NIS2 vs DORA: overlap en verschillen

NIS2 en DORA lijken op elkaar en dat is geen toeval: allebei gaan ze over digitale weerbaarheid, risicobeheer, incidenten en de keten. Toch gelden ze voor verschillende groepen, en waar ze samenkomen gaat DORA voor.

DORA is de Europese verordening voor digitale operationele weerbaarheid in de financiële sector. NIS2 is de richtlijn die in Nederland is omgezet in de Cyberbeveiligingswet en die veel breder van toepassing is.

Hieronder ziet u wat overlapt, wat verschilt en wat u doet als beide in beeld zijn.

Voor wie ze gelden

DORA geldt voor financiële entiteiten: onder meer banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, vermogensbeheerders, pensioenfondsen en aanbieders van cryptodiensten.

De Cyberbeveiligingswet geldt voor een veel bredere groep sectoren, waaronder energie, vervoer, zorg, drinkwater, digitale infrastructuur, overheid, chemie, voeding en delen van de maakindustrie.

Het bankwezen en de financiële markten staan ook in de bijlagen van NIS2. Daar komen ze elkaar tegen, en dan gaat DORA voor als de meer specifieke regeling.

Waar ze op elkaar lijken

De onderwerpen zijn dus vrijwel gelijk. Het verschil zit in hoe ver ze gaan, en DORA gaat op vrijwel elk punt een stap verder.

Waar ze verschillen

Drie verschillen doen er praktisch het meest toe.

Het eerste is het informatieregister. DORA vraagt een overzicht van alle contractuele afspraken met ICT-dienstverleners, met per contract de dienst, de leverancier, of het een kritieke functie ondersteunt en welke onderaannemers erbij betrokken zijn. Dat register wordt periodiek bij de toezichthouder aangeleverd. De Cyberbeveiligingswet kent zo’n register niet.

Het tweede is het testprogramma. Waar de Cyberbeveiligingswet vraagt om beoordeling van effectiviteit, schrijft DORA periodiek testen voor, en voor grotere entiteiten dreigingsgestuurd testen volgens een vast kader.

Het derde is het exitplan. DORA vraagt dat u kunt aantonen dat u van een kritieke leverancier kunt overstappen zonder dat uw dienstverlening stilvalt.

Als u ICT levert aan een financiële instelling

Dan valt u meestal niet zelf onder DORA, maar krijgt u de eisen via het contract. Uw klant is verplicht bepaalde afspraken op te nemen, en die komen bij u op tafel.

Wat u kunt verwachten: een duidelijke omschrijving van de dienst, afspraken over verwerkingslocaties, meldplichten bij incidenten, rechten op toegang en controle, eisen aan onderaanneming en afspraken over beëindiging en overdracht.

Bereid daar één set antwoorden en een standaardbijlage voor, anders onderhandelt u met elke klant apart over dezelfde punten. Zie ook DORA compliance.

Het informatieregister is het grootste verschil in werk

Van de drie verschillen levert het informatieregister veruit het meeste werk op, en het is het onderdeel waar toezichthouders het eerst naar vragen.

Het register bevat uw contractuele afspraken met ICT-dienstverleners. Per contract legt u vast wie de leverancier is, welke dienst wordt geleverd, of die dienst een kritieke of belangrijke functie ondersteunt, waar de gegevens worden verwerkt en welke onderaannemers erbij betrokken zijn.

Twee dingen maken het lastiger dan het klinkt. Ten eerste de ketendiepte: uw leverancier gebruikt zelf ook leveranciers, en die moeten in beeld zijn als zij een kritieke functie raken. Ten tweede het onderhoud, want het register moet actueel blijven.

De praktische aanpak is om het register te koppelen aan uw contractbeheer in plaats van het als los bestand te onderhouden. Dan wordt een nieuwe leverancier automatisch opgenomen, in plaats van een keer per jaar met terugwerkende kracht.

Wie al een leveranciersoverzicht heeft vanuit ISO 27001 of vanuit de Cyberbeveiligingswet, kan dat als basis gebruiken. De velden verschillen, de bron is dezelfde.

Het informatieregister is het grootste verschil in werk

Van de drie verschillen levert het informatieregister veruit het meeste werk op, en het is het onderdeel waar toezichthouders het eerst naar vragen.

Het register bevat uw contractuele afspraken met ICT-dienstverleners. Per contract legt u vast wie de leverancier is, welke dienst wordt geleverd, of die dienst een kritieke of belangrijke functie ondersteunt, waar de gegevens worden verwerkt en welke onderaannemers erbij betrokken zijn.

Twee dingen maken het lastiger dan het klinkt. Ten eerste de ketendiepte: uw leverancier gebruikt zelf ook leveranciers, en die moeten in beeld zijn als zij een kritieke functie raken. Ten tweede het onderhoud, want het register moet actueel blijven.

De praktische aanpak is om het register te koppelen aan uw contractbeheer in plaats van het als los bestand te onderhouden. Dan wordt een nieuwe leverancier automatisch opgenomen, in plaats van een keer per jaar met terugwerkende kracht.

Het vereenvoudigde regime van DORA

DORA kent een lichter raamwerk voor kleinere en niet-verweven entiteiten, en dat wordt vaak over het hoofd gezien. Het scheelt aanzienlijk in inspanning.

De kern blijft staan: u beheerst uw ICT-risico’s, u meldt incidenten en u heeft grip op uw leveranciers. Wat lichter is, is de mate van formalisering en de omvang van het testprogramma. Dreigingsgestuurd testen geldt bijvoorbeeld alleen voor een beperkte groep grotere entiteiten.

Bepaal daarom eerst welk regime op u van toepassing is, voordat u een programma optuigt. Wij zien organisaties die zich voorbereiden op het volledige regime terwijl het vereenvoudigde volstaat, en dat verschil is groot genoeg om het uit te zoeken voordat u begint.

Datzelfde geldt voor de vraag welke wet voorgaat. Valt u onder beide, dan is DORA leidend op de overlappende onderwerpen, en dat bepaalt hoe u uw programma inricht.

Veelgestelde vragen over NIS2 en DORA

Welke gaat voor als beide van toepassing zijn?

DORA, als meer specifieke regeling voor de financiële sector. Dat betekent niet dat u de Cyberbeveiligingswet kunt negeren, maar wel dat DORA op de overlappende onderwerpen leidend is.

Voldoe ik aan DORA als ik aan de Cyberbeveiligingswet voldoe?

Nee. De onderwerpen overlappen sterk, maar DORA vraagt meer: het informatieregister, het testprogramma, de contracteisen en de exitplannen. Dat bouwt wel voort op wat er ligt.

Wij zijn een ICT-leverancier. Vallen wij onder DORA?

Meestal niet direct. Alleen ICT-dienstverleners die op Europees niveau als kritiek zijn aangewezen komen onder direct toezicht, en dat is een kleine groep. De eisen bereiken u wel via de contracten van uw klanten.

Helpt ISO 27001 bij allebei?

Ja. Een werkend managementsysteem dekt een groot deel van het risicobeheer af, bij beide regimes. Wat erbij komt zijn de specifieke verplichtingen. Zie ISO 27001 en NIS2.

Waar begin ik als beide in beeld zijn?

Bij het vaststellen welk regime op u van toepassing is en of het vereenvoudigde raamwerk van DORA volstaat. Dat besluit bepaalt de omvang van de rest en scheelt aanzienlijk in werk.