Stwierdzenie że DORA i NIS2 to po prostu "dwie poodbne regulacje, właściwie to samo, tylko dla różnych sektorów" jest bardzo daleko idącącym uproszczeniem. Takie porównanie koncentruje się jedynie na podobieństwie tematycznym, czyli na tym że oba akty odnoszą się do obszaru cyberbezpieczeństwa. Jednakże już na samym wstpępie należy odróżnić, że Dyrektywa NIS 2 i rozporządzenie DORA nie mają tych samych celów.
Rzeczywiście, w zakresie przedmiotowym można wskazać wiele wspołnych elementów ponieważ oba akty koncentrują się na bezpieczeństwie systemów IT, zarządzaniu incydentami i obowiązków organizacjyjnych. Jednak należy podkreślić, że w inny sposób kształtują obowiązki podmiotów oraz w odmienny sposób wprowadzają obowiązki do praktyki funkcjonowania organizacji. Różnica ta ma charakter strukturalny i dotyczy sposobu, w jaki normy prawne są „dostarczane” podmiotom rynku. Dla zobrazowania:
przepis nakazujący przedsiębiorcy wykonanie konkretnego obowiązku działa bezpośrednio i od razu kształtuje jego sytuację prawną, podczas gdy przepis zobowiązujący państwo do stworzenia systemu nadzoru i wdrożenia określonych wymogów dopiero pośrednio prowadzi do powstania obowiązków po stronie przedsiębiorców.
DORA jets instrumentem prawnym przyjętym na podstawie art.114 TFUE i jako rozporządzenie ma charakter bezpośrednio stosowany. Oznacza to, że przepisy obowiązują wprost sektora finansowego we wszystkich państwach członkowskich UE, be konieczności implementacji do prawa krajowego.DORA w sposoób szczegółowy i operacyjny określa obowiązki ustanawiając kompleksowy reżim zarządzania ryzykiem ICT.
NIS2 natomiast pełni rolę ramową - zobowiązuje państwa członkowskie do zbudowania krajowych systemów cyberbezpieczeństwa, w ramach których dopiero konkretyzowane są obowiązki poszczególnych podmiotów, pozostawiając istotny zakres swobody legislacyjnej, nadzorczej i sankcyjnej. Z perspektywy biznesowej oznacza to odmienny poziom bezpośredniości regulacji, inny model nadzoru oraz różną dynamikę i terminowość implementacji wymogów.
Zarówno NIS 2, jak i DORA są obowiązkowe. Wdrożenie DORA odbywa się zgodnie z wytycznymi Komisji Europejskiej, NIS 2 może wymagać dodatkowych wytycznych ze strony organu zarządzającego w danej jurysdykcji.
W efekcie podobieństwo tematyczne nie przekłada się na tożsamość funkcji normatywnej tych aktów. Każdy z nich w inny sposób kształtuje obowiązki regulacyjne przedsiębiorstw i inaczej wpływa na ich środowisko zgodności (compliance).
Wdrożenie DORA to podejście „regulacyjne i operacyjne”
DORA działa jak szczegółowy podręcznik obowiązków dla sektora finansowego. Instytucje muszą wdrożyć bardzo konkretne wymagania dotyczące m.in.:
• zarządzania ryzykiem ICT,
• testowania odporności cyfrowej,
• raportowania incydentów,
• zarządzania relacjami z dostawcami ICT.
Compliance ma tu charakter silnie sformalizowany i techniczny. Organizacja musi dokładnie sprawdzić, czy spełnia punkt po punkcie wymogi wskazane w przepisach. To bardziej przypomina dostosowanie się do normy technicznej niż do ogólnej zasady prawnej.
Wdrożenie NIS2 to podejście „systemowe i krajowe”
W NIS2 organizacja nie wdraża „jednego unijnego katalogu obowiązków”, tylko funkcjonuje w krajowym systemie cyberbezpieczeństwa, który dopiero realizuje cele dyrektywy. W efekcie:
• zakres obowiązków może się różnić w zależności od kraju,
• duże znaczenie mają wytyczne organów krajowych,
• compliance jest mocno powiązany z relacją z regulatorem i praktyką nadzorczą.
DORA przyjmuje podejście sektorowe i funkcjonalne. Swoim zakresem obejmuje podmioty finansowe oraz dostawców usługICT. O objęciu regulacją decyduje przede wszystkim rodzaj prowadzonej działalności, a w przypadku dostawców – ich funkcjonalna rola. Podmiot technologiczny może zostać objęty rygorami DORA nie dlatego, że jest firmą IT,lecz dlatego, że od jego usług zależy ciągłość działania instytucji finansowej.
Szukając odpowiedzi na pytanie czy podmiot wchodzi w zakres DORA powinnyśmy przyjąć za kluczowe kryterium jego uczestnictwo w ciągłości działania sytemu finansowego.
W przeciwieństwie do DORA, NIS2 obejmuje podmioty z wielu sektorów gospodarki i administracji. NIS 2 wyznacza podmioty mające znaczenie i wpływ dla zapewnienia stabilnośći państwa - są to podmioty działające w sektorach ostrategicznym znaczeniu, takich jak energia, transport, ochrona zdrowia,infrastruktura cyfrowa czy administracja publiczna.
DORA daje nam gotowy model zarządzania oparty na 5 filarach:
1. Zarządzanie ryzykiem ICT, którego celem jest stała kontrola ryzyk technologicznych. W praktyce oznacza to utworzenie i wdrożenie formalnych ram zarządzania (polityki, proceury, podział ról i odpowiedizlaności a także regularne raportowanie do zarządu)
2. Zarządzanie incydentami ICT, którego celem jest zapewnienie ciągłości działania Obszar ten obejmuje wdrożenie ustrukturyzowanych procesów wykrywania, klasyfikacji i obsługi incydnetów, a także procedur reagowania oraz raportowania.
3. Testowanie odporności operacyjnej, czyli praktyczna weryfikacja zdolności organizacji do funkcjonowania w warunkach zakłóceń cyfrowych. W praktyce oznacza to regularne testy testy TLPT, ćwiczenia reagowania na incydnety, sprawdzanie skuteczności planów ciągłości działania i odtwarzania po awarii.
4.Zarządzanie ryzykiem dostawców ICT, odpowiedizalnośc za odporność cyfrową nie kończy się na własnej infrastrukturze lecz objemuje cały łańcuch dostaw usług i rowiązań ICT. W praktyce oznacza to koniecznośc systemowego podjeścia do zarządzania cyklem życia relacji z dostawcami - due diligence, postanowienia umowne etc.
5.Wymiana informacji o zagrożeniach, która ma na celu dzielnie się wiedzą o aktualnych ryzykahc i incydnetach.
NIS2 określa ramowe obszary, w których organizacja musi samodzielnie zbudować dojrzały system zarządzania cyberbepieczeństwem:
1.Polityki bezpieczeństwa i analiza ryzyka: Celem jest systemowe podejście do zagrożeń,obejmujące oceny ryzyka oraz polityki bezpieczeństwa.
2.Obsługa incydentów: Celem jest szybka reakcja na naruszenia poprzez proceduryreagowania i eskalacji.
3.Ciągłość działania: Służy utrzymaniu kluczowych usług i obejmuje backup oraz planykryzysowe.
4. Bezpieczeństwo łańcucha dostaw: Ma na celu ograniczenie ryzyk zewnętrznych poprzez ocenędostawców i wymagania umowne.
5.Bezpieczeństwo systemów IT: Koncentruje się na ochronie cyklu życia systemów poprzez zarządzanie podatnościami i aktualizacje.
6. Środki techniczne i organizacyjne: Stanowią podstawową higienę cyberbezpieczeństwa,taką jak MFA, szyfrowanie, kontrola dostępu czy szkolenia.
Warto jednak podkreślić, że relacja pomiędzy DORA a NIS2 nie zawsze przyjmuje postać ścisłego rozdziału zakresów regulacyjnych. Choć DORA jako akt sektorowy pełni funkcję lex specialis wobec NIS2 w odniesieniu do instytucji finansowych, w praktyce mogą występować sytuacje, w których jeden podmiot funkcjonuje na styku obu reżimów prawnych.
Dotyczy to w szczególności dużych dostawców usług ICT świadczących usługi na rzecz sektora finansowego. Podmioty te mogą podlegać NIS2 jako podmioty kluczowe lub ważne i jednocześnie mogą zostać objęte DORA. W konsekwencji może dochodzić do częściowego nakładania się reżimów regulacyjnych - jendak nalezy pamiętać, że insytucje finansowe zawsze będą podlegać w pierwszej kolejnośći DORA (tym samym nie będzie obowiązku podójengo raportowania incydentó - zgłoszenie incydentu w ramach DORA będzie wystarczające). NIS 2 obejmuje podmiotyfinansowe jedynie w zakresie w jakim DORA nie reguluje danego zagadnienia (np. kwestie dostawców wysokiego ryzka, poleceń zabepieczających).
.png)
.png)