DORA 与 NIS2 对比：已有 NIS2 计划能覆盖什么

如果您在欧盟金融实体工作，问题不在于 DORA 还是 NIS2 是否适用于您的安全计划。NIS2 允许具有至少同等网络安全要求的特定行业欧盟法案优先适用；就金融行业而言，该法案是《数字运营韧性法案》，即法规 (EU) 2022/2554，自 2025 年 1 月 17 日起适用。

实际问题有所不同：如果您已经建立了 NIS2 计划，或者您为集团其他部分运行着此类计划，其中有多少内容可以延续沿用？我们的数据逐条给出了答案。

核心数据

在 DORA 的 22 个条款中，20（91%）可映射到 NIS2 中的内容，1 个仅弱相关，1 个在本站数据中无映射。 打开差距报告 →

请将此理解为“您的 NIS2 工作已指向的位置”，而非“已完成”。目前没有已发布的对照映射将 DORA 与 NIS2 关联，因此此处的每一条关联均为 ControlMapping 编辑说明：我们在段落和条款层面将 DORA 映射到 NIS2 实施条例所涉及的相同安全主题，每条关联的理由都显示在要求页面上。

DORA 逐条对照

DORA	要求	匹配	NIS2
Art.5(2)(a)	Governance and organisation	编辑说明	2.17.11.22.2
Art.6(1)	ICT risk management framework	编辑说明	2.17.113.113.2
Art.7	ICT systems, protocols and tools	本站数据中无映射	—
Art.8(1)	Identification	编辑说明	12.112.42.16.5
Art.9(1)	Protection and prevention	编辑说明	3.212.212.31.1
Art.10(1)	Detection	编辑说明	3.23.410.210.4
Art.11(1)	Response and recovery	编辑说明	4.14.33.13.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	编辑说明	4.24.1
Art.13(1)	Learning and evolving	编辑说明	3.53.68.18.2
Art.14(1)	Communication	编辑说明	4.3
Art.16(1)	Simplified ICT risk management framework	编辑说明	2.17.1
Art.17(1)	ICT-related incident management process	编辑说明	3.13.54.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	编辑说明	3.13.33.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	编辑说明	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	编辑说明	2.17.1
Art.25(1)	Testing of ICT tools and systems	编辑说明	6.56.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	编辑说明	6.56.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	编辑说明	6.56.10
Art.28(2)	General principles	编辑说明	5.16.15.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	编辑说明	5.16.1
Art.30(2)	Key contractual provisions	编辑说明	5.15.26.112.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	弱相关	2.14.36.10

两者重叠度较高，因为两份文本描述的是同一套计划：有文件化的风险管理框架、资产识别、防护与检测、事件处理、业务连续性以及供应商安全。若 DORA 在实施条例中有直接对应条款，则主题一致；但细节往往并不相同。

DORA 新增的内容

• 信息登记册。 第 28(3) 条要求建立登记册，记录所有 ICT 服务合同安排，在实体和集团层面保存，并每年向主管机构报告。NIS2 要求您管理供应商安全，但并未要求设立受监管的登记册。
• 强制性合同条款。 第 30 条列明每份 ICT 服务合同必须包含的内容，包括数据处理地点、数据访问与返还、事件发生时的协助（无额外费用或预先约定费用），以及终止权。涉及关键或重要功能的合同还需增加审计权、参与威胁驱动测试以及退出期限。
• 集中度风险与退出。 在签约前，第 29 条要求评估供应商是否难以替换，以及转包链条如何影响您；第 28(8) 条要求对关键或重要功能制定经过测试的退出策略。
• 威胁驱动的渗透测试。 经主管机构选定的实体须至少每三年在实际生产系统上开展 TLPT（第 26 条），且测试人员须符合第 27 条的要求。NIS2 实施条例要求您评估措施的有效性，但并未规定 TLPT。
• 事件分类与分阶段报告。 第 18 条规定了判定事件是否为重大事件的标准，第 19 条要求提交初始通报、中期报告和最终报告。NIS2 有其自身的时限：24 小时内发出早期预警，72 小时内提交通报，一个月内提交最终报告。如果集团中不同部分分别依据两套制度报告，请保留两套程序。
• 明确的管理机构职责。 两者均要求管理层承担问责。DORA 具体列明管理机构必须批准的事项，从数字运营韧性战略到 ICT 第三方服务政策（第 5(2) 条）。

反向对照

在 NIS2 的 49 个要求点中，44（90%）可映射到 DORA 中的内容，5 个仅弱相关，0 个在本站数据中无映射。 打开差距报告 →

从 DORA 出发看，NIS2 实施条例在实质内容上几乎没有新增内容。在我们的数据中，有几个要求条款仅与 DORA 在大致成果上相通，通常是因为 DORA 在我们未映射的技术标准中涵盖了该主题。请核对以下内容：

NIS2	要求	匹配	DORA
6.2	Secure development life cycle	弱相关	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	弱相关	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	弱相关	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	弱相关	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	弱相关	Art.10(3)

如果您已为 NIS2 建立体系

1. 确认各实体适用的制度。 金融实体适用 DORA；集团中的其他公司可能仍适用 NIS2。
2. 复用核心部分。 风险评估、资产清单、访问控制、日志记录、事件响应和连续性计划均可延续沿用；将其审查频率调整为 DORA 的要求（例如，ICT 风险管理框架须至少每年审查一次）。
3. 建设第三方层。 尽早启动信息登记册，并依据第 30 条审查您的合同模板。这通常是最大的新增工作量。
4. 规划测试。 即使您的主管机构未选定您进行 TLPT，第 24 条仍要求建立测试计划，并对支撑关键或重要功能的系统每年开展测试。
5. 在集团同时适用两套制度时拆分报告程序。

核心要点

• NIS2 工作覆盖了 DORA 的大部分主题；差距分析 逐项显示了这一点。
• DORA 的独特工作在于第三方风险：登记册、合同条款、集中度风险与退出。
• 威胁驱动的渗透测试和 DORA 的事件分类在 NIS2 中没有对应内容。

后续阅读

DORA 框架页面 列出了我们映射的每一条条款及其官方原文，NIS2 与 DORA 对比 完整展示了两个方向的对照，我们的 NIS2 指南 则涵盖 NIS2 方面的内容。

常见问题

金融实体是否必须同时遵守 DORA 和 NIS2？

就其 ICT 风险管理和事件报告而言，属于 DORA 适用范围的金融实体应遵循 DORA：NIS2 允许具有至少同等要求的特定行业欧盟法案优先适用，而 DORA 就是金融行业的此类法案。同时包含非金融实体的集团，以及为银行提供服务的 ICT 服务提供商，仍可能需要同时满足两者。

DORA 与 NIS2 之间是否有官方映射？

目前没有已发布的对照映射将两者关联。ControlMapping 上的关联均为编辑说明：我们在段落和条款层面将 DORA 映射到 NIS2 实施条例所涉及的相同安全主题，且每条关联均显示其理由。

DORA 要求而 NIS2 不要求的内容有哪些？

主要包括：涵盖所有 ICT 服务合同的信息登记册、详细的强制性合同条款清单、ICT 集中度风险评估、退出策略，以及对其主管机构选定的实体至少每三年一次的威胁驱动渗透测试。