Guida NIS2 · 8 min
NIS2 vs DORA: in cosa differiscono, dove si sovrappongono e quale si applica a voi
NIS2 e DORA sono i due regimi UE di resilienza informatica che più probabilmente finiranno sulla stessa scrivania nel 2026, e vengono confusi di continuo. Inseguono lo stesso obiettivo (la resilienza operativa e informatica) e si appoggiano a molti degli stessi controlli, ma puntano a organizzazioni diverse, e per il settore finanziario uno prevale dove si scontrano. Questa guida espone la differenza, la sovrapposizione e come capire quale sia il vostro, con una risposta netta per i team supply chain e terze parti che finiscono per servire clienti sotto entrambi.
Punti chiave
- NIS2 è ampio e intersettoriale; DORA è il regime specifico per le TIC del settore finanziario.
- Per le entità finanziarie DORA è lex specialis: prevale sulle disposizioni NIS2 che si sovrappongono.
- In ogni caso, entrambi vi rendono responsabili del rischio di terze parti e si attendono una garanzia continua, non annuale.
Cosa è ciascuno
Entrambi nascono dallo stesso pacchetto UE sulla resilienza del 2022, ma sono strumenti diversi rivolti a platee diverse.
NIS2: ampio, intersettoriale
Una direttiva (recepita nel diritto nazionale, scadenza 17 ottobre 2024) che copre soggetti essenziali e importanti in energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, manifattura e altro. Fissa una base di misure di gestione del rischio (art. 21) e di notifica degli incidenti (art. 23).
DORA: settore finanziario, incentrato sulle TIC
Un regolamento (direttamente applicabile, in vigore dal 17 gennaio 2025) per il settore finanziario dell'UE (banche, assicuratori, imprese di investimento, prestatori di servizi per le cripto-attività e altri) più la vigilanza sui loro fornitori terzi di TIC critici. Fissa regole dettagliate per la gestione del rischio TIC, i test di resilienza e la governance delle terze parti.
Dove si sovrappongono
Attuatene bene uno e gran parte dell'altro vi risulterà familiare. Entrambi richiedono:
- Responsabilità della dirigenza: la dirigenza deve farsi carico e vigilare sul rischio informatico/TIC, e può esserne ritenuta responsabile.
- Misure di gestione del rischio: controlli documentati e proporzionati lungo l'intero ciclo di vita della sicurezza.
- Notifica degli incidenti: comunicazione strutturata alle autorità entro tempistiche definite.
- Rischio di terze parti e di supply chain: rispondete del rischio informatico che i vostri fornitori portano con sé.
- Test e miglioramento continuo: la resilienza si valuta nel tempo, non si certifica una volta e si mette da parte.
La regola chiave: DORA è lex specialis per le entità finanziarie
I due regimi sono stati redatti per non regolamentare due volte. Per un'entità finanziaria, DORA è lex specialis: la legge più specifica che prevale. Dove DORA e NIS2 coprirebbero lo stesso terreno di gestione del rischio TIC o di notifica degli incidenti, si applicano i requisiti di DORA e le disposizioni NIS2 equivalenti non si sommano sopra.
In pratica, una banca non gestisce due programmi informatici paralleli. Segue DORA per il rischio TIC, i test, la notifica degli incidenti e la vigilanza sulle terze parti. NIS2 continua a plasmare l'ecosistema intorno a essa (molti dei suoi fornitori inclusi) ma sui temi che si sovrappongono l'entità finanziaria stessa è disciplinata da DORA.
Lex specialis si applica dove l'atto settoriale impone requisiti almeno equivalenti a NIS2. Il confine può essere sfumato per i gruppi misti; confermate il vostro status presso l'autorità competente.
Scopri come si posizionano davvero i tuoi fornitori
7 giorni gratuiti · senza carta di credito · disdici quando vuoi
Quale si applica a voi?
Un rapido aiuto alla decisione. Per molte organizzazioni la risposta onesta è «uno direttamente, l'altro tramite i vostri clienti».
Un'entità finanziaria (banca, assicuratore, impresa di investimento, prestatore di servizi per le cripto-attività…)
DORA si applica come lex specialis al vostro rischio TIC; le disposizioni NIS2 equivalenti non si applicano sopra.
Un'entità di settore critico al di fuori della finanza (energia, sanità, trasporti, acqua, infrastrutture digitali, pubblica amministrazione…)
Si applica NIS2. Verificate i settori dell'allegato I/II e le soglie dimensionali per confermare il vostro livello.
Un fornitore TIC di entità finanziarie
Il regime delle terze parti di DORA vi raggiunge tramite i contratti dei vostri clienti, e i fornitori più grandi possono essere designati critici e vigilati direttamente dalle AEV. Se siete anche un fornitore TIC o di servizi gestiti dell'allegato I, potreste rientrare anche in NIS2.
Un fornitore di un'entità NIS2
L'obbligo di supply chain di NIS2 (art. 21(2)(d)) vi raggiunge tramite la due diligence dei vostri clienti (questionari, richieste di prove, monitoraggio continuo) anche se non siete designati.
La conclusione per i team supply chain
Che il vostro cliente risponda a DORA o a NIS2, la richiesta nei vostri confronti converge. Entrambi rendono le organizzazioni responsabili del rischio informatico dei loro fornitori, ed entrambi trattano la resilienza come qualcosa di valutato in continuo anziché attestato una volta l'anno. Così la domanda per un fornitore è di rado «NIS2 o DORA?»: è «posso dimostrare, su richiesta, che la mia sicurezza regge?»
Ecco perché la garanzia sulle terze parti diventa continua su entrambi i lati della linea. Il registro delle informazioni DORA di una banca e il programma fornitori NIS2 di un produttore chiedono ai loro fornitori la stessa cosa: una prova attuale e supportata del livello di sicurezza, non un foglio di calcolo che era vero la primavera scorsa.
Fonti: Regolamento (UE) 2022/2554 (DORA) e direttiva (UE) 2022/2555 (NIS2). Confermate il confine di sovrapposizione con la vostra autorità nazionale competente e i pertinenti orientamenti delle AEV.
Come aiuta norppa.io
norppa.io vi dà la garanzia continua e supportata da prove su fornitori e fornitori TIC che sia NIS2 sia DORA ora si attendono. Ogni dominio monitorato viene controllato su più di cento punti di controllo ogni giorno, quelli sensibili al tempo ogni sei ore, con rilievi pronti per l'esportazione nel vostro registro delle informazioni DORA o nel vostro fascicolo fornitori NIS2.
I questionari di autovalutazione colgono i controlli di processo e contrattuali, e ogni risposta viene affiancata al profilo tecnico in tempo reale: così che, sia che il revisore del vostro cliente citi DORA o NIS2, possiate mostrare prove attuali e corroborate anziché affermazioni.