DORA vs NIS2: cosa copre già un programma NIS2
Per gli enti finanziari UE, DORA sostituisce le regole di sicurezza di NIS2. Gran parte del lavoro è la stessa; le differenze riguardano il rischio di terze parti, i test e la segnalazione.
Se lavorate in un ente finanziario UE, la domanda non è se si applica DORA o NIS2 al vostro programma di sicurezza. NIS2 consente che prevalga un atto dell'Unione settoriale con requisiti di cybersicurezza almeno equivalenti e, per il settore finanziario, tale atto è il Digital Operational Resilience Act, Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025.
La questione pratica è diversa: se avete già costruito un programma NIS2, o ne gestite uno per il resto del gruppo, quanta parte si riutilizza? I nostri dati rispondono articolo per articolo.
Il numero principale
Dei 22 articoli di DORA, 20 (91%) corrispondono a qualcosa in NIS2, 1 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati. Apri il report sui gap →
Leggetelo come "dove il vostro lavoro NIS2 già punta", non come "completato". Nessun crosswalk pubblicato collega DORA a NIS2, quindi ogni collegamento qui è di Redazione ControlMapping: abbiamo mappato DORA a livello di paragrafo e di punto sugli stessi argomenti di sicurezza del Regolamento di esecuzione NIS2, e la motivazione di ogni collegamento è indicata nella pagina del requisito.
DORA articolo per articolo
| DORA | Requisito | Corrispondenza | NIS2 |
|---|---|---|---|
| Art.5(2)(a) | Governance and organisation | Redazione | 2.17.11.22.2 |
| Art.6(1) | ICT risk management framework | Redazione | 2.17.113.113.2 |
| Art.7 | ICT systems, protocols and tools | Nessuna mappatura nei nostri dati | — |
| Art.8(1) | Identification | Redazione | 12.112.42.16.5 |
| Art.9(1) | Protection and prevention | Redazione | 3.212.212.31.1 |
| Art.10(1) | Detection | Redazione | 3.23.410.210.4 |
| Art.11(1) | Response and recovery | Redazione | 4.14.33.13.5 |
| Art.12(1) | Backup policies and procedures, restoration and recovery procedures and methods | Redazione | 4.24.1 |
| Art.13(1) | Learning and evolving | Redazione | 3.53.68.18.2 |
| Art.14(1) | Communication | Redazione | 4.3 |
| Art.16(1) | Simplified ICT risk management framework | Redazione | 2.17.1 |
| Art.17(1) | ICT-related incident management process | Redazione | 3.13.54.3 |
| Art.18(1) | Classification of ICT-related incidents and cyber threats | Redazione | 3.13.33.5 |
| Art.19(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | Redazione | 3.3 |
| Art.24(1) | General requirements for the performance of digital operational resilience testing | Redazione | 2.17.1 |
| Art.25(1) | Testing of ICT tools and systems | Redazione | 6.56.10 |
| Art.26(1) | Advanced testing of ICT tools, systems and processes based on TLPT | Redazione | 6.56.10 |
| Art.27(1) | Requirements for testers for the carrying out of TLPT | Redazione | 6.56.10 |
| Art.28(2) | General principles | Redazione | 5.16.15.2 |
| Art.29(1) | Preliminary assessment of ICT concentration risk at entity level | Redazione | 5.16.1 |
| Art.30(2) | Key contractual provisions | Redazione | 5.15.26.112.5 |
| Art.45(1) | Information-sharing arrangements on cyber threat information and intelligence | 2.14.36.10 |
La sovrapposizione è ampia perché entrambi i testi descrivono lo stesso programma: un framework documentato di gestione del rischio, identificazione degli asset, protezione e rilevamento, gestione degli incidenti, continuità operativa e sicurezza dei fornitori. Dove DORA ha un corrispettivo diretto nel Regolamento di esecuzione, l'argomento coincide; il dettaglio spesso no.
Cosa aggiunge DORA
- Un registro delle informazioni. L'articolo 28(3) richiede un registro di ogni accordo contrattuale per servizi TIC, tenuto a livello di ente e di gruppo, con segnalazione annuale all'autorità competente. NIS2 chiede di gestire la sicurezza dei fornitori; non chiede un registro regolamentato.
- Clausole contrattuali obbligatorie. L'articolo 30 elenca ciò che ogni contratto di servizi TIC deve contenere, tra cui il luogo di trattamento dei dati, l'accesso e la restituzione dei dati, l'assistenza in caso di incidente senza costi aggiuntivi o a un costo stabilito in anticipo, e i diritti di recesso. I contratti per funzioni critiche o importanti aggiungono diritti di audit, la partecipazione a test guidati dalle minacce e periodi di uscita.
- Rischio di concentrazione e uscita. Prima della stipula, l'articolo 29 chiede se un fornitore sarebbe difficile da sostituire e come le catene di subappalto incidano su di voi; l'articolo 28(8) richiede strategie di uscita testate per le funzioni critiche o importanti.
- Test di penetrazione guidati dalle minacce. Gli enti selezionati dalla loro autorità devono eseguire TLPT su sistemi di produzione reali almeno ogni tre anni (articolo 26), con tester che soddisfano i requisiti dell'articolo 27. Il Regolamento di esecuzione NIS2 chiede di valutare l'efficacia delle misure; non prescrive TLPT.
- Classificazione degli incidenti e segnalazioni a fasi. L'articolo 18 fissa i criteri che stabiliscono se un incidente è grave, e l'articolo 19 richiede una notifica iniziale, relazioni intermedie e una relazione finale. NIS2 ha una propria scansione temporale: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Se segnalate in base a entrambi i regimi in parti diverse di un gruppo, mantenete due procedure.
- Doveri nominativi dell'organo di gestione. Entrambi rendono responsabile la direzione. DORA specifica ciò che l'organo di gestione deve approvare, dalla strategia di resilienza operativa digitale alla politica sui servizi TIC forniti da terzi (articolo 5(2)).
L'altra direzione
Dei 49 punti di requisito di NIS2, 44 (90%) corrispondono a qualcosa in DORA, 5 sono solo debolmente correlati e 0 non hanno mappature nei nostri dati. Apri il report sui gap →
Partendo da DORA, il Regolamento di esecuzione NIS2 aggiunge poco di nuovo nella sostanza. Pochi punti dei requisiti condividono con DORA solo un esito generale nei nostri dati, di solito perché DORA copre l'argomento nei suoi standard tecnici, che non mappiamo. Verificate questi:
| NIS2 | Requisito | Corrispondenza | DORA |
|---|---|---|---|
| 6.2 | Secure development life cycle | Art.8(1)Art.8(4)Art.8(6) | |
| 6.3 | Configuration management | Art.28(8)Art.30(2) | |
| 6.9 | Protection against malicious and unauthorised software | Art.9(1)Art.10(1)Art.10(3)Art.10(2) | |
| 10.1 | Human resources security | Art.5(4)Art.10(3)Art.13(6) | |
| 10.3 | Termination or change of employment procedures | Art.10(3) |
Se avete già costruito per NIS2
- Confermate quale regime si applica a ciascun ente del gruppo. Gli enti finanziari seguono DORA; altre società del gruppo possono restare sotto NIS2.
- Riutilizzate il nucleo. Valutazione del rischio, inventari degli asset, controllo degli accessi, logging, risposta agli incidenti e piani di continuità si riutilizzano; adeguate le loro frequenze di revisione a quelle di DORA (ad esempio, il framework di gestione del rischio TIC va rivisto almeno una volta all'anno).
- Costruite il livello delle terze parti. Avviate presto il registro delle informazioni e rivedete i modelli contrattuali rispetto all'articolo 30. Di solito è la parte nuova più grande.
- Pianificate i test. Anche se la vostra autorità non vi ha selezionato per il TLPT, l'articolo 24 richiede un programma di test, con test annuali dei sistemi che supportano funzioni critiche o importanti.
- Separate le procedure di segnalazione dove si applicano entrambi i regimi nel gruppo.
Punti chiave
- Il lavoro NIS2 copre gran parte della materia di DORA; la Gap analysis lo mostra requisito per requisito.
- Il lavoro distintivo di DORA è il rischio di terze parti: il registro, le clausole contrattuali, il rischio di concentrazione e l'uscita.
- I test di penetrazione guidati dalle minacce e la classificazione degli incidenti di DORA non hanno un equivalente in NIS2.
Dove andare dopo
La pagina del framework DORA elenca ogni articolo che mappiamo con il suo testo ufficiale, il confronto NIS2 vs DORA mostra per intero entrambe le direzioni, e la nostra guida a NIS2 copre il lato NIS2.
Domande
Un ente finanziario deve conformarsi sia a DORA sia a NIS2?
Per la gestione del rischio TIC e la segnalazione degli incidenti, un ente finanziario nell'ambito di DORA segue DORA: NIS2 consente che prevalga un atto dell'Unione settoriale con requisiti almeno equivalenti, e DORA è quell'atto per il settore finanziario. I gruppi che includono anche enti non finanziari, e i fornitori TIC che servono banche, possono comunque soddisfare entrambi.
Esiste una mappatura ufficiale tra DORA e NIS2?
Nessun crosswalk pubblicato collega i due testi. I collegamenti su ControlMapping sono di Redazione: abbiamo mappato DORA a livello di paragrafo e di punto sugli stessi argomenti di sicurezza del Regolamento di esecuzione NIS2, e ogni collegamento mostra la sua motivazione.
Cosa richiede DORA che NIS2 non richiede?
Principalmente un registro delle informazioni su tutti i contratti di servizi TIC, un elenco dettagliato di clausole contrattuali obbligatorie, una valutazione del rischio di concentrazione TIC, strategie di uscita e test di penetrazione guidati dalle minacce almeno ogni tre anni per gli enti selezionati dalla loro autorità.
Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.
Articoli correlati
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-27Cyber Essentials vs Essential Eight: confronto tra due baselineIl Cyber Essentials del Regno Unito e l'Essential Eight australiano puntano entrambi a contrastare attacchi comuni, ma coprono ambiti diversi. Cosa si sovrappone, cosa no e perché.
Analisi · 2026-10-13Requisiti MFA confrontati tra 11 framework di sicurezzaQuali framework richiedono MFA, per chi e con quale rigore: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 e HIPAA a confronto diretto.