DORA vs NIS2: apa yang sudah dicakup program NIS2

Jika Anda bekerja di entitas keuangan UE, pertanyaannya bukan apakah DORA atau NIS2 berlaku untuk program keamanan Anda. NIS2 memungkinkan suatu tindakan Uni yang spesifik sektor dengan persyaratan keamanan siber yang setidaknya setara untuk diutamakan, dan untuk sektor keuangan tindakan tersebut adalah Digital Operational Resilience Act, Regulation (EU) 2022/2554, yang berlaku sejak 17 Januari 2025.

Pertanyaan praktisnya berbeda: jika Anda sudah membangun program NIS2, atau mengelolanya untuk bagian lain dari grup Anda, seberapa banyak yang bisa dibawa? Data kami menjawabnya pasal demi pasal.

Angka utama

Dari 22 pasal DORA, 20 (91%) dipetakan ke sesuatu dalam NIS2, 1 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Bacalah ini sebagai “titik di mana pekerjaan NIS2 Anda sudah mengarah”, bukan sebagai “selesai”. Tidak ada Crosswalk resmi yang dipublikasikan yang menghubungkan DORA dengan NIS2, sehingga setiap tautan di sini bersifat Editorial ControlMapping: kami memetakan DORA pada tingkat ayat dan butir ke topik keamanan yang sama dengan Implementing Regulation NIS2, dan alasan untuk setiap tautan ditampilkan pada halaman persyaratan.

DORA pasal demi pasal

DORA	Persyaratan	Kecocokan	NIS2
Art.5(2)(a)	Governance and organisation	Editorial	2.17.11.22.2
Art.6(1)	ICT risk management framework	Editorial	2.17.113.113.2
Art.7	ICT systems, protocols and tools	Tidak ada pemetaan dalam data kami	—
Art.8(1)	Identification	Editorial	12.112.42.16.5
Art.9(1)	Protection and prevention	Editorial	3.212.212.31.1
Art.10(1)	Detection	Editorial	3.23.410.210.4
Art.11(1)	Response and recovery	Editorial	4.14.33.13.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	Editorial	4.24.1
Art.13(1)	Learning and evolving	Editorial	3.53.68.18.2
Art.14(1)	Communication	Editorial	4.3
Art.16(1)	Simplified ICT risk management framework	Editorial	2.17.1
Art.17(1)	ICT-related incident management process	Editorial	3.13.54.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	Editorial	3.13.33.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Editorial	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	Editorial	2.17.1
Art.25(1)	Testing of ICT tools and systems	Editorial	6.56.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	Editorial	6.56.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	Editorial	6.56.10
Art.28(2)	General principles	Editorial	5.16.15.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	Editorial	5.16.1
Art.30(2)	Key contractual provisions	Editorial	5.15.26.112.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	Terkait secara longgar	2.14.36.10

Tumpang tindihnya luas karena kedua teks menggambarkan program yang sama: kerangka kerja manajemen risiko yang terdokumentasi, identifikasi aset, perlindungan dan deteksi, penanganan insiden, kelangsungan usaha, dan keamanan pemasok. Jika DORA memiliki padanan langsung dalam Implementing Regulation, subjeknya cocok; detailnya sering tidak.

Yang ditambahkan DORA

• Register informasi. Pasal 28(3) mewajibkan register setiap pengaturan kontrak untuk layanan TIK, dikelola di tingkat entitas dan grup, dengan pelaporan tahunan kepada otoritas kompeten. NIS2 meminta Anda mengelola keamanan pemasok; NIS2 tidak meminta register yang diatur.
• Ketentuan kontrak wajib. Pasal 30 mencantumkan apa yang harus ada dalam setiap kontrak layanan TIK, termasuk lokasi pemrosesan data, akses ke dan pengembalian data, bantuan dalam insiden tanpa biaya tambahan atau dengan biaya yang telah ditetapkan sebelumnya, serta hak pengakhiran. Kontrak untuk fungsi kritis atau penting menambahkan hak audit, partisipasi dalam pengujian berbasis ancaman, dan periode keluar.
• Risiko konsentrasi dan keluar. Sebelum berkontrak, Pasal 29 menanyakan apakah penyedia akan sulit digantikan dan bagaimana rantai subkontrak memengaruhi Anda; Pasal 28(8) mewajibkan strategi keluar yang telah diuji untuk fungsi kritis atau penting.
• Pengujian penetrasi berbasis ancaman. Entitas yang dipilih oleh otoritasnya wajib menjalankan TLPT pada sistem produksi langsung setidaknya setiap tiga tahun (Pasal 26), dengan penguji yang memenuhi persyaratan Pasal 27. Implementing Regulation NIS2 meminta Anda menilai efektivitas langkah-langkah Anda; regulasi itu tidak mengatur TLPT.
• Klasifikasi insiden dan laporan bertahap. Pasal 18 menetapkan kriteria yang menentukan apakah suatu insiden bersifat major, dan Pasal 19 mewajibkan notifikasi awal, laporan antara, dan laporan akhir. NIS2 memiliki tenggatnya sendiri: peringatan dini dalam 24 jam, notifikasi dalam 72 jam, dan laporan akhir dalam satu bulan. Jika Anda melapor di bawah kedua rezim di bagian grup yang berbeda, pertahankan dua prosedur.
• Tugas badan manajemen yang disebutkan secara eksplisit. Keduanya membuat manajemen bertanggung jawab. DORA merinci apa yang harus disetujui badan manajemen, mulai dari strategi ketahanan operasional digital hingga kebijakan untuk layanan TIK pihak ketiga (Pasal 5(2)).

Arah sebaliknya

Dari 49 poin persyaratan NIS2, 44 (90%) dipetakan ke sesuatu dalam DORA, 5 hanya terkait secara longgar, dan 0 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Dari sisi DORA, Implementing Regulation NIS2 menambahkan sedikit hal baru secara substansi. Beberapa poin persyaratan hanya berbagi hasil umum dengan DORA dalam data kami, biasanya karena DORA membahas subjek tersebut dalam standar teknisnya, yang tidak kami petakan. Periksa ini:

NIS2	Persyaratan	Kecocokan	DORA
6.2	Secure development life cycle	Terkait secara longgar	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	Terkait secara longgar	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	Terkait secara longgar	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	Terkait secara longgar	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	Terkait secara longgar	Art.10(3)

Jika Anda sudah membangun untuk NIS2

1. Pastikan rezim mana yang berlaku untuk setiap entitas dalam grup. Entitas keuangan mengikuti DORA; perusahaan grup lain mungkin tetap berada di bawah NIS2.
2. Gunakan kembali inti. Penilaian risiko, inventaris aset, kontrol akses, pencatatan log, respons insiden, dan rencana kelangsungan usaha tetap bisa dipakai; sesuaikan frekuensi tinjauannya dengan DORA (misalnya, kerangka kerja manajemen risiko TIK ditinjau setidaknya sekali setahun).
3. Bangun lapisan pihak ketiga. Mulai register informasi sejak awal dan tinjau templat kontrak Anda terhadap Pasal 30. Ini biasanya menjadi pekerjaan baru terbesar.
4. Rencanakan pengujian. Meskipun otoritas Anda belum memilih Anda untuk TLPT, Pasal 24 mewajibkan program pengujian, dengan pengujian tahunan terhadap sistem yang mendukung fungsi kritis atau penting.
5. Pisahkan prosedur pelaporan jika kedua rezim berlaku dalam grup.

Poin utama

• Pekerjaan NIS2 mencakup sebagian besar materi subjek DORA; analisis kesenjangan menunjukkannya persyaratan demi persyaratan.
• Pekerjaan khas DORA ada pada risiko pihak ketiga: register, ketentuan kontrak, risiko konsentrasi, dan keluar.
• Pengujian penetrasi berbasis ancaman dan klasifikasi insiden DORA tidak memiliki padanan di NIS2.

Langkah berikutnya

Halaman kerangka kerja DORA mencantumkan setiap pasal yang kami petakan beserta teks resminya, perbandingan NIS2 vs DORA menampilkan kedua arah secara lengkap, dan panduan NIS2 kami membahas sisi NIS2.

Pertanyaan

Apakah entitas keuangan harus mematuhi DORA dan NIS2 sekaligus?

Untuk manajemen risiko TIK dan pelaporan insiden, entitas keuangan dalam cakupan DORA mengikuti DORA: NIS2 memungkinkan tindakan Uni yang spesifik sektor dengan persyaratan yang setidaknya setara diutamakan, dan DORA adalah tindakan tersebut untuk sektor keuangan. Grup yang juga memuat entitas non-keuangan, serta penyedia TIK yang melayani bank, tetap dapat memenuhi keduanya.

Apakah ada pemetaan resmi antara DORA dan NIS2?

Tidak ada Crosswalk yang dipublikasikan yang menghubungkan keduanya. Tautan di ControlMapping bersifat Editorial: kami memetakan DORA pada tingkat ayat dan butir ke topik keamanan yang sama dengan Implementing Regulation NIS2, dan setiap tautan menampilkan alasannya.

Apa yang diwajibkan DORA namun tidak diwajibkan NIS2?

Terutama register informasi atas semua kontrak layanan TIK, daftar rinci ketentuan kontrak wajib, penilaian risiko konsentrasi TIK, strategi keluar, dan pengujian penetrasi berbasis ancaman setidaknya setiap tiga tahun untuk entitas yang dipilih otoritasnya.