DORA, NIS2和CRA:欧洲网络安全新规则手册实地指南

2025年1月17日,一项规定生效,大多数欧洲公司花了两年时间准备,许多公司仍未准备好开会。 这不是数据保护规则,也不是针对医院或能源网。 它针对的是银行、保险商、基金经理、付款提供商和mdash;以及关键的是维持其运作的技术供应商。 它的名称是DORA,它只是现在横跨整个大陆的三个监管波中的第一个。

过去十年来,任何关注欧洲网络安全法演变的人都知道这个模式:新指令的到来,成员国以不同的速度移植,公司花费多年时间追逐移动的目标. 这次的不同之处在于密度很大。 DORA、NIS2和《网络复原力法》互不取代。 它们相互重叠、相互参照,并在一些地方故意相互排斥。 对于试图制定遵守路线图的安全领导人来说,这既是机遇,也是陷阱。

为什么欧洲在监管复原力,而不仅仅是隐私

GDPR教欧洲组织将个人数据视为有法律分量的责任。 新一代的规则提出了一个更难的问题:不是“em>你持有什么数据,而是“em>当有人攻击你时你能继续运行吗?

转变是故意的。 网络攻击越来越复杂和更具破坏力,使社会运转正常的金融、能源、交通、卫生、电信和移动等部门正是最相互关联和最暴露的部门。 单个受损的软件供应商可以在数小时内波及数百家机构。 监管者审视了这种依赖性,并得出结论,自愿最佳做法是不够的。 用这些规则背后的框架的话来说,目标是提高业务复原力和mdash;从整体上这样做,把物理和逻辑安全作为一个问题而不是两个问题来处理。 正因为如此,这些条例与GDPR、电信部门规则、欧盟网络安全法等认证计划以及CER关于关键实体的指令等较旧的义务并列。 他们不是一个干净的堆。 它们是条纹的。

DORA:金融及其供应商的复原力规则

DORA & mdash;《数字业务复原力法》,正式条例2022/2554 & mdash;于2022年12月公布,并于2025年1月17日直接适用。 "直接适用"是一个重要的短语:与指令不同,DORA不需要被移植到国内法中. 它以书面形式适用于所有欧盟成员国。 它的第一个工作是协调。 在DORA之前,一个银行、一个保险人、一个养恤基金和一个基金经理可以各自面对不同的国家信通技术风险规则。 DORA将其置于一个框架之下,并在这样做时将网络扩大到覆盖比任何单一国家制度更多的实体。 它的第二份工作是让供应链感到不舒服。 DORA要求金融机构维持一个强有力的信通技术风险管理框架和mdash;这一义务直接流向下游支持其基本服务和产品的技术提供者。 如果你向一家欧洲银行出售关键的基础设施、云或软件,DORA现在是你合同谈判的一部分,无论你总部设在法兰克福还是旧金山。

金融部门现在必须展示的

• A 记录的、董事会一级的信通技术风险管理框架,而不是一个没有人读过
• 的政策文件夹。 在严格、界定的窗口内向主管当局报告事件
• 定期复原力测试,包括对重要实体进行以威胁为主导的渗透测试
• 监督及对关键信通技术第三方供应商的合同控制

就我们而言,我们看到测试要求的改变对话速度最快。 DORA下的威胁引导渗透测试不是复选箱扫描. 这是一个由情报驱动的工作,旨在回答一个具体问题:如果一个有能力、有动机的攻击者将我们最关键的职能作为目标,我们是否仍然能够结清付款、处理索赔或保持分类账直线?

注:DORA目前处于运行和维护阶段. 监管机构和机构正在从真实测试和真实事件报告中吸取经验教训,这些经验教训有可能形成其他部门的最佳做法,特别是在业务连续性和供应链安全方面。 如果DORA是专门工具,那么NIS2是通用工具。 2022年12月通过的(欧盟)第2022/2555号指令用一个涵盖18个关键部门的统一法律框架取代和加强原先的NIS指令,一般适用于中大公司。 两者之间的关系值得精确的表述,因为它会让人感到兴奋. 金融部门被排除在2新谢克尔之外,因为DORA是 " em>lex pecial & mdash;凌驾于一般法律之上的具体法律。 如果你是银行 你跟着DORA 如果您是电信运营商、供水公司、医院、数字供应商或某行业的制造商,请将新谢克尔2作为您的基线。

NIS2将酒吧从几个方向同时提升。 它将风险管理和通知责任扩展到更多的部门和mdash;包括电信,电信以前有自己的单独制度。 它要求更新国家网络安全战略。 它对供应链安全提出了更严格的要求。 它推动问责制向上发展:高级管理人员现在应该拥有网络安全成果,而不是将其下放给技术小组和希望。 这是摩擦 NIS2是一种指令,这意味着每个成员国必须将其写入国内法. 多数行动很慢。 西班牙于2025年1月16日启动了转换进程,就网络安全协调和治理法初稿进行了公众协商。 其他国家处于不同阶段,有些更远,有些还落后。 这种交错的时间给跨国公司造成了一种真正尴尬的局面:同一公司在一个国家可以完全进入范围,而在另一个国家几乎无法管理,报告门户不同,门槛不同,监督机构也不同。 该指令还设想废除以前在一般电信法中存在的部门网络安全义务,并且必须与CER指令对关键实体的义务保持一致。 注意: 在您采取行动之前, 请不要等待您的国家转换完成 。 指令文本中已明确列出义务和mdash;风险评估、安全措施、在短时间内报告事件、可证明的遵守和mdash;。 起步较晚的公司将在截止日期内建立控制。

CRA: 安全降临到产品本身

第三波以前两波为攻击目标, 基本上只针对你购买的产品。 2024/2847号条例,"网络复原力法"于2024年12月10日生效. 其主要义务从2027年12月11日 & mdash; 这个日期听起来很遥远, 直至您计算相关工作为止。

在DORA和NIS2规范服务提供的地方,CRA规范有数字元素的产品:软件和硬件,从消费设备到工业部件. 它之所以存在,是因为市场一直供应不足。 购买者无法轻易判断某一产品是否在安全前提下建造,而且制造商在销售后几乎没有投资的积极性。

CRA改变了一套相互交错的责任:

• 设计安全,从一开始就植入产品,而不是在产品整个支持寿命的
• 脆弱性管理上栓塞。 CE标记元素是需要观看的. 它将网络安全从营销主张变为市场准入条件,同样,CE标记已经为电气安全服务。 如果您的产品不符合要求, 您不会仅仅面临声誉损害 & mdash; 您面临无法将它投放到欧洲市场 。 CRA也与诸如美国IoT设备的网络信托标记等标签举措并列,这是国际上在购买点使安全明显和具有可比性的更大推动的一部分。

  " 在Collide & mdash的三条条例;以及在它们帮助

  的地方。 一起阅读,这三种仪器覆盖了惊人的地面. 下表概括了遵约小组需要铭记的实际差异。

  t>dRAdRA/dRArRAtdd> 金融实体及其信通技术供应商 d>NIS218 关键部门、中大公司 在国内转换 风险管理和事故报告CRA 自2027年12月11日起,带有数字元素的产品的制造者

  条例	击中谁	生效	核心需求
  17 2025年1月	业务复原力和第三方风险
  主要职责	安全设计、更新、CE标识

  复杂性不仅存在于每项条例中。 它们之间的互操作性、不一致的最后期限以及不同的主管当局将解释和执行这些期限。 作为银行、软件供应商和连接设备制造商的公司可以合理地认为,它同时对三个不同的监督制度负责,每个监督制度都有自己的报告平台和自己对“及时通知”的含义的看法。 这是当局面临的真正挑战所在。 监管者必须尽可能促进简化,包括在事故管理和报告平台以及认证制度中。 它们必须确保提供资源,向企业提供咨询,并有效协调各部门的工作,以免重叠的义务成为相互矛盾的义务。

  认证为逃逸舱

  一个实际的线索贯穿了所有这一切:既定的安全计划和国际认证,例如ISO 27000家族正在巩固,成为可促进遵守的连接组织。 如果您的组织已经运行了一个成熟的ISMS, 您不会从零开始 。 您正在将已有的控件映射为新义务 & mdash; 这是比从零开始构建要便宜得多的工作 。

  对于投资于真正的安全工程而不是文书工作的公司来说,新制度的负担比看起来要小。 困难最大的组织是那些其控制仅存在于纸面上的组织,因为这些条例越来越多地要求提供证据:测试结果、事件时间表、供应链证明、合规性评估。 重要:这些条例将举证责任转移给你。 通过测试、记录和报告 & mdash; 证明遵守和mdash; 现在与实现这一点同样重要。 未测试的控制和缺失的控制看起来与主管完全相同。

  这对你的安全方案意味着什么

  从法律细节后退一步,并出现了一个连贯的情景。 欧洲决定数字复原力是基础设施,而不是信息技术问题,欧洲正在利用监管手段迫使市场采取相应行动。 这三种工具从三个角度来对付这一问题:金融系统的连续运作(DORA),关键部门的基线卫生(NIS2),以及每个人依赖的产品的安全(CRA)。 对于一个安全领导人来说,实际的对策不是建立三个单独的遵守方案。 它将建立一个强有力的安全方案,并将其向外映射。 从你的关键服务开始 诚实的风险评估 清点你的供应商 了解其中哪些是关键 让你的事故侦测和报告能力 达到一个标准 你可以满足24小时 通知窗口,没有恐慌。 而测试 & mdash; 真实测试 & mdash; 您声称拥有的控件, 因为这些制度中每一个最终都要求证明 。

  最后期限交错,但并不慷慨。 DORA已经直播了. 新谢克尔2的义务按国家具体化。 CRA的主要职责于2027年12月落地,对于大多数硬件制造者来说,这大约是两个完整的产品开发周期. 将这一点视为加强业务的战略机会,而不是为生存而进行文书工作的组织,不仅会发现自己符合要求,而且确实更难违反。 这归根结底是重点。