Vaša dejavnost določa, katero zakonodajo se uporablja, ne pa velikost vaše organizacije
Ali se za vašo organizacijo uporabljata NIS2 ali DORA, je odvisno od dejavnosti, v kateri ste aktivni, ne pa od števila zaposlenih ali višine vašega prometa. DORA, Uredba o digitalni operativni odpornosti, je evropska uredba posebej za finančni sektor: banke, zavarovalnice, investicijska podjetja, plačilne institucije in nekatere pogodbenice, ki IT-storitve zagotavljajo tem institucijam. NIS2 je usmerjena na vse druge dejavnosti, ki jih navedeta Priloga I in II te Direktive, od energetike in prometa do digitalne infrastrukture in čistilnih naprav. Finančna institucija, ki spada pod DORA, s tem ne spada tudi pod NIS2 za iste dejavnosti.
Razlog, da je to vprašanje pogosto zastavljeno, je v tem, da se obe pravili podobata: obe zahtevata upravljanje tveganja, poročanje o incident in pozornost do dobaviteljev. Kdor je prebral besedilo ene od obeh, prepozna skoraj samodejno strukturo druge. To naredi dodatno pomembno, da najprej ugotovite, v katero od obeh pravnih okvirov spada vaša organizacija, preden začnete čas vlagati v izvajanje.
Kaj DORA ureja in za koga
DORA je napisana za finančni sektor, ker ta sektor že spada pod strogo nadzor z lastnimi nadzorniki, kot sta De Nederlandsche Bank in Avtorita za finančne trge v Nizozemski. Uredba našteje vrsto pravnih oseb po imenu: kreditne institucije, plačilne institucije, institucije za elektronski denar, investicijska podjetja, zavarovalnice in pozavarovalnice ter pokojninski skladi, skupaj s kritičnimi zunanjimi dobavitelji IKT, ki tem institucijam služijo, kot so veliki oblačni ponudniki. Za te subjekte DORA nadomešča splošni okvir obveznosti NIS2 s pravilo, ki je prilagojeno finančnim tveganjem in nadzoru, ki je tam že obstajal.
Kaj NIS2 ureja in za koga
NIS2 zajema dejavnosti, ki so navedene v sami direktivi: energetiko, promet, pitno vodo, digitalno infrastrukturo, zdravstveno varstvo in nekatere druge, ki so v Prilogi I označene kot ključne in v Prilogi II kot pomembne. Inštalacijsko podjetje, dobavitelj programske opreme ali logistični ponudnik storitev, ki ni dejaven v finančnem sektorju, torej pogleda ta seznam in ne DORA. v nekaj vprašanjih vidite, ali vaša dejavnost na tej listi stoji to hitro kaže na prvo napoved, ne da bi morali prebrati polno besedilo direktive.
Sporni primeri: ko ni takoj jasno
Večina organizacij v minuti vidi, v katero skupino spadajo. Težje je pri vmesnih oblikah: zavarovalniški posrednik, faktorsko podjetje, fintech, ki nudi plačilne storitve brez tega, da bi bil sam licencirano prejemnik plačil, ali IT-dobavitelj, ki služi tako bankam kot ne-finančnim strankam. V takšnih primerih določa natančen pravni status subjekta, ne pa panoga, v kateri se počutijo doma, pod katero pravilo spadajo. Nadzorniki objavljajo svoje razlage o tem, in za konkreten primer je to pravi stik, skupaj s pravnikom, ki lahko opredelitve obeh besedil primerja s pomenom vašega dejanskega poslovanja.
Druga zapletanost nastane v skupinah: matična podjetja, ki kot finančne institucije spadajo pod DORA, lahko imajo hčerino družbo, ki se ukvarja s povsem drugo dejavnostjo in je zato ločeno vrednotena glede na merila NIS2. Obe pravili gledata subjekt, ki storitev zagotavlja, ne samodejno na koncern kot celoto.
Delovanje verige se uporablja na obeh straneh
Skupni imenovalnik obeh okvirjev je, da segata dlje od subjektov, ki so sami zavezani. Ravno tako kot mora organizacija, zavezana k NIS2, oceniti svoje dobavitelje, mora DORA finančne institucije zavezati, da preizkusijo svoje ponudnike storitev na področju IKT in o tem sklenejo dogovore. Dobavitelj IKT, ki dobavlja banki, je zato lahko prejel vprašalnik iz kota DORA, medtem ko isti dobavitelj pri drugačni vrsti stranke prejme vprašalnik iz kota NIS2. Za tega dobavitelja je samo zase koristno vedeti, iz katerega okvirja izvira vprašanje, saj so zahtevana dokazila malo drugače urejena. Več o tem, kako točno deluje tako prejeti vprašalnik, je v temah o verigah oskrbe in vprašalniku naročnika.
Kako to preverite za svojo organizacijo
Najhitrejši način, da si pojasnite stanje, je, da pogledате svojo licenco ali registracijo: če imate licenco De Nederlandsche Bank ali Autoriteit Financiële Markten ali ste ena od izrecno navedenih finančnih entitet, to kaže na DORA. Če je vaš sektor z imenom naveden v prilogah Direktive NIS2, to kaže na NIS2. V primeru dvoma ni obhod, da postavite oba besedila drugo ob drugo ali da vprašanje neposredno naslovite na nadzorni organ. Secria se osredotoča na stran NIS2 tega vprašanja; pri prevzemu prepoznamo finančne institucije in jih usmerimo naprej, da ne bi začeli z napačno kontrolnim seznamom. Kako točno ugotovimo sektor in vlogo v verigi oskrbe ter katere vire za to uporabljamo, si oglejte na strani kako informacije na tej platformi nastanejo.
Ali želite najprej sami dobiti navedbo? Opravite brezplačno preverjanje NIS2 ali brskajte po bazi znanja s temami; oba sta dostopna brez računa in vam v pol ure dasta odgovor, s katerim lahko napredujete.