platí pre moju banku alebo poistovňu DORA alebo NIS2

Banky a poisťovne podliehajú DORA, nie NIS2

Pre banku, poisťovňu alebo inú finančnú inštitúciu platí v praxi DORA (Digital Operational Resilience Act) a nie smernica NIS2. Samotná smernica NIS2 určuje, že finančné inštitúcie, ktoré už podliehajú sektorovo špecifickému európskemu režimu digitálnej odolnosti, zostávajú mimo jej oblasti uplatovania — DORA je práve takýmto režimom. Dôvod nie je v tom, že by sa finančný sektor vylučoval, ale v tom, že pre tento sektor už existuje rovnako prísny alebo prísnejší režim s vlastnými požiadavkami na riadenie ICT rizík, oznamovanie incidentov a dohľad nad kritickými ICT dodávateľmi.

To neznamená, že finančná inštitúcia nemusí robiť nič v oblasti kybernetickej bezpečnosti — DORA stanovuje vlastné povinnosti s vlastným časovým plánom a vlastným regulátorom. Znamená to však, že starostlivosť, povinnosť registrácie a povinnosť hlásenia z smernice NIS2 a zákona o kybernetickej bezpečnosti nie sú adekvátnym postupom. Ak je nejasné, či sa organizácia skutočne považuje za finančnú inštitúciu v zmysle DORA, alebo naopak môže čiastočne podliehať NIS2 z dôvodu vykonávania aj iných činností, je najlepšie si túto otázku najpv ujasniť prostredníctvom ako zistím, či moje podnikanie podlieha NIS2. Pre tých, ktorí sa len začínajú zaoberať touto problematikou, je Kde mám začať? logickým ďalším krokom.

Zo čoho to vyplýva: rozdelenie v smernici

Rozdelenie medzi NIS2 a DORA vyplýva z vlastnej smernice NIS2, ktorá určuje sektory v prílohách I a II ako existenciálne alebo dôležité, ale vylučuje finančné subjekty, ktoré podliehajú sektorovo špecifickému právnemu aktu Únie o digitálnej operačnej odolnosti. Zákon o kybernetickej bezpečnosti ako holandský právny predpis transponujúci túto smernicu nasleduje rovnaké rozdelenie. Prehľad sektorov, ktoré skutočne podliehajú zákonu o kybernetickej bezpečnosti, sa nachádza na ktoré sektory podliehajú smernici NIS2. Pre presný text tejto výnimky je zdroj samotná smernica NIS2, ako aj vysvetlenie, ktoré k tomu zverejňuje regulátor.