DORA vs NIS2: что уже покрывает ваша работа по NIS2

Для финансовых организаций ЕС DORA заменяет правила безопасности NIS2. Большая часть работы та же; различия лежат в управлении рисками третьих сторон, тестировании и отчётности.

Если вы работаете в финансовой организации ЕС, вопрос не в том, применяется ли к вашей программе безопасности DORA или NIS2. NIS2 допускает, чтобы специальный акт Союза в конкретном секторе с как минимум равноценными требованиями к кибербезопасности имел приоритет, а для финансового сектора таким актом является Регламент (ЕС) 2022/2554 о цифровой операционной устойчивости (DORA), который применяется с 17 января 2025 года.

Практический вопрос звучит иначе: если вы уже построили программу NIS2 или ведёте её для остальных компаний группы, какая её часть переносится на DORA? Наши данные отвечают на этот вопрос статья за статьёй.

Главный показатель

Из 22 статьи DORA 20 (91%) сопоставлены с чем-либо в NIS2, 1 связаны лишь косвенно, а для 1 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Читайте это как «где уже находится ваша работа по NIS2», а не как «готово». Официально опубликованных соответствий между DORA и NIS2 нет, поэтому все связи здесь — редакционные материалы ControlMapping: мы сопоставили DORA на уровне параграфов и пунктов с теми же темами безопасности, что и в Имплементирующем регламенте NIS2, а причина каждой связи указана на странице требования.

DORA статья за статьёй

DORA	Требование	Совпадение	NIS2
Art.5(2)(a)	Governance and organisation	Редакционные материалы	2.1 7.1 1.2 2.2
Art.6(1)	ICT risk management framework	Редакционные материалы	2.1 7.1 13.1 13.2
Art.7	ICT systems, protocols and tools	Нет сопоставления в наших данных	—
Art.8(1)	Identification	Редакционные материалы	12.1 12.4 2.1 6.5
Art.9(1)	Protection and prevention	Редакционные материалы	3.2 12.2 12.3 1.1
Art.10(1)	Detection	Редакционные материалы	3.2 3.4 10.2 10.4
Art.11(1)	Response and recovery	Редакционные материалы	4.1 4.3 3.1 3.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	Редакционные материалы	4.2 4.1
Art.13(1)	Learning and evolving	Редакционные материалы	3.5 3.6 8.1 8.2
Art.14(1)	Communication	Редакционные материалы	4.3
Art.16(1)	Simplified ICT risk management framework	Редакционные материалы	2.1 7.1
Art.17(1)	ICT-related incident management process	Редакционные материалы	3.1 3.5 4.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	Редакционные материалы	3.1 3.3 3.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Редакционные материалы	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	Редакционные материалы	2.1 7.1
Art.25(1)	Testing of ICT tools and systems	Редакционные материалы	6.5 6.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	Редакционные материалы	6.5 6.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	Редакционные материалы	6.5 6.10
Art.28(2)	General principles	Редакционные материалы	5.1 6.1 5.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	Редакционные материалы	5.1 6.1
Art.30(2)	Key contractual provisions	Редакционные материалы	5.1 5.2 6.1 12.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	Косвенно связано	2.1 4.3 6.10

Совпадение широкое, потому что оба текста описывают одну и ту же программу: задокументированную систему управления рисками, инвентаризацию активов, защиту и обнаружение, обработку инцидентов, непрерывность деятельности и безопасность поставщиков. Там, где у DORA есть прямой аналог в Имплементирующем регламенте, совпадает предмет, но детали часто различаются.

Фотография стопки толстых напечатанных договоров с биндерными зажимами и цветными закладками на офисном столе — DORA превращает договоры с поставщиками в регулируемый комплект документов.

Что добавляет DORA

Реестр информации. Статья 28(3) требует вести реестр всех договорных соглашений на ИКТ-услуги на уровне организации и группы, с ежегодной отчётностью компетентному органу. NIS2 требует управлять безопасностью поставщиков, но не требует регулируемого реестра.
Обязательные условия договоров. Статья 30 перечисляет, что обязательно должно содержаться в каждом договоре на ИКТ-услуги: место обработки данных, доступ к данным и их возврат, помощь при инциденте без дополнительной платы или по заранее установленной стоимости, а также права на расторжение. Договоры по критически важным или значимым функциям добавляют права аудита, участие в тестировании на основе угроз и периоды выхода.
Концентрационный риск и выход. До заключения договора статья 29 требует оценить, будет ли провайдера трудно заменить и как цепочки субподряда влияют на вас; статья 28(8) требует протестированных стратегий выхода для критически важных или значимых функций.
Тестирование на проникновение на основе угроз. Организации, отобранные их органом, должны проводить TLPT на реальных производственных системах не реже одного раза в три года (статья 26), с тестировщиками, которые соответствуют требованиям статьи 27. Имплементирующий регламент NIS2 требует оценивать эффективность мер, но TLPT не предписывает.
Классификация инцидентов и поэтапная отчётность. Статья 18 задаёт критерии, по которым инцидент признаётся значительным, а статья 19 требует первоначального уведомления, промежуточных отчётов и итогового отчёта. У NIS2 свои сроки: раннее предупреждение в течение 24 часов, уведомление в течение 72 часов и итоговый отчёт в течение месяца. Если вы отчитываетесь по обоим режимам в разных частях группы, ведите две процедуры.
Именованные обязанности органа управления. Оба акта возлагают ответственность на руководство. DORA подробно перечисляет, что орган управления обязан утверждать: от стратегии цифровой операционной устойчивости до политики в отношении ИКТ-услуг сторонних поставщиков (статья 5(2)).

Мнение Пола: Если бы мне пришлось выбрать один элемент DORA, с которого стоит начать, это был бы реестр информации. Он выглядит как упражнение в таблице, но если заполнить его всерьёз, вы найдёте все договоры на ИКТ по группе, определите, какие услуги поддерживают критически важные или значимые функции, и согласуете, кто отвечает за каждое отношение. Остальная работа с третьими сторонами, от исправления договоров до составления планов выхода, опирается на этот список, поэтому он задаёт темп всему последующему.

Обратное направление

Из 49 пункты требований NIS2 44 (90%) сопоставлены с чем-либо в DORA, 5 связаны лишь косвенно, а для 0 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Если исходить из DORA, Имплементирующий регламент NIS2 по существу добавляет немного нового. Несколько пунктов требований лишь разделяют с DORA общий результат по нашим данным, обычно потому, что DORA регулирует предмет в своих технических стандартах, которые мы не сопоставляем. Проверьте их:

NIS2	Требование	Совпадение	DORA
6.2	Secure development life cycle	Косвенно связано	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	Косвенно связано	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	Косвенно связано	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	Косвенно связано	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	Косвенно связано	Art.10(3)

Если вы уже построили программу для NIS2

Определите, какой режим применяется к каждой организации группы. Финансовые организации подчиняются DORA; другие компании группы могут оставаться в рамках NIS2.
Используйте основу повторно. Оценка рисков, реестры активов, управление доступом, журналирование, реагирование на инциденты и планы непрерывности переносятся; приведите их периодичность пересмотра к периодичности DORA (например, система управления рисками ИКТ пересматривается не реже одного раза в год).
Выстройте слой работы с третьими сторонами. Начните реестр информации заранее и проверьте шаблоны договоров на соответствие статье 30. Обычно это самый большой объём новой работы.
Спланируйте тестирование. Даже если ваш орган не отобрал вас для TLPT, статья 24 требует программы тестирования с ежегодными тестами систем, которые поддерживают критически важные или значимые функции.
Разделите процедуры отчётности, если оба режима применяются в группе.

Ключевые выводы

Работа по NIS2 покрывает большую часть предмета DORA; анализ разрывов показывает это требование за требованием.
Отличительная часть DORA — работа с третьими сторонами: реестр, условия договоров, концентрационный риск и выход.
Тестирование на проникновение на основе угроз и классификация инцидентов в DORA не имеют аналога в NIS2.

Куда двигаться дальше

Страница стандарта DORA перечисляет каждую статью, которую мы сопоставляем, с её официальным текстом, сравнение NIS2 и DORA показывает оба направления полностью, а наше руководство по NIS2 охватывает сторону NIS2.

Вопросы

Должна ли финансовая организация соблюдать и DORA, и NIS2?

Для управления рисками ИКТ и отчётности об инцидентах финансовая организация, входящая в сферу действия DORA, следует DORA: NIS2 допускает, чтобы специальный акт Союза в конкретном секторе с как минимум равноценными требованиями имел приоритет, а для финансового сектора таким актом является DORA. Группы, в которые входят и нефинансовые организации, а также провайдеры ИКТ, обслуживающие банки, всё же могут выполнять требования обоих актов.

Существует ли официальное соответствие между DORA и NIS2?

Официально опубликованных соответствий между ними нет. Связи на ControlMapping — редакционные материалы: мы сопоставили DORA на уровне параграфов и пунктов с теми же темами безопасности, что и в Имплементирующем регламенте NIS2, и каждая связь показывает своё обоснование.

Что требует DORA, чего не требует NIS2?

Прежде всего реестр информации обо всех договорах на ИКТ-услуги, подробный перечень обязательных условий договоров, оценка концентрационного риска ИКТ, стратегии выхода и тестирование на проникновение на основе угроз не реже одного раза в три года для организаций, отобранных их органом.

Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.

DORA и NIS2: что уже покрывает программа NIS2