DORA a NIS2: które obowiązki dotyczą Twojej organizacji

Dwie regulacje dominują dziś w rozmowach europejskich zespołów bezpieczeństwa i zgodności: DORA, rozporządzenie o cyfrowej odporności operacyjnej, oraz NIS2, druga dyrektywa o bezpieczeństwie sieci i systemów informatycznych. Obie dotyczą odporności cybernetycznej. Obie przywiązują dużą wagę do ryzyka podmiotów trzecich. I obie bywają ze sobą mylone, co może prowadzić organizacje albo do dublowania wysiłków, albo, co gorsza, do pozostawienia luk niepokrytych. Ten artykuł jasno przedstawia, czego wymaga każda regulacja i jak się do siebie odnoszą.

Dwa różne początki, jedna wspólna troska

NIS2 to dyrektywa obejmująca osiemnaście sektorów krytycznych w Unii Europejskiej, od energii i transportu po infrastrukturę cyfrową i administrację publiczną. Jako dyrektywa, a nie rozporządzenie, musi zostać transponowana do prawa krajowego, co oznacza, że termin wdrożenia i szczegółowe wymogi mogą się nieco różnić w zależności od kraju.

DORA natomiast jest rozporządzeniem stosowanym bezpośrednio i jednolicie w całej Unii Europejskiej do dwudziestu kategorii podmiotów finansowych, w tym banków, ubezpieczycieli, firm inwestycyjnych i dostawców usług w zakresie kryptoaktywów. Nie wymaga transpozycji krajowej, a jej wymogi dotyczące zarządzania ryzykiem ICT i nadzoru nad podmiotami trzecimi są znacznie bardziej szczegółowe niż w NIS2.

Prawna relacja między nimi

Art. 1 ust. 2 DORA wyraźnie stanowi, że DORA działa jako lex specialis wobec podmiotów finansowych objętych jej zakresem. W praktyce oznacza to, że tam, gdzie NIS2 i DORA regulują ten sam przedmiot, DORA ma pierwszeństwo dla podmiotów finansowych. Bank, który w pełni spełnia swoje obowiązki z DORA, w większości przypadków spełnił także równoważne wymogi NIS2. NIS2 nadal ma zastosowanie do każdego obszaru, którego DORA nie obejmuje wprost.

Dla organizacji spoza sektora finansowego NIS2 obowiązuje na własnych zasadach, a jej wymóg z art. 21 dotyczący zarządzania bezpieczeństwem łańcucha dostaw jest najbliższym odpowiednikiem tego, czego DORA wymaga od podmiotów finansowych w znacznie większym szczególe.

Porównanie wymogów dotyczących podmiotów trzecich

Zgodnie z DORA organizacje muszą prowadzić rejestr informacji obejmujący każdy podmiot trzeci ICT wspierający funkcje krytyczne lub istotne, wraz ze szczegółami podwykonawców, lokalizacjami danych i strategiami wyjścia. Dostawców należy oceniać pod kątem krytyczności, a incydenty należy zgłaszać właściwemu organowi nadzoru finansowego w krótkim terminie, w praktyce rozumianym zwykle jako dwadzieścia cztery godziny.

Zgodnie z NIS2 obowiązek dotyczący łańcucha dostaw jest w swoim sformułowaniu mniej szczegółowy, ale nadal wymaga od podmiotów kluczowych i ważnych oceny oraz zarządzania praktykami bezpieczeństwa ich dostawców. Terminy zgłaszania incydentów są w praktyce w dużej mierze podobne, choć organ przyjmujący zgłoszenie różni się od tego w DORA.

Dlaczego to rozróżnienie ma znaczenie na co dzień

Wiedza o tym, która regulacja obowiązuje i w jakim zakresie, decyduje o tym, jak zespół powinien zorganizować swój inwentarz dostawców, szablony ocen i procesy raportowania. Podmiot finansowy budujący rejestr zgodny z DORA może zazwyczaj rozszerzyć tę samą strukturę, aby spełnić NIS2, pod warunkiem że ocena krytyczności i elementy łańcucha dostaw są jasno udokumentowane. Podmiot niefinansowy podlegający wyłącznie NIS2 może stosować lżejszą wersję tej samej dyscypliny.

To dokładnie ten rodzaj złożoności, który dedykowana platforma ma za zadanie wchłonąć. Cynapze pozwala zespołom prowadzić jeden program ryzyka podmiotów trzecich przypisany jednocześnie do obu standardów, zamiast utrzymywać dwa równoległe i często zduplikowane procesy. Zarezerwowanie demo to prosty sposób, aby zobaczyć, jak to przypisanie działa w praktyce.

Podsumowanie

DORA i NIS2 nie są konkurującymi standardami. To dwa wyrazy tego samego podstawowego oczekiwania, że organizacje rozumieją i aktywnie zarządzają ryzykiem wprowadzanym przez swoje podmioty trzecie. Podmioty finansowe powinny traktować DORA jako standard główny i używać NIS2 do wypełnienia pozostałych luk. Każdy inny podmiot regulowany powinien traktować NIS2 jako punkt wyjścia. W obu przypadkach praktyczna odpowiedź jest taka sama: zbuduj jeden jasny, dobrze udokumentowany program, a nie dwa osobne.

Porozmawiaj z zespołem Cynapze, aby zobaczyć, jak jedna platforma może wspierać zgodność z obiema regulacjami.