava na všetky ostatné sektory, ktoré nariadenie uvádza v prílohe I a II, od energetiky a dopravy až po digitálnu infraštruktúru a odpadné vody. Finančná inštitúcia, ktorá podlieha DORA, tým pádom nepodlieha aj NIS2 za tú istú činnosť.
Dôvod, prečo sa táto otázka často kladie, spočíva v tom, že obe úpravy sa navzájom podobajú: obe určujú záväzky v oblasti riadenia rizík, hlásenia incidentov a pozornosti venovanej dodávateľom. Kto si prečítal text jednej z týchto dvoch úprav, takmer automaticky pozná štruktúru tej druhej. Preto je obzvlášť dôležité najskôr zistiť, v ktorom z týchto dvoch rámcov vaša organizácia pôsobí, aby ste pred ďalšou realizáciou nestrácali čas.
Čo DORA upravuje a pre koho
DORA bola vypracovaná špecificky pre finančný sektor, pretože tento sektor už podlieha prísnym dohľadom so svojimi vlastnými regulačnými orgánmi, ako sú DNB a AFM v Holandsku. Nariadenie uvádza rad subjektov menom: kreditné inštitúcie, platobné inštitúcie, elektronické peňažné inštitúcie, investičné spoločnosti, poisťovne a zaistenia, penziačné fondy, plus kritické ICT subdodávatelia, ktorí tieto inštitúcie obsluhujú, ako napríklad veľkí poskytovatelia cloudových služieb. Pre tieto subjekty DORA nahrádza rozsiahly rámec povinností NIS2 úpravou špeciálne prispôsobenou finančným rizikám a dohľadu, ktorý tam už existoval.
Čo NIS2 upravuje a pre koho
NIS2 pokrýva sektory, ktoré sú uvedené v samotnom nariadení: energetika, doprava, pitná voda, digitálna infraštruktúra, zdravotníctvo a počet ďalších, ktoré sú v prílohe I označené ako kritické a v prílohe II ako dôležité. Inštalačná spoločnosť, dodávateľ softvéru alebo poskytovateľ logistických služieb, ktorí nepôsobia v finančnom sektore, sa preto pozerajú na tento zoznam a nie na DORA. v niekoľkých otázkach zistiť, či váš sektor figuruje na tomto zozname poskytuje rýchlu prvú indikáciu bez potreby preštudovať si celý text nariadenia.
Pochybné prípady: kedy nie je hneď jasné
Väčšina organizácií si v priebehu minúty uvedomí, do ktorej kategórie patria. Ťažšie je to s medziľahlými formami: poisťovací sprostredkovateľ, factoringová spoločnosť, fintech ponúkajúci platobné služby bez toho, aby bola sama licencovanou platobnou inštitúciou, alebo IT dodávateľ obsluhujúci banky aj nefinančných klientov. V takýchto prípadoch presný právny status subjektu, a nie priemysel, v ktorom sa cítia doma, určuje, ktorej úprave podliehajú. Regulačné orgány na to publikujú svoje vlastné vysvetlenia, a v konkrétnej situácii je to vhodný kontakt spolu s právnikom, ktorý dokáže položiť definície z oboch textov vedľa vašej skutočnej činnosti.
Druhá komplikácia vzniká v skupinách: materská spoločnosť, ktorá ako finančná inštitúcia podlieha DORA, môže mať dcérsku spoločnosť vykonávajúcu úplne inú činnosť a tým pádom posúdenú voči kritériám NIS2 nezávisle. Obe úpravy sa pozerajú na subjekt, ktorý poskytuje službu, a nie automaticky na skupinu ako celok.
Vzťah v rámci reťazca platí na oboch stranách
To, čo majú oba rámce spoločné, je, že siahajú ďalej ako subjekty, ktoré sú samy povinné. Podobne ako organizácia povinná podľa NIS2 musí posúdiť svojich dodávateľov, DORA ukladá finančným ústavom povinnosť testovať svojich poskytovateľov služieb v oblasti ICT a dohodnúť sa na tejto záležitosti. Dodávateľ IT služieb, ktorý dodáva banke, môže teda dostať zoznam otázok vychádzajúci z DORA, zatiaľ čo ten istý dodávateľ môže dostať zoznam otázok z NIS2 od iného typu zákazníka. Pre dodávateľa samotného je užitočné vedieť, z ktorého rámca otázka pochádza, pretože požadované podklady sú usporiadané mierne odlišne. Viac informácií o tom, ako takýto prijaté zoznam otázok presne funguje, nájdete v témach týkajúcich sa reťazca a zoznamu otázok od nákupného subjektu.
Ako si to overiť v rámci svojej vlastnej organizácie
Najrýchlejší spôsob, ako si o tom urobiť jasno, je pozrieť si svoju vlastnú licenciu alebo registráciu: ak máte licenciu od DNB alebo AFM, alebo ste jednou z výslovne uvedených finančných entít, to naznačuje DORA. Ak je váš sektor menovaný v prílohách smernice NIS2, to naznačuje NIS2. V prípade pochybností nie je zbytočné dať si oba texty vedľa seba, alebo položiť otázku priamo dozorovému orgánu. Secria sa zameriavas na NIS2 stranu tejto otázky; pri registrácii rozpoznávame finančné ústavy a odkazujeme vás ďalej, aby ste si nezačali pracovať so zlým zoznamom kontrol. Ako presne určujeme sektor a úlohu v reťazci a aké zdroje na to používame, čítate na stránke o tom, ako sa informácie na tejto platforme vytvárajú.
Chcete si najprv urobiť predstavu skôr, ako budete ďalej čítať? Vykonajte bezplatnú kontrolu NIS2 alebo si prelistujte banku poznatkov s témami; obe sú dostupné bez účtu a do pol hodiny vám dajú odpoveď, s ktorou môžete pracovať.