NIS2 vs. DORA: jaka jest różnica i czy musisz spełnić oba wymogi?
Dwie regulacje UE. Obie dotyczą cyberbezpieczeństwa. Krótka odpowiedź: DORA ma pierwszeństwo dla podmiotów finansowych, ale NIS2 pozostaje istotne dla Twoich dostawców ICT.
Czym są NIS2 i DORA?
NIS2 to szeroka dyrektywa obejmująca 18 sektorów z 10 środkami cyberbezpieczeństwa, zgłaszaniem incydentów i osobistą odpowiedzialnością zarządu.
DORA to rozporządzenie sektorowe wyłącznie dla sektora finansowego.
NIS2 vs DORA — Porównanie dla Sektora Finansowego
Podmioty sektora finansowego podlegające DORA są w dużej mierze zwolnione z NIS2 na podstawie lex specialis
Główne różnice
| NIS2 | DORA | |
|---|---|---|
| Typ | Dyrektywa (transpozycja krajowa) | Rozporządzenie (bezpośrednio stosowane) |
| Zakres | 18 sektorów | Tylko sektor finansowy |
| Stosowane od | Termin: paź 2024 (status wg kraju) | 17 stycznia 2025 |
| Pierwsze zgłoszenie | W ciągu 24 godzin | W ciągu 4 godzin |
| Osoby trzecie | Bezpieczeństwo łańcucha | Pełne zarządzanie ryzykiem ICT osób trzecich |
Lex specialis: DORA ma pierwszeństwo
Czy Lex Specialis Zastępuje NIS2?
Czy Twoja organizacja działa w sektorze regulowanym przez sektorowe przepisy UE dotyczące cyberbezpieczeństwa (np. DORA dla finansów, CER dla podmiotów krytycznych)?
Czy przepisy sektorowe przewidują równoważne lub surowsze obowiązki w zakresie cyberbezpieczeństwa niż NIS2?
NIS2 stosuje się w pełni — żadne sektorowe przepisy szczególne nie mają zastosowania.
Przepisy sektorowe (lex specialis) mają pierwszeństwo — NIS2 stosuje się jedynie w zakresie luk niepokrytych przepisami sektorowymi.
Zarówno NIS2, jak i przepisy sektorowe mają zastosowanie — skonsultuj się z działem prawnym w celu ustalenia dominującego reżimu regulacyjnego.
Czy Twoja organizacja działa w sektorze regulowanym przez sektorowe przepisy UE dotyczące cyberbezpieczeństwa (np. DORA dla finansów, CER dla podmiotów krytycznych)?
Czy przepisy sektorowe przewidują równoważne lub surowsze obowiązki w zakresie cyberbezpieczeństwa niż NIS2?
NIS2 stosuje się w pełni — żadne sektorowe przepisy szczególne nie mają zastosowania.
Przepisy sektorowe (lex specialis) mają pierwszeństwo — NIS2 stosuje się jedynie w zakresie luk niepokrytych przepisami sektorowymi.
Zarówno NIS2, jak i przepisy sektorowe mają zastosowanie — skonsultuj się z działem prawnym w celu ustalenia dominującego reżimu regulacyjnego.
Scenariusze
Bank: DORA przede wszystkim, NIS2 jako siatka bezpieczeństwa. MSP dla banków: NIS2 dla własnych obowiązków (NIS2 dla MSP), DORA przez umowy z klientami. Sektor niefinansowy: Tylko NIS2 — zacznij od 10 środków artykułu 21.
Czytaj też
Masz jeszcze pytanie?
Odpowiedzi są generowane na podstawie naszych artykułów i nie stanowią porady prawnej. Nie wprowadzaj danych osobowych ani poufnych.