NIS2 un DORA pienākumi, pārvērsti pierādījumos.

NIS2 paaugstina kiberdrošības riska pārvaldības pamatlīmeni būtiskās un svarīgās nozarēs. Vienībām jāievieš tehniski un organizatoriski pasākumi, kas ir samērīgi ar to risku – pārvaldība, incidentu apstrāde, darbības nepārtrauktība, piegādes ķēdes drošība, ievainojamību apstrāde un šo pasākumu testēšana un audits – un jāziņo par būtiskiem incidentiem nacionālajai iestādei. Vadības struktūras ir atbildīgas un var tikt sauktas pie atbildības.

Attiecas uz Vidējas un lielas organizācijas nozarēs, ko uzskaita direktīva – enerģētika, transports, banku un finanšu tirgus infrastruktūra, veselība, ūdens, digitālā infrastruktūra, IKT pakalpojumu pārvaldība un publiskā pārvalde kā būtiskas vienības; pasts, atkritumi, ķīmija, pārtika, ražošana, digitālie pakalpojumu sniedzēji un pētniecība kā svarīgas vienības. Latvijā pienākumi izriet no Nacionālās kiberdrošības likuma, kas ir spēkā kopš 2024. gada septembra.

DORA ir tieši piemērojama regula, kas nosaka vienotus darbības noturības noteikumus ES finanšu nozarei. Tā aptver IKT riska pārvaldību, būtisku ar IKT saistītu incidentu klasifikāciju un ziņošanu, digitālās darbības noturības testēšanu, IKT trešo pušu riska pārvaldību un informācijas apmaiņu. Prasīgākajām vienībām jāveic uz draudiem balstīta ielaušanās testēšana (TLPT) pret reālām produkcijas sistēmām vairāku gadu ciklā.

Attiecas uz Finanšu vienības visā ES – kredītiestādes, maksājumu un elektroniskās naudas iestādes, ieguldījumu brokeru sabiedrības, apdrošinātāji un starpnieki, kriptoaktīvu pakalpojumu sniedzēji, fondu pārvaldnieki un citi – kopā ar kritiskajiem IKT trešo pušu pakalpojumu sniedzējiem, kas tos apkalpo.