Publicado el por

Directiva NIS 2 y Reglamento DORA – Las diferencias en menos de 1 minuto

Exportar / Guardar PDFImprimir
Característica NIS 2 DORA ACT
Nombre completo Directiva sobre la seguridad de las redes y sistemas de información 2 Reglamento sobre la resiliencia operativa digital (DORA ACT)
Fecha de adopción 2022 (los Estados miembros deben transponerla antes de octubre de 2024) 2022, aplicable desde enero de 2025
Ámbito de aplicación Todas las entidades que operan en sectores esenciales, como energía, transporte, salud, finanzas e infraestructuras críticas Sector financiero y sus proveedores de servicios TIC
Objetivo principal Fortalecer la ciberseguridad en sectores esenciales y digitales, mejorando la capacidad de resiliencia de las infraestructuras críticas Garantizar la resiliencia operativa digital de las entidades financieras frente a incidentes cibernéticos o ciberataques
Tipo de norma Directiva (requiere transposición a las leyes nacionales) Reglamento (directamente aplicable en los Estados miembros)
Sujetos involucrados Empresas de sectores esenciales (salud, energía, transporte, agua, administración pública) y proveedores de servicios digitales (nube, plataformas online, motores de búsqueda, etc.) Bancos, instituciones financieras, aseguradoras, gestores de inversiones y proveedores de servicios digitales en el sector financiero
Obligaciones de seguridad Introducción de requisitos de ciberseguridad para las entidades afectadas, incluidas la gestión de riesgos, evaluaciones periódicas y medidas técnicas y organizativas Definición de requisitos para gestionar los riesgos cibernéticos y operativos, centrados en la resiliencia operativa y la gestión de riesgos TIC
Notificación de incidentes Obligación de notificar incidentes relevantes dentro de las 24 horas posteriores al descubrimiento, con un seguimiento dentro de las 72 horas y un informe final Obligación de notificar incidentes cibernéticos graves a las autoridades competentes dentro de un plazo especificado (a definir en el reglamento)
Sanciones Los Estados miembros deben prever sanciones eficaces y proporcionadas, con multas de hasta el 2% de la facturación anual global o hasta 10 millones de euros Sanciones similares a las de la NIS 2, con especial atención a las infracciones en el sector financiero
Gestión de riesgos TIC Los riesgos TIC son parte de la gestión general de riesgos Los riesgos TIC son centrales, con obligaciones específicas para gestionar proveedores terceros y riesgos operativos
Supervisión y control Supervisión por parte de las autoridades nacionales competentes en cada Estado miembro Supervisión por parte de las autoridades financieras europeas, como la Autoridad Bancaria Europea (EBA)
Proveedores terceros Foco en la seguridad de los proveedores de servicios digitales esenciales Obligaciones estrictas para la gestión de riesgos relacionados con proveedores TIC críticos
Exportar / Guardar PDFImprimir