Dora eller NIS2: vilket regelverk gäller er?

Börja med Dora, eftersom den frågan är snabbast. Står ni under Finansinspektionens tillsyn är utgångspunkten att Dora gäller, och FI skriver att de flesta företag under deras tillsyn omfattas.

Gå sedan igenom cybersäkerhetslagen separat. Den bedömningen görs i två steg: matchar er verksamhetstyp en beskrivning i direktivets bilagor, och är ni ett medelstort eller stort företag enligt EU:s definition. Att svaret på Dora blev ja säger ingenting om det här steget.

Gör båda bedömningarna per juridisk person. Det vanligaste fallet där båda gäller är en koncern där ett bolag har ett FI-tillstånd och ett annat driver exempelvis digital infrastruktur eller är verksamt i en sektor i bilagorna.

På ytan liknar de varandra: båda kräver riskhantering, incidentrapportering, testning och leverantörshantering. Skillnaderna sitter i detaljerna, och tre av dem påverkar arbetet direkt.

Dora föreskriver ett testintervall. Artikel 26 kräver hotbildsstyrd testning minst var tredje år för berörda entiteter. Cybersäkerhetslagen anger inget intervall alls, utan kräver strategier för att bedöma om åtgärderna är effektiva.

Dora kräver ett formaliserat register över avtal med IKT-tredjepartsleverantörer, med inlämning till FI senast den 28 februari. Cybersäkerhetslagen har leverantörskedjan som ett av tio riskhanteringsområden men ingen motsvarande rapporteringsskyldighet. Åt andra hållet kräver cybersäkerhetslagen att verksamheten anmäler sig, vilket Dora inte gör.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

Frestelsen är att slå ihop skyldigheterna till en gemensam rutin. Det fungerar för underlaget och inte för utgångarna.

Det som går att dela är arbetet före beslutet: samma incidenthantering, samma riskregister, samma systemförteckning, samma klassificering av kritiska funktioner. Att bygga två parallella apparater för det är slöseri och ger dessutom två versioner av sanningen.

Det som inte går att dela är besluten och mottagarna. Klockorna startar olika, trösklarna är olika, och rapporterna går till olika myndigheter i olika format. Rutinen behöver därför ett tidigt beslutssteg som avgör vilka regelverk som är i spel, och därefter två separata spår som löper parallellt utan att vänta in varandra.

Att Dora som lex specialis skulle undanta er från cybersäkerhetslagen. Det är en rimlig intuition och den bör prövas mot texten och mot myndigheterna snarare än antas, eftersom konsekvensen av att ha fel är att en anmälningsplikt aldrig fullgjordes.

Det praktiska rådet är att göra båda bedömningarna, dokumentera dem var för sig med datum och lagrum, och stämma av gränsdragningen med FI om er situation är sammansatt. En dokumenterad bedömning som visar sig fel är en annan sak än ett antagande som ingen skrev ned.

Om ni landar i att bara Dora gäller: notera att den slutsatsen är er egen och att den behöver göras om vid förvärv, nya tillstånd och omstruktureringar.