DORA vs NIS2: differenze, ambito e chi ricade dove

La differenza tra DORA e NIS2 si riassume in una frase: DORA è un regolamento settoriale che riguarda il comparto finanziario, mentre NIS2 è una direttiva trasversale che copre molti settori critici, dall'energia alla sanità alla manifattura. Non sono in alternativa tra loro: la stessa organizzazione può ricadere sotto una, sotto l'altra o sotto entrambe. Vediamo come capire dove ti collochi.

DORA e NIS2 in breve

Prima di confrontarle, due definizioni essenziali.

NIS2 è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024 ed in vigore dal 16 ottobre 2024. L'autorità competente a livello nazionale è l'ACN (Agenzia per la Cybersicurezza Nazionale). La NIS2 è trasversale: si rivolge a settori molto diversi, tra cui energia, trasporti, sanità, manifattura (per alcune produzioni), pubblica amministrazione e servizi digitali.

DORA è il Regolamento (UE) 2022/2554, che si applica dal 17 gennaio 2025. È una norma settoriale, pensata specificamente per il comparto finanziario, e in quanto regolamento europeo si applica in modo diretto in tutti gli Stati membri.

Nonostante le differenze, le due norme condividono la stessa filosofia di fondo: spostare la sicurezza informatica da adempimento tecnico a responsabilità di governance, con particolare attenzione alla gestione degli incidenti e alla catena di fornitura.

Tabella comparativa: DORA vs NIS2

Ecco le principali differenze a colpo d'occhio.

• Tipo di atto. DORA: regolamento, ad applicazione diretta. NIS2: direttiva, recepita a livello nazionale.
• Riferimento. DORA: Regolamento (UE) 2022/2554. NIS2: Direttiva (UE) 2022/2555, in Italia il D.Lgs. 138/2024.
• Ambito. DORA: settoriale, il comparto finanziario. NIS2: trasversale a energia, trasporti, sanità, manifattura, PA, digitale e altri.
• Autorità in Italia. DORA: Banca d'Italia, Consob e IVASS secondo il settore. NIS2: ACN, l'Agenzia per la Cybersicurezza Nazionale.
• Autorità UE. DORA: le ESA, cioè EBA, ESMA ed EIOPA. NIS2: cooperazione tra gli Stati membri.
• Decorrenza. DORA: si applica dal 17 gennaio 2025. NIS2: in vigore in Italia dal 16 ottobre 2024.
• Focus. DORA: la resilienza operativa digitale del settore finanziario, in cinque pilastri. NIS2: misure di gestione del rischio e notifica degli incidenti in molti settori critici.
• Rapporto tra le due. DORA è lex specialis e prevale sulla gestione del rischio ICT per le entità finanziarie; NIS2 è la norma generale, che cede agli atti settoriali con requisiti almeno equivalenti.

Regolamento contro direttiva: perché la distinzione conta

La prima differenza è di natura giuridica. DORA è un regolamento: si applica direttamente, con lo stesso testo, in tutta l'Unione, senza bisogno di una legge nazionale. NIS2 è una direttiva: fissa obiettivi comuni ma deve essere recepita da ciascuno Stato membro con una norma nazionale, che in Italia è il D.Lgs. 138/2024. Questo spiega perché, quando si parla di NIS2 in Italia, il riferimento operativo è proprio quel decreto.

La conseguenza pratica è duplice. Con DORA, essendo direttamente applicabile, non ci sono margini di adattamento nazionale: le regole sono le stesse per un'entità finanziaria italiana e per una tedesca. Con NIS2, invece, i dettagli operativi (soglie, procedure di registrazione, tempistiche) si leggono nel decreto di recepimento italiano. Chi opera in più Paesi europei deve tenerne conto: NIS2 può presentare differenze applicative da Stato a Stato, DORA molto meno.

Chi ricade sotto NIS2

La NIS2 classifica i soggetti in due categorie, "essenziali" e "importanti", in base al settore e alla dimensione. Copre un'ampia gamma di ambiti critici e impone, tra gli altri, obblighi di registrazione presso l'ACN, misure di gestione del rischio di sicurezza informatica, notifica degli incidenti significativi e responsabilità diretta degli organi di amministrazione. Un tratto centrale è l'attenzione alla sicurezza della catena di fornitura. Per capire nel dettaglio se un'azienda rientri, puoi consultare la nostra guida completa alla NIS2.

La soglia dimensionale è, in linea generale, quella della media impresa: indicativamente da 50 addetti oppure oltre 10 milioni di euro di fatturato o bilancio annuo. Le grandi imprese nei settori ad alta criticità (Allegato I) sono di norma essenziali; le medie dell'Allegato I e le medie o grandi degli altri settori critici (Allegato II) sono importanti. Esistono poi casi che restano essenziali a prescindere dalla dimensione. Sul fronte degli obblighi, oltre alla registrazione e alle misure di gestione del rischio, spicca la notifica degli incidenti significativi, con un preallarme entro 24 ore e una notifica entro 72 ore.

Chi ricade sotto DORA

DORA si rivolge alle entità finanziarie, circa venti categorie tra cui banche, imprese di assicurazione, imprese di investimento, istituti di pagamento e altre, e in modo indiretto ma vincolante ai loro fornitori di servizi ICT. Abbiamo approfondito il perimetro nell'articolo dedicato a chi si applica DORA. Il baricentro non è il tipo di settore in senso lato, ma l'appartenenza al comparto finanziario e la relazione con esso.

Sul piano degli obblighi, DORA chiede alle entità di presidiare i suoi cinque pilastri: gestione del rischio ICT, gestione e segnalazione degli incidenti, test di resilienza operativa digitale, governo dei fornitori terzi ICT e condivisione delle informazioni sulle minacce. Vale anche qui un principio di proporzionalità: microimprese e piccole entità finanziarie seguono un regime semplificato.

Il rapporto tra le due norme: la regola della lex specialis

La domanda più frequente è: se sono un'entità finanziaria, devo rispettare sia DORA sia NIS2? La risposta passa dal concetto di lex specialis. Per le entità finanziarie coperte da DORA, sugli aspetti di gestione del rischio ICT prevale DORA, in quanto norma speciale e più puntuale. La stessa NIS2 riconosce questo principio: dove esistono atti settoriali con requisiti almeno equivalenti, si applicano quelli.

In altre parole, il legislatore europeo ha voluto evitare la sovrapposizione di obblighi contraddittori. Per il comparto finanziario, DORA rappresenta il riferimento specifico sulla resilienza operativa digitale.

Un esempio chiarisce il punto. Una banca italiana è, in astratto, un'organizzazione che opera in un settore critico; ma sugli aspetti di gestione del rischio ICT il suo riferimento puntuale è DORA, non la NIS2, proprio perché DORA è la norma speciale per la finanza. Questo evita che la stessa attività venga disciplinata due volte con requisiti potenzialmente disallineati.

Autorità e vigilanza: due mondi

Anche gli interlocutori cambiano. Per la NIS2, in Italia il punto di riferimento è l'ACN, presso cui i soggetti si registrano e a cui notificano gli incidenti significativi. Per DORA, la vigilanza resta in capo alle autorità del comparto finanziario, ossia Banca d'Italia, Consob e IVASS secondo il settore, con le Autorità europee di vigilanza (ESA: EBA, ESMA, EIOPA) a livello UE. Per un'organizzazione che ricade in entrambe, questo significa dialogare con interlocutori diversi su piani diversi.

I tre scenari tipici

Nella pratica, un'organizzazione si ritrova quasi sempre in uno di questi tre scenari.

• Solo NIS2: azienda di un settore critico non finanziario (per esempio energia, sanità o una produzione manifatturiera rilevante) che raggiunge le soglie previste.
• Solo DORA: entità finanziaria per cui, sulla gestione del rischio ICT, prevale la norma settoriale.
• Entrambe, a titoli diversi: è il caso, molto comune, di un fornitore ICT che può essere soggetto diretto alla NIS2 e, allo stesso tempo, servire clienti finanziari soggetti a DORA, ereditandone i requisiti contrattuali.

Quest'ultimo scenario merita attenzione: non è "o l'uno o l'altro". Un'azienda può essere soggetta a NIS2 e, contemporaneamente, trovarsi dentro il perimetro DORA dei propri clienti. Un fornitore ICT, in particolare, può avere clienti in entrambi i regimi e deve saper rispondere alle richieste di entrambi.

Pensiamo a un provider di servizi gestiti che eroga monitoraggio di sicurezza a un ospedale (soggetto NIS2 nel settore sanità) e, allo stesso tempo, a una banca (entità DORA). Lo stesso fornitore si trova a rispondere, per lo stesso servizio, a requisiti che arrivano da due normative diverse e da due tipi di clienti diversi. Trascurare uno dei due fronti significa, quasi sempre, perdere opportunità commerciali o diventare un punto debole per il cliente.

E le sanzioni?

Entrambe le norme prevedono un impianto sanzionatorio in caso di inadempimento, applicato dalle rispettive autorità: l'ACN per la NIS2, le autorità del comparto finanziario per DORA. Le due discipline seguono logiche e importi propri, quindi vanno lette separatamente e non sono confrontabili in modo diretto. Sul versante NIS2 abbiamo raccolto il quadro nell'articolo dedicato alle sanzioni NIS2.

Che cosa fare in pratica

Il primo passo è la mappatura: stabilire con precisione a quali norme sei soggetto e a che titolo. Da lì discende tutto il resto.

• Identifica il tuo settore e la tua dimensione, per capire se rientri nella NIS2 come soggetto essenziale o importante.
• Verifica se sei un'entità finanziaria o un fornitore ICT di entità finanziarie, per la parte DORA.
• Se ricadi in entrambe, imposta un unico impianto di gestione del rischio che soddisfi il requisito più stringente, evitando duplicazioni e documenti paralleli.
• Presta attenzione alla catena di fornitura: sia NIS2 sia DORA responsabilizzano le organizzazioni sui propri fornitori.

Un impianto unico, costruito attorno alla gestione del rischio e alla continuità dei servizi, è quasi sempre più efficiente rispetto a due percorsi separati che rincorrono le due norme in parallelo.

DORA e NIS2 non sono in competizione: sono due tasselli dello stesso disegno europeo per la sicurezza e la continuità dei servizi critici. Capire dove ti collochi è la premessa per non disperdere energie e per costruire un percorso di conformità coerente. Per approfondire puoi partire dalla guida completa a DORA, dalla guida completa alla NIS2 e dall'articolo sulle sanzioni NIS2. In AmagisTech aiutiamo le aziende mid-market a mappare gli obblighi e a costruire un impianto unico di gestione del rischio ICT; se operi nel settore finanziario o lo servi, trovi il dettaglio nei servizi AmagisTech dedicati a DORA.