DORA es lex specialis para las entidades financieras de la UE: sustituye la mayoría de las obligaciones del artículo 21 de NIS2 para el sector al que se aplica. Cybsis 2.0 incluye DORA con el marco de gestión de riesgos TIC, el flujo de clasificación y notificación de incidentes, el registro de terceros y el alcance de las pruebas de penetración basadas en amenazas.
Los CTPSP (proveedores terceros críticos de servicios, por ejemplo, proveedores cloud) quedan bajo supervisión directa de las ESA, una categoría reflejada en el Registro de proveedores de servicios.