Iniligtas kayo ng DORA sa NIS2. Hindi kayo maililigtas nito sa CRA.

TL;DR. Sa 11 Setyembre, sisimulan ng CRA ang 24-oras na taning sa pag-uulat. Nakakabit ang tungkulin sa produkto, kaya hindi ito naaabot ng eksempsiyon ng DORA sa NIS2.

Mga Pangunahing Punto

Ano ang talagang nagsisimula sa 11 Setyembre. Nagkabisa ang CRA noong 10 Disyembre 2024 na may hakbang-hakbang na iskedyul ng pagpapatupad, at ang pagiging hakbang-hakbang mismo ang naglalaho sa daan.
Bakit hindi ito naaabot ng eksempsiyon ng DORA. Dito mas mahalaga ang katumpakan kaysa karaniwan, sapagkat ang pangangatwirang nagbubunga ng maling sagot ay tunay na mahusay na pangangatwiran — isang regulasyon lamang ang labis na nilayo.
Kayo ba ay gumagawa? Walang sumagot nito para sa inyo. Ang tapat na paninindigan dito ay bukas ang tanong sa halip na nalutas na, at ang bangkong maghihintay sa paglutas nito ay maghihintay lampas na sa petsa.
Ang banggaan ng mga orasan. Ipagpalagay muna nating naghahatid ang pagsusuri sa saklaw ng kahit isang produkto.

Sa loob ng tatlumpu't siyam na araw, sisimulan ng Regulasyon sa Katatagang Saybernetiko ang isang dalawampu't apat na oras na orasan ng pag-uulat, at hindi ito napipigil ng eksempsiyong inaabot ng bawat bangko. Tanungin ninyo ang isang institusyong pampinansiya kung saklaw sila ng NIS2, at dadaloy ang sagot nang walang tigil: lex specialis ang DORA, umuurong ang Artikulo 4 ng NIS2 kapag may batas-sektoral na sumasaklaw sa parehong larangan, at iniuulat ng bangko ang mga insidente sa ICT sa karampatang awtoridad nito sa halip na sa isang CSIRT. Tama ang sagot na iyon. Malapit na rin itong ibigay, nang mali, sa isang tanong tungkol sa ibang-iba nang regulasyon. Hindi mga entidad ang inaayos ng CRA. Mga produkto ang inaayos nito, at ipinapataw ang tungkulin sa sinumang gumagawa ng mga ito. Wala sa artikulo ng saklaw nito ang anumang eksempsiyon para sa mga serbisyong pampinansiya, sapagkat ang eksempsiyong isinulat para sa batas ng mga entidad ay walang makakapitan sa batas ng mga produkto. Mula 11 Setyembre 2026, ang bangkong naglalagay ng software sa pamilihan ay may utang na maagang babala sa ENISA sa loob ng dalawampu't apat na oras — at may utang nito bilang karagdagan sa DORA, hindi bilang kapalit.

Buod para sa Pamunuan

Umaandar nang petsa, hindi abot-tanaw. Ipinatutupad ang Artikulo 14 mula 11 Setyembre 2026. Naghihintay ang iba pang bahagi ng CRA hanggang 11 Disyembre 2027, at sa agwat ng dalawang katotohanang ito nakatira ang pagkakamali sa pagpaplano.

Ang inihahatid ninyo ang nagtatakda ng saklaw, hindi kung ano kayo. Ibang rehimen ng produkto ang mga eksempsiyon ng CRA — kagamitang medikal, sasakyan, abyasyon, kagamitang pandagat. Wala roon ang pagbabangko, at hindi rin naman ito inaasahang mapabilang.

Pagsasamantala ang pampasimula, hindi bigat. Pinaaandar ng aktibong sinasamantalang kahinaan ang orasan kahit walang kliyenteng naapektuhan at kahit walang mabibilang na malubhang insidente sa ilalim ng DORA.

Wala pang nagmamay-ari nito ngayon. Sa katatagang operasyonal nakatira ang pag-uulat sa DORA. Sa itinuturing na gumagawa nakatira ang pag-uulat sa CRA — isang tungkuling hindi kailanman itinalaga ng karamihan sa mga bangko.

Ano ang talagang nagsisimula sa 11 Setyembre

Nagkabisa ang CRA noong 10 Disyembre 2024 na may hakbang-hakbang na iskedyul ng pagpapatupad, at ang pagiging hakbang-hakbang mismo ang naglalaho sa daan.

Ang ganap na pagpapatupad — ang mahahalagang kahingian sa seguridad saybernetiko sa Annex I, ang pagtatasa ng pagsunod, ang markang CE, ang teknikal na dokumentasyon — ay bumabagsak sa 11 Disyembre 2027. Nagbukas noong 11 Hunyo 2026 ang pag-aabiso sa mga katawang nagtatasa ng pagsunod. Sa pagitan ng dalawa nakalatag ang petsang mahalaga sa quarter na ito: ang 11 Setyembre 2026, kung kailan nagsisimula ang mga tungkulin sa pag-uulat sa Artikulo 14.

Tatlong-baitang ang estruktura ng pag-uulat, at mas masikip ito kaysa sa unang pagkabasa.

Maagang babala sa loob ng 24 oras mula nang malaman ng gumagawa ang isang aktibong sinasamantalang kahinaan, o isang malubhang insidenteng may epekto sa seguridad ng produkto.
Ganap na abiso sa loob ng 72 oras, dala ang teknikal na detalye at ang mga hakbang na pantuwid o pampalubag na isinagawa.
Panghuling ulat sa loob ng 14 araw matapos maging magagamit ang hakbang na pantuwid para sa aktibong sinasamantalang kahinaan, o sa loob ng isang buwan mula sa abiso para sa malubhang insidente.

Dumaraan ang mga ulat sa iisang plataporma ng pag-uulat ng CRA na pinapatakbo ng ENISA. Isang beses lamang naghahain ang gumagawa, sa CSIRT na itinalagang tagapag-ugnay sa estadong kasapi kung saan naroon ang pangunahing pinagpapatakbuhan nito; ginagawang magagamit ng plataporma ang abiso sa ENISA nang sabay, at ipinapasa ng tumatanggap na CSIRT ang abiso sa iba pang CSIRT sa mga teritoryong pinamamahagian ng produkto. Inaalis ng disenyong isahang paghahain na ito ang isang dahilang administratibo, ngunit hindi nito pinalalambot ang orasan.

Pansinin ang pampasimula. Hindi bigat, hindi epekto sa kliyente — kundi pagsasamantala. Ang kahinaang aktibong sinasamantala sa aktuwal na kapaligiran ay nagbubukas ng tungkuling 24 oras, may napinsala man o wala, at anuman ang uri ng pagbibilang sa parehong pangyayari sa ibang lugar.

Bakit hindi ito naaabot ng eksempsiyon ng DORA

Dito mas mahalaga ang katumpakan kaysa karaniwan, sapagkat ang pangangatwirang nagbubunga ng maling sagot ay tunay na mahusay na pangangatwiran — isang regulasyon lamang ang labis na nilayo.

May mekanismo ng pag-urong ang Artikulo 4 ng NIS2: kapag hinihingi ng isang batas-sektoral ng Unyon sa mga entidad na magpatibay ng mga hakbang sa pamamahala ng panganib sa seguridad saybernetiko o mag-abiso ng mahahalagang insidente, at hindi bababa sa katumbas ang bisa ng mga kahingiang iyon, hindi ipatutupad ang katumbas na mga probisyon ng NIS2. Ganitong batas mismo ang DORA. Kaya pinamamahalaan ng isang institusyong pang-utang ang panganib sa ICT at inaabisuhan ang malubhang insidente sa ilalim ng DORA, at umuurong ang kaagapay na tungkulin ng NIS2. Kabisado ito ng bawat tanggapan ng usaping regulatoryo.

Tatlong bagay ang bumabasag sa pagtutulad sa oras na dalhin ito sa CRA.

Sa loob ng NIS2 nakatira ang mekanismo. Isang probisyon ng Direktiba (EU) 2022/2555 ang Artikulo 4 na nag-aalis ng mga probisyon ng Direktiba (EU) 2022/2555. Hindi ito pangkalahatang prinsipyong nagsasabing inaalis ng rehimeng sektoral ng isang entidad na pampinansiya ang lahat ng iba pa. Hindi ito makapapasok sa Regulasyon (EU) 2024/2847 upang may patayin doon, sapagkat walang anuman sa CRA ang nasasakop nito.

Mga produkto ang inaayos ng CRA, hindi mga entidad. Parehong nagtatanong ang DORA at NIS2 ng anong uri kayong organisasyon. Nagtatanong ang CRA ng ano ang inilagay ninyo sa pamilihan. Magkaiba ang mga tanong na ito, at hindi tumatayo ang mga argumento ng pagkakatumbas sa pagitan nila: sa anumang kahulugan, hindi "katumbas sa bisa" ang rehimen ng pag-uulat ng DORA sa tungkulin ng gumagawa na babalaan ang isang CSIRT na sinasamantala ang isang naipadalang produkto, sapagkat magkaibang populasyon ang pinangangalagaan nila. Pinangangalagaan ng DORA ang sistemang pampinansiya sa pamamagitan ng tagapangasiwa. Pinangangalagaan ng Artikulo 14 ang bawat isang nagpapatakbo ng produkto, sa pamamagitan ng network ng CSIRT.

Ibang hugis ang mga eksklusyon. Inaalis ng artikulo ng saklaw ng CRA ang mga produktong sakop ng ibang batas-sektoral na pang-produkto — kagamitang medikal sa ilalim ng Regulasyon (EU) 2017/745 at 2017/746, sasakyan sa ilalim ng Regulasyon (EU) 2019/2144, sibil na abyasyon sa ilalim ng Regulasyon (EU) 2018/1139, kagamitang pandagat sa ilalim ng Direktiba 2014/90/EU — pati na ang mga kapalit na piyesang gawa ayon sa magkatulad na espesipikasyon at ang mga produktong binuo nang tanging para sa layuning pambansang seguridad o depensa. Walang eksklusyon para sa mga serbisyong pampinansiya, at wala ring para sa mga produktong ginawa ng mga entidad na inaayos ng DORA. Hindi ito pagkukulang na itutuwid ng mga alituntunin. Ito ang nangyayari kapag sumulat ang mambabatas ng batas ng mga produkto: hindi industriya ang inaalis niya, kundi ibang rehimen ng produkto.

Talahanayan 1: tatlong rehimen, at alin ang umuurong

	DORA	NIS2	CRA
Inaayos	Mga entidad na pampinansiya	Mahahalaga at importanteng entidad	Mga produktong may digital na elemento
Nasa kanino ang tungkulin	Sa institusyon	Sa institusyon	Sa gumagawa
Pampasimula ng pag-uulat	Insidenteng inuri bilang malubha	Mahalagang insidente	Aktibong sinasamantalang kahinaan o malubhang insidente
Kanino ipinadadala	Sa karampatang awtoridad	Sa CSIRT o karampatang awtoridad	Sa CSIRT ng pangunahing pinagpapatakbuhan, at ENISA
Naaalis ba para sa mga bangko?	Hindi — ito mismo ang lex specialis	Oo, sa pamamagitan ng Artikulo 4 ng NIS2	Hindi — walang anumang nag-aalis nito

Kayo ba ay gumagawa? Walang sumagot nito para sa inyo

Ang tapat na paninindigan dito ay bukas ang tanong sa halip na nalutas na, at ang bangkong maghihintay sa paglutas nito ay maghihintay lampas na sa petsa.

Naaabot ng CRA ang mga produktong may digital na elemento na inilalagay sa pamilihan — inilalaan para sa pamamahagi o paggamit sa takbo ng aktibidad na komersiyal. Mula sa pananalitang iyon, agad na sumusunod ang dalawang bunga.

Hindi ang presyo ang panukat. Kabilang sa saklaw ang software na inilalaang walang bayad kung inilalaan ito sa takbo ng aktibidad na komersiyal. Sa aktibidad na komersiyal umiikot ang sariling pagbabalangkas ng Komisyon hinggil sa open source, hindi sa pagbabayad; at ang bangkong namamahagi ng aplikasyon upang makakuha at mapaglingkuran ang mga kliyenteng nagbabayad ay hindi kumikilos sa labas ng takbo ng aktibidad na komersiyal. Ang hilig na sabihing "libre naman naming ibinibigay ang app, kaya hindi kami nagbebenta ng produkto" ang pinakakaraniwang dahilan kung bakit nanatiling hindi nabubuksan ang talaang ito, at ito ang pinakamahina sa mga argumentong magagamit.

Talagang nasa labas ang software na panloob lamang. Hindi natatabunan ang mga produktong hindi inilalagay sa pamilihan — ang plataporma ng core banking, ang mga panloob na kasangkapan, lahat ng hindi kailanman inilalaan sa labas ng institusyon. Tunay at malaking eksklusyon ito, at ito ang dahilan kung bakit mas makitid ang panganib kaysa sa ipinapahiwatig ng nagpapanic na bersiyon ng pagsusuring ito.

Kaya hindi ang tanong ay kung nasasakop ba ang bangko bilang entidad. Ang tanong ay kung anong tiyak na mga produkto ang inilalaan nito. Apat na kategorya ang nararapat imbentaryuhin bago pa man magpasiya ang sinuman:

Ang aplikasyon ng mobile banking, na ipinamamahagi sa madlang publiko sa pamamagitan ng mga app store. Kung ang app na nakaharap sa kliyente ay produktong inilalaan para gamitin, o interface lamang sa serbisyong ibinibigay ng bangko, iyon ang tunay na pinagtatalunang tanong — at pinagtatalunan ito, hindi nalutas pabor sa bangko.
Ang mga produktong nakaharap sa developer: mga SDK, aklatang panggamit, kasangkapan sa API at sanggunian ng implementasyon na inilalathala para sa mga kliyenteng korporatibo o katuwang. Higit na kahawig ng inilalaang produkto ang mga ito at higit na hindi kahawig ng interface ng serbisyo.
Ang mga proyektong open source na inilalathala at inaalagaan ng institusyon bilang bahagi ng aktibidad nitong komersiyal, kung saan maaari ring pumasok ang mga probisyon hinggil sa tagapangalaga (steward).
Ang software na white-label o nakabaon na ipinapasa ng bangko sa mga katuwang sa ilalim ng sarili nitong pangalan — ang pinakamabilis na daan mula gumagamit tungong gumagawa sa alinmang rehimen ng produkto sa EU.

Hindi paghahayag ng konklusyon ang tapat na tindig sa pagpaplano. Ito ay pag-iimbentaryo sa mga produkto, pagsusulat ng may-katwirang paninindigan sa bawat isa, at pagkakaroon ng kakayahang ipakita ang pangangatwirang iyon kapag itinanong ng isang CSIRT kung bakit walang dumating na abiso.

Ang banggaan ng mga orasan

Ipagpalagay muna nating naghahatid ang pagsusuri sa saklaw ng kahit isang produkto. Ang nagbabago sa antas ng operasyon ay hindi ang pag-iral ng proseso ng insidente — mayroon nito ang mga bangko — kundi ang katotohanang dalawang proseso na ngayon ang tumatakbo sa iisang pangyayari na may magkaibang parametro.

Pumapasok sa aktibong pagsasamantala ang isang kahinaan sa SDK na inilathala ng isang bangko. Nagtatanong ang DORA kung malubhang insidenteng may kaugnayan sa ICT ito na tumatama sa institusyon; kung oo, tumutungo ang paunang abiso sa karampatang awtoridad sa loob ng apat na oras mula sa pag-uuring iyon at sa anumang pagkakataon sa loob ng 24 oras mula nang malaman, kasunod ang panggitna at panghuling ulat. Ibang-iba ang tinatanong ng Artikulo 14 — sinasamantala ba ang isang produktong ginawa ng institusyong ito — at pinaaandar nito ang sarili nitong 24-oras na maagang babala patungo sa isang CSIRT at sa ENISA.

Maaaring maghiwalay ang dalawa sa magkabilang direksiyon, at iyon mismo ang nagpapadelikado sa anumang pinagsamang proseso.

Ang sinasamantalang kahinaan sa naipadalang SDK na hindi naman nakagagambala sa sariling serbisyo ng bangko ay maaaring hindi malubhang insidente sa ilalim ng DORA habang nakaupo mismo sa gitna ng Artikulo 14. At sa kabilang banda, ang malubhang pagkawala ng serbisyo ng plataporma na binuo sa loob ay isang abiso sa DORA na walang anumang dimensiyong CRA, sapagkat walang inilagay sa pamilihan. Ang pagbuo ng iisang daloy na nagpapalagay na laging sabay pumuputok ang dalawa ay nagbubunga nang sabay ng mga maling negatibo at ng hindi kailangang ingay na regulatoryo.

Talahanayan 2: ano ang dapat matiyak bago mag-11 Setyembre

Tanong	Ano ang tinatakda nito sa inyong panganib
Anong mga produkto ang inilalaan namin sa labas ng institusyon?	Bawat produkto ang batayan ng saklaw; walang sagot sa antas ng entidad
Sa bawat isa, may nakasulat bang paninindigan hinggil sa katayuan bilang gumagawa?	Hindi depensa ang palagay na walang dokumentasyon
Nasaan ang pangunahing pinagpapatakbuhan namin para sa layuning CSIRT?	Tinatakda kung aling pambansang CSIRT ang tatanggap ng paghahain
Nakarehistro ba kami sa iisang plataporma ng pag-uulat ng ENISA?	Hindi sapat ang 24 oras upang matuklasan pa ang hakbang ng pagpaparehistro
May may-akda ba ang "aktibong sinasamantala" sa triage?	Naiiba ang pampasimulang ito sa bawat sukatan ng bigat na ginagamit na ninyo
Sino ang naghahain nang alas-3 ng madaling-araw ng Linggo?	Tunay na oras ang takbo ng dalawang orasan, hindi oras ng opisina

Ang bilang na nagtatakda ng prayoridad

Ang hindi pagsunod sa mahahalagang kahingian ng Annex I at sa mga tungkulin sa Artikulo 13 at 14 ay may kaakibat na multang administratibo hanggang 15 milyong euro o 2.5% ng kabuuang taunang pandaigdigang kita, alinman ang mas mataas. Isang baitang mas mababa ang iba pang tungkulin ng mga gumagawa, tagapag-angkat at tagapamahagi sa 10 milyong euro o 2%, at ang pagbibigay ng mali o nakaliligaw na impormasyon sa mga awtoridad sa 5 milyong euro o 1%.

Basahin ninyo ang pinakamataas na baitang katabi ng gawaing nakakabit dito. Ang pagtukoy kung nasasaklaw ba ang apat na kategorya ng produkto, ang pagpaparehistro sa isang plataporma ng pag-uulat, at ang pagdaragdag ng isang sanga sa umiiral nang gabay sa triage ay katamtamang gawain lamang, may pangalanang may-akda at limang linggong takbuhan. Hindi ito maihahambing sa programa ng pagtatasa ng pagsunod at teknikal na dokumentasyong naghihintay sa Disyembre 2027. Ang di-pagkakasukat sa pagitan ng panganib at ng halaga ng pagwawasto ang buong argumento, at ito ang bihirang argumento ng pagsunod na nakaliligtas sa pagsalubong sa isang pulong ng pagbibigay-prayoridad.

Ang gabay sa operasyon

Limang hakbang, at hindi opinyong legal ang una.

Imbentaryuhin ang lumalabas sa gusali. Hindi mga sistema — kundi mga produkto. Lahat ng inilalaan ng institusyon sa kaninuman sa labas, kasama ang mga libreng aplikasyon, inilathalang aklatan at imbakang open source. Wala ang gayong talaan sa karamihan ng bangko, sapagkat walang naunang regulasyong humingi nito.
Manindigan sa bawat produkto, nakasulat. Gumagawa o hindi, at bakit. Wala sa pagiging tama sa bawat linya ang halaga; nasa pagkakaroon ito ng pangangatwirang nauuna sa insidente sa halip na buuin pagkatapos.
Magparehistro na ngayon sa iisang plataporma ng pag-uulat. Ang rehistrasyon, mga kredensiyal at pangalanang taga-hain ang mismong uri ng paunang kailangan na nananatiling di-nakikita hanggang umaandar na ang orasang 24 oras.
Ihiwalay ang pampasimula sa triage. Magdagdag ng isang tahasang tanong — aktibong sinasamantala ba ang isang produktong ginagawa namin — na tinatasa nang hiwalay sa pag-uuri ng malubhang insidente sa ilalim ng DORA. Ang pagiging hiwalay ang punto: minamana ng nakabaong pagsusuri ang maling hangganan.
Simulan ang gawaing SBOM laban sa petsang Disyembre 2027. Hinihingi ng Annex I ang isang talaan ng kagamitang software sa karaniwang pormat na mababasa ng makina, na sumasaklaw kahit man lamang sa mga dependensiya sa pinakamataas na antas. Labing-anim na buwan pa ang tungkuling iyon, at ito rin ang parehong suliranin ng pagbibilang na kinabibiguan na ng mga institusyon sa panig na kriptograpiko.

Hindi bago ang padrong ito. Iginuguhit ang isang rehimen na nasa isip ang isang partikular na industriya, binabasa ng mga institusyong pampinansiya ang pangalan ng industriyang iyon, at napagpapasiyahang sa iba ang talaan. Isinulat ang CRA para sa mga gumagawa ng device at tagapagtustos ng software. Naaabot pa rin nito ang bangko — sa makitid na puwang kung saan nagkataóng isa sa kanila ang bangko. At ang eksempsiyong uunahing abutin ng lahat ay isinulat sa ibang batas, para sa ibang layunin, at hindi ipinatutupad dito.

Mga madalas itanong

Nag-uulat kami sa ilalim ng DORA. Hindi ba sapat iyon?
Hindi. Inaalis ng DORA ang kaagapay na tungkulin ng NIS2 sa pamamagitan ng mekanismo ng pag-urong ng mismong Artikulo 4 ng NIS2. Panloob sa NIS2 ang mekanismong iyon at walang bisa ito sa Regulasyon (EU) 2024/2847. Sa mga gumagawa ng produkto ipinapataw ng CRA ang tungkulin, hindi sa mga entidad na pampinansiya, kaya walang anumang maaalis ng argumentong lex specialis.

Nasasaklaw ba ang aming app sa mobile banking?
Iyon mismo ang tunay na bukas na tanong, at dapat itong sagutin nang sinasadya sa halip na ipagpalagay. Ang app ay software na may koneksiyon ng datos, inilalaan sa publiko sa takbo ng aktibidad na komersiyal — iyan ang pananalita ng batas. Ang kabaligtarang argumento ay interface ito sa isang serbisyong inaayos ng batas, hindi produktong inilalaan para gamitin. Idokumento ang isang paninindigan; huwag sumandal sa pagiging libre nito, sapagkat hindi ang presyo ang panukat.

Ano nga ba ang nagpapasimula sa 24 oras?
Ang malaman ninyo ang isang kahinaan sa inyong produkto na aktibong sinasamantala, o ang isang malubhang insidenteng may epekto sa seguridad ng produkto. Pagsasamantala ang pampasimula, hindi bigat at hindi epekto sa kliyente — kaya nga hindi ito tumutugma sa pag-uuri ng malubhang insidente ng DORA.

Kanino kami talaga naghahain?
Sa pamamagitan ng iisang plataporma ng pag-uulat ng CRA sa ENISA, na nakapangalan sa CSIRT na itinalagang tagapag-ugnay sa estadong kasapi kung saan naroon ang inyong pangunahing pinagpapatakbuhan. Sabay itong natatanggap ng ENISA, at ibinabahagi ng tumatanggap na CSIRT sa mga CSIRT ng iba pang teritoryong pinamamahagian ng produkto. Isang paghahain, hindi marami.

May iba pa bang nagsisimula sa Setyembre?
Wala. Ang mga tungkulin lamang sa pag-uulat sa Artikulo 14. Ang mahahalagang kahingian sa seguridad saybernetiko, ang tungkuling SBOM, ang pagtatasa ng pagsunod, ang teknikal na dokumentasyon at ang markang CE ay pawang ipinatutupad mula 11 Disyembre 2027. Ang ituring ang Setyembre bilang buong talaan ay salamin lamang ng pagbabalewala rito.

Magkano ang halaga kung mali ang pagtaya namin sa saklaw?
Ang paglabag sa Artikulo 13 at 14 at sa mahahalagang kahingian ng Annex I ay may multang hanggang 15 milyong euro o 2.5% ng kabuuang taunang pandaigdigang kita, alinman ang mas mataas. Mas agarang halaga ang panig-pamamaraan: hindi maaaring lunasan nang paurong ang napalampas na maagang babala, at ang sandaling matuklasan ng isang institusyon na gumagawa pala ito ay hindi dapat maging ang sandaling itinatanong ng isang CSIRT kung bakit walang dumating na abiso.

Mga Sanggunian

Parlamento Europeo at Konseho ng Unyong Europeo, 2024. Regulasyon (EU) 2024/2847 hinggil sa pahalang na kahingian sa seguridad saybernetiko para sa mga produktong may digital na elemento (Regulasyon sa Katatagang Saybernetiko). Brussels: Opisyal na Pahayagan ng Unyong Europeo. Makukuha sa: Parlamento Europeo at Konseho ng Unyong Europeo, 2024..
Komisyon Europeo, 2026. Regulasyon sa Katatagang Saybernetiko — mga tungkulin sa pag-uulat. Brussels: Direktorat-Heneral para sa mga Network ng Komunikasyon, Nilalaman at Teknolohiya. Makukuha sa: Komisyon Europeo, 2026..
Komisyon Europeo, 2026. Ang Regulasyon sa Katatagang Saybernetiko — buod ng tekstong lehislatibo. Brussels: Direktorat-Heneral para sa mga Network ng Komunikasyon, Nilalaman at Teknolohiya. Makukuha sa: Komisyon Europeo, 2026..
Parlamento Europeo at Konseho ng Unyong Europeo, 2022. Direktiba (EU) 2022/2555 hinggil sa mga hakbang para sa mataas na magkatulad na antas ng seguridad saybernetiko sa buong Unyon (Direktibang NIS 2). Brussels: Opisyal na Pahayagan ng Unyong Europeo. Makukuha sa: Parlamento Europeo at Konseho ng Unyong Europeo, 2022..
Parlamento Europeo at Konseho ng Unyong Europeo, 2022. Regulasyon (EU) 2022/2554 hinggil sa katatagang operasyonal na digital para sa sektor pampinansiya (DORA). Brussels: Opisyal na Pahayagan ng Unyong Europeo. Makukuha sa: Parlamento Europeo at Konseho ng Unyong Europeo, 2022..

Huling sinuri 2026-08-16.

Muling i-publish ang artikulong ito

Iniligtas kayo ng DORA sa NIS2. Hindi kayo maililigtas nito sa CRA. — Sebastien Rousseau

Sa 11 Setyembre, sisimulan ng CRA ang 24-oras na taning sa pag-uulat. Nakakabit ang tungkulin sa produkto, kaya hindi ito naaabot ng eksempsiyon ng DORA sa NIS2.

Ang artikulong ito ay nakapailalim sa lisensya ng Creative Commons Attribution 4.0 International. Kailangan ng pagkilala sa canonical URL para sa muling pag-publish.

Iniligtas kayo ng DORA sa NIS2. Hindi kayo maililigtas nito sa CRA. — Sebastien Rousseau

Sa 11 Setyembre, sisimulan ng CRA ang 24-oras na taning sa pag-uulat. Nakakabit ang tungkulin sa produkto, kaya hindi ito naaabot ng eksempsiyon ng DORA sa NIS2.

Originally published at https://sebastienrousseau.com/fil/2026-08-03-cyber-resilience-act-article-14-reporting-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER