Din sektor avgör vilken lag som gäller, inte din storlek
Huruvida NIS2 eller DORA gäller för din organisation beror på den sektor där du är verksam, inte på hur många anställda du har eller hur stor din omsättning är. DORA, Digital Operational Resilience Act, är den europeiska förordningen särskilt för finanssektorn: banker, försäkringsbolag, värdepappersföretag, betalningsinstitut och ett antal aktörer som tillhandahåller IT-tjänster till dessa institut. NIS2 riktar sig till alla övriga sektorer som direktivet nämner i bilaga I och II, från energi och transport till digital infrastruktur och avloppsvatten. En finansiell institution som faller under DORA faller därmed inte också under NIS2 för samma verksamhet.
Anledningen till att denna fråga ofta ställs är att båda förordningarna liknar varandra: båda förpliktar till riskhantering, incidentrapportering och uppmärksamhet på leverantörer. Den som har läst texten i en av de två känner nästan automatiskt igen strukturen i den andra. Det gör det extra viktigt att först fastställa inom vilket av de två ramverken din organisation faller innan du lägger ned tid på genomförandet.
Vad DORA reglerar och för vem
DORA är utformad särskilt för finanssektorn eftersom denna sektor redan står under strikt tillsyn, med egna tillsynsmyndigheter som DNB och AFM i Sverige. Förordningen nämner en rad enheter vid namn: kreditinstitut, betalningsinstitut, elektroniska pengarinstitut, värdepappersföretag, försäkringsbolag och återförsäkringsbolag och pensionsfonder, plus de kritiska ICT-tredjepartsaktörer som betjänar dessa institut, såsom stora molnleverantörer. För dessa parter ersätter DORA det breda riskhanteringskrama från NIS2 med en förordning som är anpassad till finansiella risker och den tillsyn som redan fanns där.
Vad NIS2 reglerar och för vem
NIS2 omfattar de sektorer som räknas upp i direktivet själv: energi, transport, dricksvatten, digital infrastruktur, hälso- och sjukvård och ett antal andra som är märkta i bilaga I som väsentliga och i bilaga II som viktiga. Ett installationsföretag, en mjukvaruleverantör eller en logistiktjänstleverantör som inte är verksam inom finanssektorn tittar alltså på denna lista och inte på DORA. i några frågor se om din sektor finns på den listan ger där snabbt en första indikation utan att du behöver bläddra genom hela direktivtexten.
Gränsfall: när det inte är direkt klart
De flesta organisationer ser inom en minut vilket läger de sitter i. Det blir svårare med mellanformer: en försäkringsmäklare, ett factoringbolag, en fintech som erbjuder betaltjänster utan att själv vara ett licensierat betalningsinstitut, eller en IT-leverantör som betjänar både banker och icke-finansiella kunder. I sådana fall avgör den exakta juridiska statusen för enheten, och inte den bransch där den känner sig hemmastadd, under vilken förordning den faller. Tillsynsmyndigheter publicerar sina egna förtydliganden om detta, och för en konkret situation är det lämpliga kontaktpunkten tillsammans med en jurist som kan jämföra definitionerna från båda texterna med dina faktiska verksamheter.
En andra komplikation uppstår vid koncerner: ett moderbolag som är en finansiell institution som faller under DORA kan ha ett dotterbolag som utför en helt annan verksamhet och därför bedöms separat enligt NIS2-kriterierna. De två förordningarna tittar på enheten som tillhandahåller tjänsten, inte automatiskt på koncernen som helhet.
Kedjeeffekten gäller på båda sidor
Det som de två ramverken har gemensamt är att de sträcker sig längre än de parter som är skyldiga själva. På samma sätt som en NIS2-skyldig organisation måste bedöma sina leverantörer, förpliktar DORA finansiella institut att testa sina ICT-tjänsteleverantörer och fastställa avtal om detta. En IT-leverantör som levererar till en bank kan således möjligen få en checklista från DORA-hållet, medan samma leverantör från en annan typ av kund får en checklista från NIS2-hållet. För leverantören själv är det användbart att veta från vilket ramverk en fråga kommer, eftersom de begärda bevisen är utformade något olika. Mer om hur en sådan inkommande checklista fungerar finns under ämnen om leverantörskedjan och kundens checklista.
Hur du verifierar detta för din egen organisation
Det snabbaste sättet att få klarhet för dig själv är att titta på din egen licens eller registrering: om du har en licens från DNB eller AFM, eller om du är en av de uttryckligt nämnda finansiella enheterna, pekar det mot DORA. Om din sektor med namn finns i bilagorna till NIS2-direktivet pekar det mot NIS2. Vid osäkerhet är det ingen omväg att lägga båda texterna sida vid sida eller att ställa frågan direkt till tillsynsmyndigheten. Secria fokuserar på NIS2-sidan av denna fråga; vid intaget identifierar vi finansiella institut och hänvisar dem vidare, så att du inte börjar med fel checklista. Hur vi exakt fastställer sektor och roll i leverantörskedjan, och vilka källor vi använder för detta, läser du på sidan om hur informationen på denna plattform skapas.
Vill du först ha en egen indikation innan du läser vidare? Gör den kostnadsfria NIS2-kontrollen eller bläddra genom kunskapsbasen med ämnen; båda är tillgängliga utan konto och ger dig ett svar inom en halvtimme som du kan använda vidare.