Guida NIS2 · 8 min
NIS2 vs DORA: in cosa differiscono, dove si sovrappongono e quale si applica a voi
NIS2 e DORA sono i due regimi UE di resilienza informatica che più probabilmente finiranno sulla stessa scrivania nel 2026, e vengono confusi di continuo. Inseguono lo stesso obiettivo (la resilienza operativa e informatica) e si appoggiano a molti degli stessi controlli, ma puntano a organizzazioni diverse, e per il settore finanziario uno prevale dove si scontrano. Questa guida espone la differenza, la sovrapposizione e come capire quale sia il tuo, con una risposta netta per i team supply chain e terze parti che finiscono per servire clienti sotto entrambi.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- NIS2 è ampio e intersettoriale; DORA è il regime specifico per le TIC del settore finanziario.
- Per le entità finanziarie DORA è lex specialis: prevale sulle disposizioni NIS2 che si sovrappongono.
- In ogni caso, entrambi ti rendono responsabile del rischio di terze parti e si attendono una garanzia continua, non annuale.
Cosa è ciascuno
Entrambi nascono dallo stesso pacchetto UE sulla resilienza del 2022, ma sono strumenti diversi rivolti a platee diverse.
NIS2: ampio, intersettoriale
Una direttiva (recepita nel diritto nazionale, scadenza 17 ottobre 2024) che copre soggetti essenziali e importanti in energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, manifattura e altro. Fissa una base di misure di gestione del rischio (art. 21) e di notifica degli incidenti (art. 23).
DORA: settore finanziario, incentrato sulle TIC
Un regolamento (direttamente applicabile, in applicazione dal 17 gennaio 2025) per il settore finanziario dell'UE (banche, assicuratori, imprese di investimento, prestatori di servizi per le cripto-attività e altri) più la vigilanza sui loro fornitori terzi di TIC critici. Fissa regole dettagliate per la gestione del rischio TIC, i test di resilienza e la governance delle terze parti.
Dove si sovrappongono
Attuane bene uno e gran parte dell'altro ti risulterà familiare. Entrambi richiedono:
- Responsabilità della dirigenza: la dirigenza deve farsi carico e vigilare sul rischio informatico/TIC, e può esserne ritenuta responsabile.
- Misure di gestione del rischio: controlli documentati e proporzionati lungo l'intero ciclo di vita della sicurezza.
- Notifica degli incidenti: comunicazione strutturata alle autorità entro tempistiche definite.
- Rischio di terze parti e di supply chain: rispondete del rischio informatico che i tuoi fornitori portano con sé.
- Test e miglioramento continuo: la resilienza si valuta nel tempo, non si certifica una volta e si mette da parte.
La regola chiave: DORA è lex specialis per le entità finanziarie
I due regimi sono stati redatti per non regolamentare due volte. Per un'entità finanziaria, DORA è lex specialis: la legge più specifica che prevale. Dove DORA e NIS2 coprirebbero lo stesso terreno di gestione del rischio TIC o di notifica degli incidenti, si applicano i requisiti di DORA e le disposizioni NIS2 equivalenti non si sommano sopra.
In pratica, una banca non gestisce due programmi informatici paralleli. Segue DORA per il rischio TIC, i test, la notifica degli incidenti e la vigilanza sulle terze parti. NIS2 continua a plasmare l'ecosistema intorno a essa (molti dei suoi fornitori inclusi), ma sui temi che si sovrappongono l'entità finanziaria stessa è disciplinata da DORA.
Lex specialis si applica dove l'atto settoriale impone requisiti almeno equivalenti a NIS2. Il confine può essere sfumato per i gruppi misti; confermate il tuo status presso l'autorità competente.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
Quale si applica a voi?
Un rapido aiuto alla decisione. Per molte organizzazioni la risposta onesta è «uno direttamente, l'altro tramite i tuoi clienti».
Un'entità finanziaria (banca, assicuratore, impresa di investimento, prestatore di servizi per le cripto-attività…)
DORA si applica come lex specialis al tuo rischio TIC; le disposizioni NIS2 equivalenti non si applicano sopra.
Un'entità di settore critico al di fuori della finanza (energia, sanità, trasporti, acqua, infrastrutture digitali, pubblica amministrazione…)
Si applica NIS2. Verifica i settori dell'allegato I/II e le soglie dimensionali per confermare il tuo livello.
Un fornitore TIC di entità finanziarie
Il regime delle terze parti di DORA ti raggiunge tramite i contratti dei tuoi clienti, e i fornitori più grandi possono essere designati critici e vigilati direttamente dalle AEV. Se sei anche un fornitore TIC o di servizi gestiti dell'allegato I, potresti rientrare anche in NIS2.
Un fornitore di un'entità NIS2
L'obbligo di supply chain di NIS2 (art. 21(2)(d)) ti raggiunge tramite la due diligence dei tuoi clienti (questionari, richieste di prove, monitoraggio continuo), anche se non sei designato.
La conclusione per i team supply chain
Che il tuo cliente risponda a DORA o a NIS2, la richiesta nei tuoi confronti converge. Entrambi rendono le organizzazioni responsabili del rischio informatico dei loro fornitori, ed entrambi trattano la resilienza come qualcosa di valutato in continuo anziché attestato una volta l'anno. Così la domanda per un fornitore è di rado «NIS2 o DORA?»: è «posso dimostrare, su richiesta, che la mia sicurezza regge?»
Ecco perché la garanzia sulle terze parti diventa continua su entrambi i lati della linea. Il registro delle informazioni DORA di una banca e il programma fornitori NIS2 di un produttore chiedono ai loro fornitori la stessa cosa: una prova attuale e supportata del livello di sicurezza, non un foglio di calcolo che era vero la primavera scorsa.
Fonti: Regolamento (UE) 2022/2554 (DORA) e direttiva (UE) 2022/2555 (NIS2). Conferma il confine di sovrapposizione con la tua autorità nazionale competente e i pertinenti orientamenti delle AEV.
Come aiuta norppa.io
norppa.io ti dà la garanzia continua e supportata da prove su fornitori e fornitori TIC che sia NIS2 sia DORA ora si attendono. Ogni dominio monitorato viene controllato su più di cento punti di controllo ogni giorno, quelli sensibili al tempo ogni sei ore, con rilievi pronti per l'esportazione nel tuo registro delle informazioni DORA o nel tuo fascicolo fornitori NIS2.
I questionari di autovalutazione colgono i controlli di processo e contrattuali, e ogni risposta viene affiancata al profilo tecnico in tempo reale: così che, sia che il revisore del tuo cliente citi DORA o NIS2, possiate mostrare prove attuali e corroborate anziché affermazioni.