DORA e NIS2: quali obblighi si applicano alla tua organizzazione
Due normative dominano oggi le conversazioni dei team europei di sicurezza e conformità: DORA, il regolamento sulla resilienza operativa digitale, e NIS2, la seconda direttiva sulla sicurezza delle reti e dei sistemi informativi. Entrambe riguardano la ciberresilienza. Entrambe danno grande peso al rischio delle terze parti. Ed entrambe vengono spesso confuse tra loro, il che può portare le organizzazioni a duplicare gli sforzi o, peggio, a lasciare lacune scoperte. Questo articolo espone con chiarezza cosa richiede ciascuna normativa e come si collegano.
Due origini diverse, una preoccupazione comune
NIS2 è una direttiva che copre diciotto settori critici dell'Unione europea, dall'energia e dai trasporti alle infrastrutture digitali e alla pubblica amministrazione. Essendo una direttiva e non un regolamento, deve essere recepita nel diritto nazionale, il che significa che i tempi di attuazione e i requisiti specifici possono variare leggermente da paese a paese.
DORA, al contrario, è un regolamento che si applica direttamente e uniformemente in tutta l'Unione europea a venti categorie di entità finanziarie, tra cui banche, assicurazioni, imprese di investimento e prestatori di servizi per le cripto-attività. Non richiede recepimento nazionale e i suoi requisiti in materia di gestione del rischio ICT e di supervisione delle terze parti sono molto più dettagliati di quelli di NIS2.
Il rapporto giuridico tra le due
L'articolo 1, paragrafo 2, di DORA stabilisce espressamente che DORA agisce come lex specialis per le entità finanziarie rientranti nel suo ambito di applicazione. In pratica, ciò significa che, dove NIS2 e DORA disciplinano la stessa materia, DORA prevale per le entità finanziarie. Una banca che soddisfa pienamente i propri obblighi DORA avrà, nella maggior parte dei casi, soddisfatto anche i requisiti equivalenti di NIS2. NIS2 continua ad applicarsi a ogni ambito che DORA non copre specificamente.
Per le organizzazioni al di fuori del settore finanziario, NIS2 si applica secondo i propri termini e il suo obbligo dell'articolo 21 di gestire la sicurezza della filiera è l'equivalente più vicino a ciò che DORA richiede, con molto più dettaglio, alle entità finanziarie.
Confronto dei requisiti sulle terze parti
Ai sensi di DORA, le organizzazioni devono tenere un registro delle informazioni che elenchi ogni terza parte ICT che supporta funzioni critiche o importanti, con i dettagli sui subappaltatori, la localizzazione dei dati e le strategie di uscita. I fornitori devono essere valutati in termini di criticità e gli incidenti devono essere segnalati all'autorità di vigilanza finanziaria competente entro un breve termine, inteso in pratica come ventiquattro ore.
Ai sensi di NIS2, l'obbligo relativo alla filiera è meno prescrittivo nella formulazione, ma richiede comunque che i soggetti essenziali e importanti valutino e gestiscano le pratiche di sicurezza dei propri fornitori. I tempi di segnalazione degli incidenti sono in pratica ampiamente simili, anche se l'autorità destinataria differisce da quella prevista da DORA.
Perché questa distinzione conta nella pratica quotidiana
Sapere quale normativa si applica, e in che misura, determina come un team deve strutturare il proprio inventario dei fornitori, i modelli di valutazione e i flussi di reporting. Un'entità finanziaria che costruisce un registro conforme a DORA può in genere estendere la stessa struttura per soddisfare NIS2, a condizione che la valutazione della criticità e gli elementi della filiera siano documentati con chiarezza. Un'entità non finanziaria soggetta solo a NIS2 può usare una versione più leggera della stessa disciplina.
È esattamente il tipo di complessità che una piattaforma dedicata è progettata per assorbire. Cynapze permette ai team di gestire un unico programma di rischio delle terze parti mappato su entrambi i framework contemporaneamente, invece di mantenere due processi paralleli e spesso duplicati. Prenotare una demo è un modo semplice per vedere come funziona questa mappatura nella pratica.
Conclusione
DORA e NIS2 non sono framework concorrenti. Sono due espressioni della stessa aspettativa di fondo: che le organizzazioni comprendano e gestiscano attivamente il rischio introdotto dalle proprie terze parti. Le entità finanziarie dovrebbero considerare DORA come lo standard principale e usare NIS2 per colmare le lacune residue. Ogni altra entità regolamentata dovrebbe considerare NIS2 come base di riferimento. In entrambi i casi la risposta pratica è la stessa: costruire un programma chiaro e ben documentato invece di due programmi separati.
Parla con il team Cynapze per vedere come un'unica piattaforma può supportare la conformità a entrambe le normative.
