Diferencias entre NIS2, DORA y CRA
La pregunta decisiva es qué se regula: la organización y sus sistemas, la resiliencia financiera o el producto hardware/software comercializado.
NIS2
Abarca entidades medianas y grandes de sectores críticos, más determinadas entidades identificadas, y exige gobierno, medidas de riesgo e incidentes según transposición.
DORA
Se aplica directamente a entidades financieras incluidas y estructura la resiliencia operativa digital, pruebas, incidentes y riesgo de terceros TIC.
CRA
Se dirige a productos con elementos digitales puestos en el mercado de la UE y a sus fabricantes, importadores, distribuidores y gestores de software de código abierto cuando proceda.
Solapamientos
Una empresa financiera puede aplicar DORA en lugar de ciertas reglas NIS2; un proveedor puede estar afectado como entidad y como fabricante. Documenta la regla sectorial aplicable.
Del requisito al expediente
Relaciona entidad, activo, proceso, producto, proveedor, contrato, control, evidencia, vulnerabilidad, incidente, plazo, notificación y responsable. Code Contract coordina la prueba; no sustituye al CISO, al supervisor ni al fabricante.