DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता है
यूरोपीय वित्तीय संस्थाओं के लिए, NIS2 के सुरक्षा नियमों की जगह DORA लागू होता है। अधिकांश काम एक-जैसा है; अंतर तृतीय-पक्ष जोखिम, परीक्षण और रिपोर्टिंग में है।
यदि आप किसी EU वित्तीय संस्था में काम करते हैं, तो सवाल यह नहीं है कि आपके सुरक्षा कार्यक्रम पर DORA लागू होता है या NIS2। NIS2 एक क्षेत्र-विशिष्ट संघ (Union) अधिनियम को, जिसकी कम से कम समतुल्य साइबर सुरक्षा आवश्यकताएँ हों, प्राथमिकता देने देता है, और वित्तीय क्षेत्र के लिए वह अधिनियम है Digital Operational Resilience Act, Regulation (EU) 2022/2554, जो 17 जनवरी 2025 से लागू है।
व्यावहारिक सवाल अलग है: यदि आपने पहले से NIS2 कार्यक्रम बनाया है, या समूह की बाकी कंपनियों के लिए चलाते हैं, तो उसका कितना हिस्सा आगे ले जाया जा सकता है? हमारा डेटा इसका उत्तर अनुच्छेद-दर-अनुच्छेद देता है।
सबसे अहम आँकड़ा
22 DORA अनुच्छेद में से 20 (91%) NIS2 में किसी चीज़ से मैप होते हैं, 1 केवल ढीले तौर पर संबंधित हैं और 1 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
इसे "जहाँ आपका NIS2 कार्य पहले से पहुँचा है" के रूप में पढ़ें, "पूरा हो गया" के रूप में नहीं। NIS2 और DORA को जोड़ने वाला कोई प्रकाशित क्रॉसवॉक मौजूद नहीं है, इसलिए यहाँ हर लिंक ControlMapping का संपादकीय है: हमने DORA को पैराग्राफ़ और बिंदु स्तर पर NIS2 Implementing Regulation के उन्हीं सुरक्षा विषयों से मैप किया है, और हर लिंक का कारण आवश्यकता पृष्ठ पर दिखाया गया है।
DORA अनुच्छेद-दर-अनुच्छेद
| DORA | आवश्यकता | मिलान | NIS2 |
|---|---|---|---|
| Art.5(2)(a) | Governance and organisation | संपादकीय | 2.17.11.22.2 |
| Art.6(1) | ICT risk management framework | संपादकीय | 2.17.113.113.2 |
| Art.7 | ICT systems, protocols and tools | हमारे डेटा में कोई मैपिंग नहीं | — |
| Art.8(1) | Identification | संपादकीय | 12.112.42.16.5 |
| Art.9(1) | Protection and prevention | संपादकीय | 3.212.212.31.1 |
| Art.10(1) | Detection | संपादकीय | 3.23.410.210.4 |
| Art.11(1) | Response and recovery | संपादकीय | 4.14.33.13.5 |
| Art.12(1) | Backup policies and procedures, restoration and recovery procedures and methods | संपादकीय | 4.24.1 |
| Art.13(1) | Learning and evolving | संपादकीय | 3.53.68.18.2 |
| Art.14(1) | Communication | संपादकीय | 4.3 |
| Art.16(1) | Simplified ICT risk management framework | संपादकीय | 2.17.1 |
| Art.17(1) | ICT-related incident management process | संपादकीय | 3.13.54.3 |
| Art.18(1) | Classification of ICT-related incidents and cyber threats | संपादकीय | 3.13.33.5 |
| Art.19(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | संपादकीय | 3.3 |
| Art.24(1) | General requirements for the performance of digital operational resilience testing | संपादकीय | 2.17.1 |
| Art.25(1) | Testing of ICT tools and systems | संपादकीय | 6.56.10 |
| Art.26(1) | Advanced testing of ICT tools, systems and processes based on TLPT | संपादकीय | 6.56.10 |
| Art.27(1) | Requirements for testers for the carrying out of TLPT | संपादकीय | 6.56.10 |
| Art.28(2) | General principles | संपादकीय | 5.16.15.2 |
| Art.29(1) | Preliminary assessment of ICT concentration risk at entity level | संपादकीय | 5.16.1 |
| Art.30(2) | Key contractual provisions | संपादकीय | 5.15.26.112.5 |
| Art.45(1) | Information-sharing arrangements on cyber threat information and intelligence | 2.14.36.10 |
यह overlap व्यापक है, क्योंकि दोनों पाठ एक ही कार्यक्रम का वर्णन करते हैं: दस्तावेज़ीकृत जोखिम प्रबंधन फ़्रेमवर्क, संपत्ति की पहचान, सुरक्षा और डिटेक्शन, घटना प्रबंधन, व्यावसायिक निरंतरता तथा आपूर्तिकर्ता सुरक्षा। जहाँ DORA का Implementing Regulation में सीधा समकक्ष है, वहाँ विषय मेल खाता है; विवरण अक्सर नहीं मिलता।
DORA क्या जोड़ता है
- सूचना का रजिस्टर। अनुच्छेद 28(3) ICT सेवाओं के लिए हर संविदात्मक व्यवस्था का रजिस्टर माँगता है, जो इकाई और समूह स्तर पर रखा जाए, और सक्षम प्राधिकरण को वार्षिक रिपोर्टिंग के साथ हो। NIS2 आपसे आपूर्तिकर्ता सुरक्षा का प्रबंधन करने को कहता है; नियामक रजिस्टर की माँग वह नहीं करता।
- अनिवार्य अनुबंध शर्तें। अनुच्छेद 30 बताता है कि हर ICT सेवा अनुबंध में क्या होना चाहिए, जिसमें डेटा कहाँ संसाधित होगा, डेटा तक पहुँच और उसकी वापसी, घटना में सहायता (बिना अतिरिक्त लागत के या पहले से तय लागत पर) और समाप्ति के अधिकार शामिल हैं। महत्वपूर्ण या अहम कार्यों के अनुबंधों में ऑडिट अधिकार, खतरा-आधारित परीक्षण में भागीदारी और निकास अवधि भी जुड़ती है।
- संकेंद्रण जोखिम और निकास। अनुबंध से पहले, अनुच्छेद 29 पूछता है कि किसी प्रदाता की जगह लेना कठिन होगा या नहीं और उप-ठेकेदारी की शृंखलाएँ आप पर कैसे असर डालती हैं; अनुच्छेद 28(8) महत्वपूर्ण या अहम कार्यों के लिए परीक्षित निकास रणनीतियाँ माँगता है।
- खतरा-आधारित पेनिट्रेशन टेस्टिंग। प्राधिकरण द्वारा चुनी गई इकाइयों को कम से कम हर तीन साल में लाइव प्रोडक्शन सिस्टम पर TLPT चलाना होगा (अनुच्छेद 26), और परीक्षक अनुच्छेद 27 की आवश्यकताओं को पूरा करने वाले होने चाहिए। NIS2 का Implementing Regulation आपसे अपने उपायों की प्रभावशीलता का आकलन करने को कहता है; वह TLPT निर्धारित नहीं करता।
- घटना वर्गीकरण और चरणबद्ध रिपोर्ट। अनुच्छेद 18 वे मानदंड तय करता है जिनसे तय होता है कि कोई घटना गंभीर (major) है या नहीं, और अनुच्छेद 19 प्रारंभिक सूचना, मध्यवर्ती रिपोर्ट और अंतिम रिपोर्ट माँगता है। NIS2 की अपनी समय-सीमा है: 24 घंटे में प्रारंभिक चेतावनी, 72 घंटे में सूचना और एक महीने के भीतर अंतिम रिपोर्ट। यदि समूह के अलग-अलग हिस्से दोनों व्यवस्थाओं के तहत रिपोर्ट करते हैं, तो दो प्रक्रियाएँ रखें।
- नामित प्रबंधन निकाय के कर्तव्य। दोनों प्रबंधन को जवाबदेह बनाते हैं। DORA स्पष्ट करता है कि प्रबंधन निकाय किन बातों को मंज़ूरी देगा, डिजिटल परिचालन लचीलापन रणनीति से लेकर ICT तृतीय-पक्ष सेवाओं की नीति तक (अनुच्छेद 5(2))।
दूसरी दिशा
49 NIS2 आवश्यकता बिंदु में से 44 (90%) DORA में किसी चीज़ से मैप होते हैं, 5 केवल ढीले तौर पर संबंधित हैं और 0 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
DORA से आगे बढ़ें तो NIS2 का Implementing Regulation सार में बहुत कम नया जोड़ता है। हमारे डेटा में कुछ आवश्यकता-बिंदु DORA के साथ केवल एक व्यापक परिणाम साझा करते हैं, आम तौर पर इसलिए कि DORA उस विषय को उन तकनीकी मानकों में कवर करता है जिन्हें हम मैप नहीं करते। इन्हें जाँच लें:
| NIS2 | आवश्यकता | मिलान | DORA |
|---|---|---|---|
| 6.2 | Secure development life cycle | Art.8(1)Art.8(4)Art.8(6) | |
| 6.3 | Configuration management | Art.28(8)Art.30(2) | |
| 6.9 | Protection against malicious and unauthorised software | Art.9(1)Art.10(1)Art.10(3)Art.10(2) | |
| 10.1 | Human resources security | Art.5(4)Art.10(3)Art.13(6) | |
| 10.3 | Termination or change of employment procedures | Art.10(3) |
यदि आपने NIS2 के लिए पहले से काम किया है
- पुष्टि करें कि समूह की हर इकाई पर कौन-सी व्यवस्था लागू होती है। वित्तीय इकाइयाँ DORA का पालन करती हैं; समूह की अन्य कंपनियाँ NIS2 के अधीन रह सकती हैं।
- मूल ढाँचे का पुन: उपयोग करें। जोखिम मूल्यांकन, संपत्ति सूचियाँ, पहुँच नियंत्रण, लॉगिंग, घटना प्रतिक्रिया और निरंतरता योजनाएँ आगे ले जाई जा सकती हैं; उनकी समीक्षा की आवृत्ति DORA के अनुसार समायोजित करें (उदाहरण के लिए, ICT जोखिम प्रबंधन फ़्रेमवर्क की समीक्षा कम से कम सालाना होनी चाहिए)।
- तृतीय-पक्ष वाली परत बनाएँ। सूचना का रजिस्टर जल्दी शुरू करें और अपने अनुबंध टेम्पलेट को अनुच्छेद 30 के विरुद्ध जाँचें। आम तौर पर यही सबसे बड़ा नया काम होता है।
- परीक्षण की योजना बनाएँ। भले ही आपके प्राधिकरण ने आपको TLPT के लिए न चुना हो, अनुच्छेद 24 एक परीक्षण कार्यक्रम माँगता है, जिसमें महत्वपूर्ण या अहम कार्यों को सहारा देने वाले सिस्टमों की सालाना जाँच हो।
- जहाँ समूह में दोनों व्यवस्थाएँ लागू हों, वहाँ रिपोर्टिंग प्रक्रियाएँ अलग करें।
मुख्य बातें
- NIS2 का कार्य DORA के अधिकांश विषय को कवर करता है; गैप विश्लेषण इसे आवश्यकता-दर-आवश्यकता दिखाता है।
- DORA का विशिष्ट काम तृतीय-पक्ष जोखिम है: रजिस्टर, अनुबंध शर्तें, संकेंद्रण जोखिम और निकास।
- खतरा-आधारित पेनिट्रेशन टेस्टिंग और DORA का घटना वर्गीकरण NIS2 में कोई समकक्ष नहीं रखते।
आगे कहाँ जाएँ
DORA फ़्रेमवर्क पृष्ठ हर उस अनुच्छेद को सूचीबद्ध करता है जिसे हम मैप करते हैं, उसके आधिकारिक पाठ के साथ; NIS2 बनाम DORA तुलना दोनों दिशाएँ पूरी तरह दिखाती है, और हमारी NIS2 गाइड NIS2 वाले हिस्से को कवर करती है।
प्रश्न
क्या किसी वित्तीय इकाई को DORA और NIS2 दोनों का पालन करना होगा?
अपने ICT जोखिम प्रबंधन और घटना रिपोर्टिंग के लिए, DORA के दायरे में आने वाली वित्तीय इकाई DORA का पालन करती है: NIS2 क्षेत्र-विशिष्ट संघ अधिनियम को, जिसकी समतुल्य आवश्यकताएँ हों, प्राथमिकता देने देता है, और वित्तीय क्षेत्र के लिए DORA वही अधिनियम है। ऐसे समूह जिनमें गैर-वित्तीय इकाइयाँ भी हों, और बैंकों को सेवा देने वाले ICT प्रदाता, फिर भी दोनों का पालन कर सकते हैं।
क्या DORA और NIS2 के बीच कोई आधिकारिक मैपिंग है?
दोनों को जोड़ने वाला कोई प्रकाशित क्रॉसवॉक नहीं है। ControlMapping के लिंक संपादकीय हैं: हमने DORA को पैराग्राफ़ और बिंदु स्तर पर NIS2 Implementing Regulation के उन्हीं सुरक्षा विषयों से मैप किया है, और हर लिंक अपना कारण दिखाता है।
DORA ऐसा क्या माँगता है जो NIS2 नहीं माँगता?
मुख्यतः सभी ICT सेवा अनुबंधों का सूचना रजिस्टर, अनिवार्य अनुबंध शर्तों की विस्तृत सूची, ICT संकेंद्रण जोखिम का आकलन, निकास रणनीतियाँ, और उन इकाइयों के लिए खतरा-आधारित पेनिट्रेशन टेस्टिंग जो उनके प्राधिकरण द्वारा चुनी जाती हैं, कम से कम हर तीन साल में।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलनाUK का Cyber Essentials और ऑस्ट्रेलिया का Essential Eight, दोनों आम हमलों को निशाना बनाते हैं, लेकिन उनका दायरा अलग है। क्या ओवरलैप होता है, क्या नहीं होता, और क्यों।
विश्लेषण · 2026-10-1311 सुरक्षा फ़्रेमवर्क में MFA आवश्यकताओं की तुलनाकौन-से फ़्रेमवर्क MFA की आवश्यकता रखते हैं, किन उपयोगकर्ताओं के लिए और कितनी सख़्ती से: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 और HIPAA की साथ-साथ तुलना।