DORA of NIS2: welke geldt voor mijn (logistieke) organisatie?

Kort antwoord: Voor een logistieke organisatie is NIS2 vrijwel altijd het relevante kader, niet DORA. NIS2 noemt transport (lucht, spoor, weg, water) uitdrukkelijk als essentiële sector. DORA geldt alleen voor financiële entiteiten. Bent u beide tegelijk — bijvoorbeeld een vervoerder met een betaalvergunning — dan gaat DORA voor dat onderdeel als specifiekere regel voor.

Twee kaders met verschillend toepassingsgebied

DORA (Verordening (EU) 2022/2554) en NIS2 (Richtlijn (EU) 2022/2555) regelen allebei digitale weerbaarheid, maar voor verschillende doelgroepen. DORA richt zich op een limitatief opgesomde lijst van financiële entiteiten: banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, instellingen voor elektronisch geld en hun kritieke ICT-dienstverleners. De verordening is van toepassing sinds 17 januari 2025. Een logistieke onderneming valt niet onder die opsomming en valt dus niet onder DORA — tenzij zij zelf een gereguleerde financiële activiteit uitoefent.

NIS2 hanteert een sectorale en omvanggebaseerde insteek. De richtlijn bestrijkt achttien sectoren, waaronder transport, dat als essentiële sector is aangemerkt. Voor een logistieke organisatie is de vraag dus niet of de sector binnen het bereik valt, maar of de onderneming groot genoeg is. Middelgrote en grote ondernemingen (in de regel vanaf circa 50 werknemers) vallen doorgaans onder NIS2; micro- en kleine ondernemingen meestal niet, met uitzonderingen voor kritieke partijen.

Wat als beide van toepassing lijken?

Een organisatie kan in theorie onder beide kaders vallen, bijvoorbeeld wanneer een logistieke groep een eigen betaal- of financieringsentiteit heeft. NIS2 anticipeert hierop. De richtlijn bepaalt dat waar een sectorspecifieke Uniehandeling eisen stelt die ten minste gelijkwaardig zijn aan die van NIS2, die specifiekere handeling voorrang heeft. DORA wordt in dat verband uitdrukkelijk als zo'n lex specialis voor de financiële sector behandeld. Voor het financiële onderdeel gelden dan de DORA-verplichtingen voor ICT-risicobeheer, incidentmelding en oversight van derde-ICT-dienstverleners; voor de niet-financiële onderdelen blijven de NIS2-verplichtingen het uitgangspunt. Toetst u dit per entiteit en per activiteit, want de afbakening volgt de gereguleerde activiteit, niet de naam van het concern.

Nationale omzetting bepaalt de details

DORA is een verordening en werkt rechtstreeks in alle lidstaten, met uniforme verplichtingen. NIS2 is een richtlijn en moet in nationaal recht worden omgezet; in Nederland gebeurt dat via de Cyberbeveiligingswet. De omzettingstermijn liep af op 17 oktober 2024 en de implementatie verschilt per lidstaat. De precieze drempels, sectorafbakening en uitzonderingen voor uw situatie staan daarom in de nationale wetgeving van het land waar u actief bent. Bepaal eerst uw type entiteit en activiteit, en raadpleeg vervolgens de toepasselijke nationale wet voor de exacte verplichtingen en termijnen.

Lees ook: Transport & Logistiek. Doe de scan.