Welke documentatie is vereist voor NIS2?

in

De NIS2-richtlijn vereist een uitgebreide set aan documentatie om compliance aan te tonen aan toezichthouders. Deze kernset omvat minimaal een risicoanalyse, beveiligingsbeleid, incidentresponseplan, bedrijfscontinuïteitsplan en supply chain security-documentatie. Organisaties die onder NIS2 vallen, moeten deze documenten niet alleen opstellen, maar ook actueel houden en kunnen overleggen bij inspecties. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-documentatievereisten.

Welke documenten moet je hebben voor NIS2-compliance?

Voor NIS2-compliance heb je een kernset van verplichte documenten nodig die samen aantonen dat jouw organisatie cybersecurityrisico’s adequaat beheerst. De wettelijke basis hiervoor ligt in artikel 21 van de NIS2-richtlijn, dat specifieke maatregelen voorschrijft voor risicobeheer.

De essentiële documenten omvatten:

  • Risicoanalyse en beveiligingsbeleid: een gedocumenteerde aanpak voor het identificeren en behandelen van cybersecurityrisico’s
  • Incidentresponseplan: procedures voor het detecteren, melden en afhandelen van beveiligingsincidenten
  • Bedrijfscontinuïteitsplan: maatregelen om kritieke diensten te herstellen na een incident
  • Supply chain security-documentatie: beleid voor leveranciersbeveiliging en ketenrisico’s
  • Governancedocumenten: vastlegging van rollen, verantwoordelijkheden en bestuursaansprakelijkheid

Deze documenten zijn niet alleen een formaliteit. Toezichthouders gebruiken ze om te beoordelen of jouw organisatie daadwerkelijk voldoet aan de NIS2-vereisten. Met de eerste operationele deadlines in 2026 is het verstandig om nu al te beginnen met het op orde brengen van deze documentatie.

Wat is het verschil tussen NIS2-documentatie en bestaande ISO 27001-documenten?

Organisaties met een ISO 27001-certificering hebben al een stevige basis voor NIS2-compliance. De overlap is aanzienlijk: beide vereisen een risicoanalyse, beveiligingsbeleid en incidentmanagementprocedures. Toch kent NIS2 specifieke aanvullende eisen die ISO 27001 niet standaard afdekt.

De belangrijkste verschillen zitten in:

  • Meldingsverplichtingen: NIS2 vereist strikte meldingstermijnen aan autoriteiten (24 uur en 72 uur), terwijl ISO 27001 geen specifieke externe meldingstermijnen voorschrijft
  • Supply chain security: NIS2 stelt explicietere eisen aan documentatie rondom leveranciersrisico’s en ketenbeveiliging
  • Bestuursaansprakelijkheid: NIS2 vereist documentatie over persoonlijke aansprakelijkheid van bestuurders en hun cybersecuritykennis
  • Sectorspecifieke eisen: afhankelijk van je sector kunnen aanvullende documentatie-eisen gelden

Heb je al ISO 27001? Dan kun je je bestaande documentatie uitbreiden met NIS2-specifieke elementen. Dit bespaart tijd en zorgt voor een geïntegreerd managementsysteem.

Hoe stel je een NIS2-conforme risicoanalyse op?

Een NIS2-conforme risicoanalyse identificeert cybersecurityrisico’s die de continuïteit van jouw dienstverlening kunnen bedreigen. De analyse moet systematisch zijn, alle relevante dreigingen behandelen en leiden tot concrete maatregelen.

Het opstellen verloopt via de volgende stappen:

  • Inventarisatie van assets: breng alle kritieke systemen, data en processen in kaart
  • Dreigingsidentificatie: bepaal welke cyberdreigingen relevant zijn voor jouw organisatie
  • Kwetsbaarheidsbeoordeling: analyseer waar je organisatie kwetsbaar is
  • Impactbeoordeling: bepaal de gevolgen als een risico zich materialiseert
  • Maatregelenselectie: kies passende technische en organisatorische maatregelen
  • Documentatie en goedkeuring: leg alles vast en laat het bestuur formeel goedkeuren

NIS2 adresseert specifiek risico’s rondom netwerk- en informatiesystemen. Denk aan ransomware, datalekken en verstoring van kritieke diensten. De gemiddelde schade van een hack bedroeg in 2022 al € 270.000, wat het belang van een gedegen risicoanalyse onderstreept.

Welke incidentresponse-documentatie vereist NIS2?

NIS2 stelt strikte eisen aan incidentresponse-documentatie, met name vanwege de verplichte meldingstermijnen aan autoriteiten. Je hebt een compleet incidentresponseplan nodig dat beschrijft hoe je organisatie reageert op beveiligingsincidenten.

De vereiste documentatie omvat:

  • Incidentclassificatie: criteria om te bepalen welke incidenten meldplichtig zijn
  • Escalatieprocedures: wie wanneer moet worden geïnformeerd binnen de organisatie
  • Meldingsprocedures: hoe en aan wie externe meldingen worden gedaan
  • Communicatieprotocollen: interne en externe communicatie tijdens een incident

De meldingstermijnen zijn strikt: binnen 24 uur moet je een vroege waarschuwing geven aan de bevoegde autoriteit. Binnen 72 uur volgt een uitgebreidere incidentmelding met een eerste beoordeling van de ernst en impact. Deze termijnen vereisen dat je procedures vooraf goed zijn uitgewerkt en getest.

Hoe documenteer je supply chain security voor NIS2?

Supply chain security is een expliciet aandachtspunt binnen NIS2. Je moet documenteren hoe je organisatie omgaat met beveiligingsrisico’s die via leveranciers en ketenpartners kunnen ontstaan. Dit vereist een systematische aanpak van leveranciersbeheer.

De documentatie moet minimaal bevatten:

  • Leveranciersbeoordelingen: criteria en resultaten van beveiligingsbeoordelingen van leveranciers
  • Contractuele beveiligingseisen: afspraken over beveiliging in leverancierscontracten
  • Leveranciersrisicoregister: overzicht van leveranciers met hun risicoclassificatie
  • Monitoringprocedures: hoe je toezicht houdt op beveiligingsprestaties van leveranciers

In de praktijk betekent dit dat je leveranciers moet beoordelen op hun beveiligingsniveau en dit periodiek moet herzien. Vraag bijvoorbeeld om ISAE-verklaringen of SOC 2-rapporten van kritieke leveranciers.

Welke governancedocumenten zijn verplicht onder NIS2?

NIS2 legt expliciet verantwoordelijkheid bij het bestuur van organisaties. Dit vertaalt zich naar specifieke governancedocumentatie die de betrokkenheid en aansprakelijkheid van bestuurders vastlegt. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor non-compliance.

Verplichte governancedocumenten omvatten:

  • Rollen en verantwoordelijkheden: wie waarvoor verantwoordelijk is op het gebied van cybersecurity
  • Bestuursgoedkeuringen: bewijs dat het bestuur beveiligingsbeleid heeft vastgesteld en periodiek herziet
  • Trainingsregistraties: bewijs dat bestuurders en medewerkers cybersecuritytraining hebben gevolgd
  • Rapportagelijnen: documentatie van periodiek overleg en rapportage aan het bestuur

Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om cyberbeveiligingsrisico’s te beoordelen. Het inrichten van een rapportagelijn en periodiek overleg is hierbij essentieel. Zo weet het bestuur wat er speelt en kan het bijsturen waar nodig.

Hoe houd je NIS2-documentatie actueel en audit-proof?

NIS2-documentatie is geen eenmalige exercitie. Toezichthouders verwachten dat documenten actueel zijn en dat je kunt aantonen dat ze in de praktijk worden toegepast. Goed documentbeheer is daarom cruciaal voor compliance.

Praktische richtlijnen voor audit-proof documentatie:

  • Versiebeheer: houd bij welke versie geldig is en wat er is gewijzigd
  • Periodieke reviews: plan jaarlijkse of halfjaarlijkse herzieningen van alle documenten
  • Toegangscontrole: bepaal wie documenten mag inzien en wijzigen
  • Bewaartermijnen: bewaar documentatie minimaal drie tot vijf jaar voor auditdoeleinden
  • Bewijs van toepassing: leg vast dat procedures daadwerkelijk worden gevolgd

Zie NIS2-compliance als een verandertraject dat continu aandacht verdient, niet als een afgebakend project. Met elke kleine stap verbeter je de beveiliging en documentatie van jouw organisatie.

Hoe helpt Hoek en Blok IT bij NIS2-documentatie?

Hoek en Blok IT ondersteunt organisaties bij het opstellen en onderhouden van NIS2-conforme documentatie. Met NOREA-gecertificeerde EDP-auditors en praktijkervaring in IT-audits bieden we pragmatische ondersteuning die past bij middelgrote organisaties.

Onze dienstverlening omvat:

  • Gapanalyse: inventarisatie van ontbrekende documentatie ten opzichte van NIS2-vereisten
  • Documentatietemplates: praktische sjablonen voor risicoanalyses, incidentresponseplannen en beleidsdocumenten
  • Begeleiding bij opstellen: ondersteuning bij het schrijven van organisatiespecifieke documenten
  • Auditondersteuning: voorbereiding op inspecties door toezichthouders
  • IT Security Officer as a Service: doorlopend documentatiebeheer en compliance-monitoring

Wil je weten waar jouw organisatie staat op het gebied van NIS2-documentatie? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.

Geldt DORA ook voor mkb-bedrijven?

in

DORA geldt niet automatisch voor alle mkb-bedrijven, maar de regelgeving kan wel degelijk relevant zijn voor jouw organisatie. Direct vallen mkb-bedrijven onder DORA wanneer zij als financiële entiteit kwalificeren, zoals kleine beleggingsondernemingen of betaaldienstverleners. Indirect krijgen mkb-bedrijven met DORA te maken wanneer zij ICT-diensten leveren aan financiële instellingen. In dit artikel beantwoorden we de belangrijkste vragen over DORA en mkb-bedrijven.

Wat is DORA en voor welke organisaties geldt deze regelgeving?

DORA staat voor de Digital Operational Resilience Act, een Europese verordening die de digitale operationele weerbaarheid van de financiële sector versterkt. De regelgeving beschermt financiële instellingen tegen cyberaanvallen en ICT-verstoringen die hun dienstverlening kunnen onderbreken. Vanaf 17 januari 2025 moeten organisaties volledig voldoen aan alle DORA-vereisten.

De primaire doelgroep van DORA bestaat uit financiële entiteiten binnen de Europese Unie. Dit omvat een breed scala aan organisaties:

  • Banken en kredietinstellingen
  • Verzekeraars en herverzekeraars
  • Beleggingsondernemingen en beheerders van beleggingsfondsen
  • Betalingsinstellingen en elektronische geldinstellingen
  • Crypto-dienstverleners
  • Instellingen voor collectieve belegging in effecten

DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie stimuleert terwijl risico’s worden beperkt. De wetgeving creëert een uniform beschermingsniveau binnen de Europese financiële sector en is afgestemd op NIS2 om juridische coherentie te waarborgen tussen verschillende cyberveiligheidsregels.

Valt mijn mkb-bedrijf direct onder de DORA-verplichtingen?

Jouw mkb-bedrijf valt direct onder DORA wanneer het als financiële entiteit kwalificeert onder EU-regelgeving. Dit betekent dat ook kleinere beleggingsondernemingen, betaaldienstverleners of verzekeraars aan de DORA-eisen moeten voldoen. De omvang van je organisatie bepaalt niet of DORA van toepassing is, maar wel hoe streng de eisen worden toegepast.

DORA hanteert het proportionaliteitsbeginsel. Dit houdt in dat kleinere financiële ondernemingen vereenvoudigde ICT-risicobeheerframeworks mogen hanteren die passen bij hun omvang, risicoprofiel en de complexiteit van hun dienstverlening. De toezichthouder verwacht geen identieke maatregelen van een kleine betaaldienstverlener als van een grote bank.

Voor micro-ondernemingen binnen de financiële sector gelden specifieke uitzonderingen. Organisaties met minder dan tien werknemers en een jaaromzet of balanstotaal onder de twee miljoen euro kunnen in aanmerking komen voor verlichte eisen. Dit betekent echter niet dat zij volledig zijn vrijgesteld van DORA-verplichtingen.

Twijfel je of jouw organisatie als financiële entiteit kwalificeert? Controleer dan of je onder toezicht staat van een financiële toezichthouder zoals DNB of de AFM. Valt jouw bedrijf onder hun toezicht, dan is DORA waarschijnlijk van toepassing.

Wanneer krijgt een mkb-bedrijf indirect met DORA te maken?

Mkb-bedrijven die ICT-diensten leveren aan financiële instellingen krijgen indirect met DORA te maken via de keten. DORA erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en stelt daarom eisen aan het beheer van deze relaties. Als toeleverancier kun je te maken krijgen met aangescherpte contractuele verplichtingen.

Kritieke derde dienstverleners vallen expliciet onder DORA. Dit omvat bedrijven die IT-systemen beheren, software ontwikkelen of data opslaan voor financiële instellingen. Specifiek gaat het om:

  • Cloudcomputingproviders
  • Softwareleveranciers
  • Datacentra en hostingpartijen
  • IT-beheerdiensten

Financiële instellingen moeten onder DORA strikt beheer voeren over hun IT-dienstverleners. Dit betekent dat zij contractuele afspraken maken die digitale weerbaarheid waarborgen en toezicht houden op de prestaties van hun leveranciers. Als mkb-toeleverancier kun je daarom te maken krijgen met:

  • Aangescherpte beveiligingseisen in contracten
  • Periodieke audits door of namens de financiële instelling
  • Verplichte incidentmeldingen bij ICT-verstoringen
  • Eisen aan bedrijfscontinuïteit en disaster recovery

Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. Dit kan betekenen dat jouw organisatie moet investeren in aanvullende beveiligingsmaatregelen of documentatie om als leverancier te kunnen blijven fungeren.

Welke DORA-eisen zijn relevant voor kleinere organisaties?

DORA kent vijf pijlers die proportioneel worden toegepast op basis van omvang en risicoprofiel. Voor kleinere organisaties zijn niet alle eisen even zwaar, maar de kernprincipes blijven van toepassing. Een goed begrip van deze pijlers helpt bij het bepalen van de relevante verplichtingen voor jouw situatie.

ICT-risicomanagement vormt de basis van DORA. Organisaties moeten een risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Kleinere entiteiten mogen een vereenvoudigd kader hanteren dat past bij hun complexiteit.

Incidentrapportage vereist snelle opsporing en melding van ICT-incidenten. Financiële entiteiten moeten ernstige incidenten melden bij de toezichthouder. De meldingstermijnen en rapportageformats zijn vastgelegd in de regelgeving.

Digitale weerbaarheidstests moeten de operationele veerkracht regelmatig toetsen. Voor grotere en meer kritieke instellingen zijn threat-led penetration tests verplicht. Kleinere organisaties kunnen volstaan met minder intensieve testvormen.

Beheer van ICT-derdepartijrisico’s behelst het strikt beheren van relaties met externe IT-dienstverleners. Dit omvat het beoordelen van uitbestedingsrisico’s en het maken van passende contractuele afspraken.

Informatie-uitwisseling stimuleert het actief delen van cyberdreigingsinformatie. Dit helpt organisaties sneller te reageren op nieuwe risico’s en maakt de sector als geheel veiliger.

Hoe bereid je je als mkb-bedrijf voor op DORA-compliance?

Een goede voorbereiding begint met het vaststellen of en hoe DORA op jouw organisatie van toepassing is. Een nulmeting is een logisch startpunt om vast te stellen waar je staat ten opzichte van de DORA-vereisten. Veel organisaties denken compliant te zijn, maar worstelen juist met details en aantoonbaarheid.

Voer een gap-analyse uit om de huidige situatie te vergelijken met de DORA-eisen. Breng in kaart welke processen, documentatie en technische maatregelen al aanwezig zijn en waar aanvullingen nodig zijn. Let specifiek op:

  • De inrichting van ICT-risicomanagement en governance
  • Procedures voor incidentdetectie en -rapportage
  • Contracten met ICT-dienstverleners en uitbestedingspartijen
  • Documentatie van beveiligingsmaatregelen en tests

DORA vraagt om aantoonbaarheid, niet alleen beleid. Je moet kunnen laten zien dat je in control bent. Dit betekent dat processen gedocumenteerd moeten zijn en dat je bewijs kunt leveren van uitgevoerde maatregelen en tests.

Bereid je voor op mogelijke auditeisen van klanten in de financiële sector. Een ISAE 3000-verklaring kan een manier zijn om naleving aantoonbaar te maken richting financiële instellingen die jouw diensten afnemen. Dit bespaart tijd doordat je niet voor elke klant afzonderlijk audits hoeft te doorlopen.

Vergeet niet dat DORA primair een governance- en organisatievraagstuk is, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal voor succesvolle compliance.

Hoe helpt Hoek en Blok IT bij DORA-compliance voor mkb-bedrijven?

Hoek en Blok IT ondersteunt mkb-organisaties bij elke stap van DORA-voorbereiding en compliance. Met NOREA-gecertificeerde EDP-auditors en een pragmatische aanpak helpen zij organisaties efficiënt te voldoen aan DORA-vereisten, zonder onnodige administratieve lasten.

De relevante diensten voor DORA-compliance omvatten:

  • IT-audits en ISAE-verklaringen: ISAE 3000- en ISAE 3402-verklaringen om naleving aantoonbaar te maken richting financiële instellingen
  • Security-assessments: grondige analyse van ICT-risico’s en kwetsbaarheden binnen jouw organisatie
  • Penetratietests: ethical hacking om de digitale weerbaarheid te toetsen conform DORA-vereisten
  • IT Security Officer as a Service: doorlopende ondersteuning bij het inrichten en onderhouden van ICT-risicomanagement

De aanpak van Hoek en Blok IT combineert technische expertise met auditervaring. Dit resulteert in een op maat gemaakt risicobeheerkader dat voldoet aan DORA-normen en aansluit bij de specifieke situatie van jouw organisatie.

Wil je weten of DORA op jouw mkb-bedrijf van toepassing is en hoe je je het beste kunt voorbereiden? Neem contact op voor een vrijblijvend gesprek over jouw DORA-voorbereiding.

Vallen IT-dienstverleners onder DORA?

in

Ja, IT-dienstverleners kunnen onder DORA vallen, met name wanneer zij diensten leveren aan financiële instellingen. De Digital Operational Resilience Act (DORA) richt zich niet alleen op banken en verzekeraars, maar strekt zich expliciet uit tot kritieke ICT-dienstverleners in de keten. Cloudproviders, softwareleveranciers en datacenters die kritieke functies ondersteunen voor financiële entiteiten, moeten voldoen aan specifieke DORA-vereisten. Dit artikel beantwoordt de belangrijkste vragen over de toepasselijkheid van DORA op IT-dienstverleners.

Wat houdt DORA in voor de IT-sector?

DORA is Europese wetgeving die sinds januari 2025 van kracht is en gericht is op het versterken van de digitale operationele weerbaarheid van de financiële sector. De wet erkent dat financiële instellingen sterk afhankelijk zijn van ICT-systemen en externe technologieleveranciers. Daarom stelt DORA niet alleen eisen aan banken en verzekeraars, maar ook aan de IT-dienstverleners die hen ondersteunen.

De regelgeving is opgebouwd rond vijf pijlers: ICT-risicobeheer, incidentbeheer en -rapportage, digitale operationele weerbaarheidstesten, beheer van ICT-derdepartijrisico’s en informatie-uitwisseling. Voor IT-dienstverleners betekent dit dat zij moeten kunnen aantonen dat hun dienstverlening voldoet aan de weerbaarheidseisen van hun financiële klanten.

DORA biedt een uniform regelgevingskader binnen de EU, wat versnippering en dubbele regels vermindert. Dit zorgt voor een gelijk speelveld tussen financiële instellingen en hun IT-leveranciers, terwijl het innovatie stimuleert door heldere kaders te scheppen voor digitale vernieuwing, zoals cloudoplossingen.

Welke IT-dienstverleners vallen direct onder DORA?

DORA strekt zich uit tot IT-dienstverleners die kritieke of belangrijke functies ondersteunen voor financiële instellingen. Dit omvat cloudproviders, softwareleveranciers en datacenters die deel uitmaken van de ICT-keten van financiële entiteiten. De wetgeving erkent dat digitale operationele weerbaarheid niet alleen afhangt van interne maatregelen, maar ook van de veiligheid en betrouwbaarheid van de gehele ICT-toeleveringsketen.

Er bestaat een onderscheid tussen directe en indirecte toepasselijkheid:

  • Directe toepasselijkheid: Kritieke ICT-dienstverleners die door Europese toezichthouders zijn aangewezen, vallen rechtstreeks onder DORA-toezicht.
  • Indirecte toepasselijkheid: IT-dienstverleners die diensten leveren aan financiële klanten, krijgen via contractuele verplichtingen te maken met DORA-eisen.

Ook wanneer jouw IT-bedrijf niet als kritiek wordt aangemerkt, zullen financiële klanten contractuele DORA-bepalingen opnemen in hun overeenkomsten. Dit maakt DORA-compliance feitelijk onvermijdelijk voor IT-dienstverleners met een financiële klantenportefeuille.

Wat zijn de belangrijkste DORA-verplichtingen voor IT-dienstverleners?

IT-dienstverleners die diensten leveren aan financiële instellingen, moeten voldoen aan specifieke verplichtingen op het gebied van ICT-risicobeheer, incidentmelding en operationele weerbaarheid. De kernverplichtingen omvatten het aantonen van adequate beveiligingsmaatregelen en het ondersteunen van de weerbaarheidseisen van financiële klanten.

De belangrijkste verplichtingen zijn:

  • ICT-risicobeheer: Een gedocumenteerd raamwerk voor het identificeren, beoordelen en beheersen van ICT-risico’s.
  • Incidentclassificatie en -melding: Procedures voor het classificeren van incidenten op basis van impact, aantal getroffen klanten, reputatieschade, downtime en dataverlies.
  • Operationele weerbaarheidstesten: Periodieke tests om aan te tonen dat beveiligingsmaatregelen daadwerkelijk effectief zijn.
  • Documentatie: Uitgebreide vastlegging van processen, maatregelen en testresultaten.

Financiële klanten zullen verwachten dat IT-dienstverleners kunnen aantonen dat zij voldoende maatregelen hebben geïmplementeerd én dat deze maatregelen daadwerkelijk werken. Een nulmeting vormt een essentiële eerste stap om te begrijpen wat DORA concreet betekent voor jouw organisatie.

Hoe bepaal je of jouw IT-bedrijf als kritieke ICT-dienstverlener wordt aangemerkt?

Europese toezichthouders hanteren specifieke criteria om te bepalen of een IT-dienstverlener als kritiek wordt beschouwd. De aanwijzing als kritieke ICT-dienstverlener heeft verstrekkende gevolgen, aangezien dit directe onderworpenheid aan Europees toezicht betekent.

De beoordelingscriteria omvatten:

  • Systeemrelevantie: De mate waarin de dienstverlening essentieel is voor de werking van de financiële sector.
  • Klantenbestand: Het aantal financiële instellingen dat afhankelijk is van de diensten.
  • Vervangbaarheid: De mogelijkheid om de dienstverlening over te dragen naar alternatieve leveranciers.
  • Aard van de diensten: Of de diensten kritieke of belangrijke functies ondersteunen.

Ook wanneer jouw organisatie niet formeel als kritiek wordt aangewezen, kunnen financiële klanten jouw dienstverlening intern als kritiek classificeren. Dit leidt tot vergelijkbare contractuele verplichtingen en verwachtingen rond DORA-compliance.

Welke contractuele eisen stelt DORA aan IT-dienstverleners?

DORA schrijft specifieke contractuele bepalingen voor die financiële instellingen moeten opnemen in overeenkomsten met hun IT-dienstverleners. Deze bepalingen zijn bedoeld om de digitale operationele weerbaarheid van de gehele keten te waarborgen.

De verplichte contractuele elementen omvatten:

  • Exit-strategieën: Duidelijke afspraken over hoe de dienstverlening kan worden beëindigd of overgedragen.
  • Auditrechten: Het recht voor financiële klanten en toezichthouders om audits uit te voeren.
  • Incidentrapportage: Verplichtingen rond het melden van ICT-gerelateerde incidenten.
  • Subuitbesteding: Bepalingen over het uitbesteden van diensten aan onderaannemers.
  • Service level agreements: Meetbare afspraken over beschikbaarheid, prestaties en beveiliging.

IT-dienstverleners moeten bij contractonderhandelingen rekening houden met deze vereisten. Het is verstandig om proactief DORA-conforme contractbepalingen voor te bereiden, zodat je financiële klanten adequaat kunt bedienen.

Wat zijn de gevolgen als IT-dienstverleners niet aan DORA voldoen?

Non-compliance met DORA kan leiden tot aanzienlijke consequenties voor IT-dienstverleners. De gevolgen variëren van contractuele risico’s tot directe toezichtmaatregelen, afhankelijk van de status als kritieke ICT-dienstverlener.

De mogelijke consequenties zijn:

  • Contractuele risico’s: Financiële klanten kunnen contracten beëindigen of verlenging weigeren bij onvoldoende DORA-compliance.
  • Toezichtmaatregelen: Kritieke ICT-dienstverleners kunnen direct worden onderworpen aan maatregelen van Europese toezichthouders.
  • Reputatieschade: Het onvermogen om compliance aan te tonen, schaadt de marktpositie bij financiële klanten.
  • Markttoegang: Zonder DORA-compliance wordt het steeds moeilijker om financiële instellingen als klant te werven of te behouden.

Organisaties die zich niet adequaat voorbereiden, riskeren onaangename verrassingen bij toekomstige audits of toezichtsinspecties. Tijdige voorbereiding voorkomt deze risico’s en biedt een concurrentievoordeel.

Hoe helpt Hoek en Blok IT bij DORA-compliance voor IT-dienstverleners?

Hoek en Blok IT ondersteunt IT-dienstverleners bij het realiseren van aantoonbare DORA-compliance. Met meer dan dertig jaar praktijkervaring in de financiële sector en bij IT-dienstverleners bieden wij pragmatische ondersteuning die aansluit bij jouw specifieke situatie.

Onze dienstverlening omvat:

  • DORA-gapanalyses: Bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid.
  • IT-audits: Beoordelen van de compliance met DORA-vereisten door geregistreerde IT-auditors.
  • Contractuele ondersteuning: Begeleiding bij het opstellen van DORA-conforme contractbepalingen.
  • Operationele weerbaarheidstesten: Ondersteuning bij het opzetten en uitvoeren van verplichte tests.
  • Monitoringstructuren: Inrichten van structuren die zichtbaarheid bieden op de effectiviteit van maatregelen.

Wil je weten wat DORA concreet betekent voor jouw IT-organisatie? Neem contact op voor een vrijblijvend gesprek over een nulmeting die inzicht geeft in jouw huidige positie en de stappen naar aantoonbare compliance.

Ga aan de slag met NIS2: begin met een nulmeting

in ,

De impact van NIS2 wordt door veel organisaties nog onderschat. Tegelijkertijd neemt de druk vanuit wetgeving, klanten en ketenpartners snel toe. Cybersecurity is allang geen puur IT-vraagstuk meer, maar een bestuurlijke verantwoordelijkheid. Organisaties die nu niet in beweging komen, lopen het risico straks achter de feiten aan te lopen. Juist daarom is het verstandig om tijdig inzicht te krijgen in waar je als organisatie staat. Een nulmeting is daarbij een logisch en effectief startpunt.

Lees meer

Welke eisen stelt DORA aan ICT-risicomanagement?

in

DORA stelt uitgebreide eisen aan ICT-risicomanagement voor financiële instellingen en hun kritieke IT-dienstverleners. De Digital Operational Resilience Act vereist een gedocumenteerd risicobeheerkader, duidelijke governance-structuren en aantoonbare maatregelen voor digitale weerbaarheid. Organisaties moeten niet alleen beleid implementeren, maar ook periodiek testen of deze maatregelen effectief werken. In dit artikel beantwoorden we de belangrijkste vragen over DORA ICT-risicomanagement.

Wat is ICT-risicomanagement volgens DORA?

ICT-risicomanagement volgens DORA omvat alle processen en maatregelen die financiële instellingen moeten treffen om hun digitale operationele weerbaarheid te waarborgen. Dit betekent dat organisaties structureel werken aan de beveiliging en veerkracht van hun netwerk- en informatiesystemen, zodat zij bestand zijn tegen ernstige operationele verstoringen.

De Europese Unie heeft DORA geïntroduceerd omdat de financiële sector steeds afhankelijker wordt van ICT-systemen en externe dienstverleners. Een cyberaanval of systeemstoring bij één partij kan een kettingreactie veroorzaken met grote gevolgen voor de stabiliteit van het financiële systeem. DORA creëert daarom een uniform regelgevingskader dat versnippering en dubbele regels in de EU vermindert.

De scope van DORA is breed. Onder de verordening vallen onder meer banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen, elektronischgeldinstellingen en beheerders van alternatieve beleggingsfondsen. Kritieke IT-dienstverleners zoals cloudproviders, softwareleveranciers en datacenters vallen eveneens binnen het toepassingsgebied. Dit betekent dat ook jouw organisatie mogelijk moet voldoen aan de DORA-vereisten.

Welke vijf pijlers vormen het DORA ICT-risicobeheerkader?

DORA is opgebouwd rond vijf kernpijlers die samen het fundament vormen voor digitale operationele weerbaarheid. Elke pijler kent specifieke verplichtingen en doelstellingen die financiële instellingen moeten implementeren.

  • ICT-risicomanagement: Organisaties moeten een gedocumenteerd en jaarlijks herzien risicobeheerkader inrichten. Dit kader beschrijft hoe ICT-risico’s worden geïdentificeerd, beoordeeld en beheerst.
  • ICT-gerelateerde incidenten: Er gelden strikte eisen voor het classificeren, registreren en melden van ICT-incidenten aan toezichthouders. Tijdige en volledige rapportage is verplicht.
  • Digitale operationele weerbaarheidstesten: Organisaties moeten periodiek testen of hun beveiligingsmaatregelen daadwerkelijk werken. Voor grotere instellingen zijn threat-led penetration tests (TLPT) verplicht.
  • ICT-risico’s van derden: Het beheer van risico’s bij uitbesteding aan externe ICT-dienstverleners vereist uitgebreide due diligence, contractuele waarborgen en doorlopend toezicht.
  • Informatie-uitwisseling: DORA moedigt financiële instellingen aan om informatie over cyberdreigingen en kwetsbaarheden onderling te delen, binnen de wettelijke kaders.

Deze vijf pijlers vormen een geïntegreerde aanpak die bijdraagt aan een robuustere financiële sector die beter bestand is tegen digitale dreigingen.

Hoe moet een ICT-risicobeheerkader volgens DORA worden ingericht?

Een DORA-compliant ICT-risicobeheerkader vereist heldere governance-structuren waarbij het bestuur de eindverantwoordelijkheid draagt voor alle ICT-risico’s. Het management moet jaarlijks beleid vaststellen rondom de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van data.

De inrichting van het kader omvat verschillende elementen:

  • Rollen en verantwoordelijkheden: Definieer duidelijk wie verantwoordelijk is voor ICT-risicobeheer, inclusief een onafhankelijke controlefunctie.
  • Digitale operationele weerbaarheidsstrategie: Het bestuur stelt een strategie vast die aansluit bij de bedrijfsdoelstellingen, met concrete KPI’s en risicotolerantieniveaus.
  • Documentatie: Het volledige kader moet schriftelijk zijn vastgelegd en minimaal jaarlijks worden herzien. Bij grote ICT-incidenten of feedback van toezichthouders is directe herziening nodig.
  • Residuele risico’s: Risico’s die na implementatie van maatregelen overblijven, moeten expliciet worden geïdentificeerd, gedocumenteerd en geaccepteerd door bevoegde functionarissen.

Het bestuur moet bovendien over voldoende kennis en vaardigheden beschikken om ICT-risico’s te begrijpen en te beoordelen. Periodieke trainingen zijn hiervoor een vereiste.

Welke technische eisen stelt DORA aan ICT-systemen en -beveiliging?

DORA stelt concrete technische beveiligingseisen die organisaties moeten implementeren om hun ICT-systemen adequaat te beschermen. Deze eisen volgen een logische structuur van identificatie tot herstel.

Identificatie en classificatie: Alle ICT-assets moeten worden geïnventariseerd en geclassificeerd naar kritikaliteit. Organisaties moeten continu alle bronnen van ICT-risico identificeren, inclusief risico’s die voortkomen uit relaties met andere entiteiten.

Bescherming: Passende beveiligingsmaatregelen moeten worden getroffen op basis van de risicoanalyse. Dit omvat toegangsbeveiliging, encryptie en netwerkbeveiliging.

Detectie: Organisaties moeten mechanismen implementeren om afwijkingen en potentiële incidenten tijdig te detecteren. Informatie over cyberdreigingen en kwetsbaarheden moet minimaal jaarlijks worden beoordeeld.

Respons en herstel: Er moeten procedures zijn voor het reageren op incidenten en het herstellen van systemen. Dit omvat back-upbeleid, continuïteitsplannen en disasterrecoveryprocedures.

De potentiële impact van dreigingen en kwetsbaarheden op bedrijfsfuncties en assets moet worden geëvalueerd. Risicobeoordelingen vormen de basis voor beveiligingsinvesteringen en prioritering van maatregelen.

Wat zijn de DORA-verplichtingen voor ICT-incidentenbeheer?

DORA schrijft strikte procedures voor rondom ICT-incidentenbeheer. Organisaties moeten incidenten classificeren op basis van impact en ernst, waarbij grote incidenten verplicht moeten worden gemeld aan de toezichthouder.

De meldingsverplichtingen kennen vaste tijdlijnen. Bij een groot ICT-incident moet binnen vier uur een eerste melding plaatsvinden. Daarna volgen tussentijdse rapportages en een eindrapport met een analyse van de oorzaken en genomen maatregelen.

Organisaties moeten beschikken over:

  • Een incidentregistratiesysteem waarin alle ICT-gerelateerde incidenten worden vastgelegd
  • Classificatiecriteria om te bepalen welke incidenten meldingsplichtig zijn
  • Procedures voor escalatie en communicatie, zowel intern als extern
  • Processen voor root cause analysis en het implementeren van verbetermaatregelen

De lessen die worden geleerd uit incidenten moeten worden verwerkt in het ICT-risicobeheerkader om herhaling te voorkomen.

Hoe bereid je jouw organisatie praktisch voor op DORA-compliance?

Een pragmatische voorbereiding op DORA begint met een gap-analyse of nulmeting. Deze baselineassessment geeft inzicht in wat DORA concreet voor jouw organisatie betekent en toetst direct of huidige maatregelen effectief zijn.

Concrete stappen voor voorbereiding:

  • Inventariseer de scope: Bepaal welke onderdelen van jouw organisatie onder DORA vallen en welke kritieke functies afhankelijk zijn van ICT.
  • Voer een gap-analyse uit: Vergelijk de huidige situatie met de DORA-vereisten en identificeer tekortkomingen.
  • Prioriteer acties: Focus op de grootste risico’s en de meest kritieke gaps. Niet alles hoeft tegelijk.
  • Betrek stakeholders: Zorg dat bestuur, IT, compliance en riskmanagement gezamenlijk optrekken.
  • Documenteer: Leg alle processen, beleid en maatregelen schriftelijk vast.

Veelvoorkomende valkuilen zijn het onderschatten van de scope (ook derde partijen vallen onder DORA), onvoldoende betrokkenheid van het bestuur en het ontbreken van testprocedures. Organisaties die onvoldoende voorbereid zijn, riskeren onaangename verrassingen bij toekomstige toezichtsinspecties.

Hoe helpt Hoek en Blok IT bij DORA ICT-risicomanagement?

Hoek en Blok IT ondersteunt organisaties bij het realiseren van DORA-compliance met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om jouw organisatie concreet te helpen.

De dienstverlening omvat onder meer:

  • DORA gap-analyse: Een nulmeting die inzicht geeft in jouw huidige positie ten opzichte van de DORA-vereisten
  • IT-audits en assurancerapportages: Onafhankelijke toetsing van ICT-risicobeheersing conform ISAE 3000, ISAE 3402 en SOC 2
  • Securityassessments en penetratietests: Ethische hacktests om te toetsen of beveiligingsmaatregelen effectief werken
  • IT Security Officer as-a-Service: Structurele ondersteuning bij het inrichten en onderhouden van ICT-risicomanagement
  • Ondersteuning bij incidentenbeheer: Hulp bij het opzetten van meldingsprocedures en classificatiecriteria

Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.

Welke sectoren vallen onder NIS2?

in

De NIS2-richtlijn is van toepassing op achttien sectoren die de Europese Unie als essentieel of belangrijk beschouwt voor het functioneren van de samenleving en economie. Deze sectoren zijn onderverdeeld in elf essentiële sectoren (zoals energie, gezondheidszorg en digitale infrastructuur) en zeven belangrijke sectoren (waaronder de chemische industrie en de levensmiddelensector). Of jouw organisatie onder NIS2 valt, hangt af van zowel de sector als de omvang van je bedrijf.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw sector?

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en heeft als doel de cyberweerbaarheid binnen de Europese Unie aanzienlijk te versterken. Deze vernieuwde wetgeving breidt het toepassingsgebied fors uit naar meer sectoren en organisaties, omdat cyberdreigingen steeds geavanceerder worden en de onderlinge afhankelijkheid tussen organisaties toeneemt.

De richtlijn treedt per 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die binnen de scope vallen, voor deze datum hun cyberbeveiligingsmaatregelen op orde moeten hebben. De urgentie neemt toe naarmate de deadline nadert, en veel organisaties zoeken actief naar informatie over wat zij moeten doen om aan de eisen te voldoen.

Een belangrijk verschil met de vorige richtlijn is de expliciete bestuurlijke verantwoordelijkheid. Bestuurders worden persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen. Zij moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Regelmatige scholing voor bestuur en werknemers wordt verplicht.

Welke essentiële sectoren vallen onder NIS2?

Bijlage I van de NIS2-richtlijn definieert elf essentiële sectoren die als kritiek worden beschouwd voor het functioneren van de samenleving. Deze sectoren krijgen een strenger toezichtregime vanwege hun cruciale rol in de maatschappelijke infrastructuur.

De essentiële sectoren omvatten:

  • Energie: elektriciteits-, gas- en oliebedrijven, warmteleveranciers en exploitanten van laadpalen
  • Vervoer: luchtvaart, spoorwegen, scheepvaart en wegvervoer, inclusief logistieke dienstverleners
  • Bankwezen: kredietinstellingen en financiële dienstverleners
  • Financiële marktinfrastructuur: exploitanten van handelsplatformen en centrale tegenpartijen
  • Gezondheidszorg: ziekenhuizen, laboratoria, fabrikanten van medische hulpmiddelen en farmaceutische bedrijven
  • Drinkwater: leveranciers en distributeurs van drinkwater
  • Afvalwater: organisaties die afvalwater inzamelen, lozen of behandelen
  • Digitale infrastructuur: datacenters, cloudproviders, DNS-dienstverleners en elektronische communicatienetwerken
  • ICT-dienstverlening B2B: managed service providers en managed security service providers
  • Overheid: centrale overheden en regionale overheden met kritieke functies
  • Ruimtevaart: exploitanten van grondinfrastructuur voor ruimtevaartdiensten

Deze sectoren worden als essentieel beschouwd omdat uitval of verstoring directe en ernstige gevolgen kan hebben voor de openbare veiligheid, volksgezondheid of economische stabiliteit.

Welke belangrijke sectoren moeten ook voldoen aan NIS2?

Naast de essentiële sectoren definieert Bijlage II van de NIS2-richtlijn zeven belangrijke sectoren. Organisaties in deze sectoren moeten eveneens aan de NIS2-verplichtingen voldoen, maar vallen onder een lichter toezichtregime.

De belangrijke sectoren zijn:

  • Post- en koeriersdiensten: aanbieders van postdiensten en pakketbezorging
  • Afvalbeheer: bedrijven die afval inzamelen, verwerken of recyclen
  • Chemische industrie: producenten en distributeurs van chemische stoffen
  • Levensmiddelen: groothandelaren, distributeurs en producenten van voedingsmiddelen
  • Vervaardiging: fabrikanten van medische hulpmiddelen, computers, elektronica, machines en motorvoertuigen
  • Digitale aanbieders: online marktplaatsen, zoekmachines en sociale netwerkplatforms
  • Onderzoek: onderzoeksorganisaties met kritieke onderzoeksresultaten

Het verschil in toezicht tussen essentiële en belangrijke entiteiten zit vooral in de intensiteit. Essentiële entiteiten worden proactief gecontroleerd, terwijl belangrijke entiteiten reactief worden gecontroleerd, bijvoorbeeld na een incident of melding.

Hoe weet je of jouw organisatie onder NIS2 valt?

Of jouw organisatie onder NIS2 valt, hangt af van twee criteria: de sector waarin je actief bent én de omvang van je organisatie. De richtlijn hanteert duidelijke drempelwaarden om te bepalen welke organisaties binnen het toepassingsgebied vallen.

De omvangscriteria zijn als volgt:

  • Middelgrote organisaties: minimaal 50 werknemers óf een jaaromzet van meer dan 10 miljoen euro
  • Grote organisaties: minimaal 250 werknemers óf een jaaromzet van meer dan 50 miljoen euro

Er zijn uitzonderingen waarbij kleinere organisaties toch onder NIS2 kunnen vallen. Dit geldt voor aanbieders van DNS-diensten, TLD-naamregisters en aanbieders van elektronische communicatienetwerken en vertrouwensdiensten, ongeacht hun omvang.

Om te bepalen of jouw organisatie binnen de scope valt, doorloop je de volgende stappen:

  1. Controleer of je activiteiten vallen binnen een van de achttien sectoren
  2. Beoordeel of je organisatie voldoet aan de omvangscriteria
  3. Ga na of je als uitzonderingscategorie wordt aangemerkt
  4. Bepaal of je als essentiële of belangrijke entiteit wordt geclassificeerd

Wat zijn de belangrijkste NIS2-verplichtingen per sector?

De kernverplichtingen onder NIS2 gelden voor alle sectoren, ongeacht of een organisatie als essentieel of belangrijk wordt geclassificeerd. Het verschil zit vooral in de intensiteit van toezicht en de hoogte van mogelijke sancties bij non-compliance.

De belangrijkste verplichtingen omvatten:

  • Risicobeheermaatregelen: het implementeren van passende technische en organisatorische maatregelen om cybersecurityrisico’s te beheersen
  • Incidentmelding: significante incidenten binnen 24 uur melden aan de bevoegde autoriteit, gevolgd door een gedetailleerde rapportage
  • Supply chain security: het beoordelen en beheersen van risico’s in de toeleveringsketen
  • Business continuity: het opstellen en testen van continuïteitsplannen
  • Crisismanagement: procedures voor het omgaan met cybersecurityincidenten

Het bestuur stelt het beveiligingsbeleid vast, herziet dit periodiek en borgt dat personeel op de hoogte is en handelt in overeenstemming met het beleid. Organisaties moeten voor 1 juli 2026 compliant zijn om boetes en andere sancties te voorkomen.

Hoe bereid je jouw organisatie voor op NIS2-compliance?

Een gedegen voorbereiding op NIS2 vraagt om een gestructureerde aanpak. Gezien de complexiteit van de implementatie en de naderende deadline is het verstandig om tijdig te starten. Een nulmeting vormt daarbij een belangrijke eerste stap om te beoordelen hoe goed jouw organisatie voorbereid is op de nieuwe eisen.

De volgende stappen helpen bij een pragmatische voorbereiding:

  • Gapanalyse uitvoeren: breng in kaart waar je organisatie staat ten opzichte van de NIS2-vereisten
  • Inventarisatie van IT-middelen: maak een overzicht van alle IT-middelen die nodig zijn voor je dienstverlening
  • Risicobeoordeling opstellen: identificeer en beoordeel cybersecurityrisico’s voor je organisatie
  • Beveiligingsmaatregelen implementeren: neem passende maatregelen op basis van de geïdentificeerde risico’s
  • Incidentresponsprocedures ontwikkelen: stel procedures op voor het detecteren, melden en afhandelen van incidenten
  • Documentatie op orde brengen: zorg voor aantoonbare naleving door adequate vastlegging

Betrek de volledige organisatie bij de implementatie. In de praktijk zijn vooral IT-medewerkers bezig met cybersecurity, maar organisaties die zich echt willen wapenen tegen hackers, moeten een stap extra zetten. Alle medewerkers moeten zich bewust zijn van de gevaren en weten hoe ze een hack kunnen voorkomen.

Hoe helpt Hoek en Blok IT bij NIS2-compliance voor jouw sector?

Hoek en Blok IT ondersteunt organisaties in alle NIS2-sectoren bij het bereiken van compliance. Met NOREA-gecertificeerde EDP-auditors en een pragmatische aanpak helpt het bureau bij zowel de technische als organisatorische aspecten van NIS2-implementatie.

De dienstverlening omvat:

  • NIS2-nulmeting: een scan van je IT-infrastructuur, processen en beveiligingsbeleid om de huidige status te bepalen
  • IT-audits en gapanalyses: identificatie van verbeterpunten ten opzichte van NIS2-vereisten
  • Securityassessments en penetratietests: technische toetsing van je beveiliging door ethical hackers
  • ISAE 3000/3402-verklaringen: ondersteuning bij het verkrijgen van assuranceverklaringen
  • IT Security Officer as-a-Service: doorlopende ondersteuning voor compliancebewaking en -verbetering
  • Awarenesscampagnes: vergroten van het beveiligingsbewustzijn binnen je organisatie

Wil je weten hoe jouw organisatie ervoor staat en welke stappen nodig zijn voor NIS2-compliance? Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe je pragmatisch en betaalbaar aan de slag kunt met de voorbereidingen.

Welke testverplichtingen kent DORA?

in

De Digital Operational Resilience Act (DORA) verplicht financiële instellingen om hun digitale weerbaarheid structureel te testen. Deze testverplichtingen omvatten basis-ICT-testen die jaarlijks uitgevoerd moeten worden en, voor grotere organisaties, ook driejaarlijkse geavanceerde penetratietesten (TLPT). De exacte testvereisten hangen af van de omvang en het risicoprofiel van jouw organisatie. Hieronder vind je antwoorden op de belangrijkste vragen over DORA-testverplichtingen.

Wat zijn de testverplichtingen onder DORA?

DORA schrijft voor dat financiële instellingen hun ICT-systemen en -processen regelmatig moeten testen om de digitale operationele weerbaarheid te waarborgen. Deze testverplichtingen vormen een van de vijf hoofdpijlers van de wetgeving en zijn bedoeld om aan te tonen dat organisaties daadwerkelijk weerbaar zijn tegen cyberdreigingen en operationele verstoringen.

De wetgeving maakt onderscheid tussen twee hoofdcategorieën testen. De eerste categorie betreft basis-ICT-testen die voor alle financiële entiteiten gelden. Hieronder vallen kwetsbaarheidsscans, netwerkbeveiligingstesten en applicatietesten. De tweede categorie omvat geavanceerde, dreigingsgestuurde penetratietesten (TLPT), die alleen verplicht zijn voor significante financiële entiteiten met een hoger risicoprofiel.

Welke testvereisten precies van toepassing zijn, hangt af van meerdere factoren:

  • De omvang van jouw organisatie
  • Het risicoprofiel en de complexiteit van ICT-systemen
  • De kritieke functies die jouw organisatie vervult binnen de financiële sector
  • De mate van afhankelijkheid van externe IT-dienstverleners

Welke soorten testen schrijft DORA precies voor?

DORA specificeert verschillende testtypen die organisaties moeten uitvoeren om hun digitale weerbaarheid aan te tonen. Elke testcategorie heeft eigen methodologische vereisten en richt zich op specifieke aspecten van de ICT-infrastructuur.

Kwetsbaarheidsscans vormen de basis en identificeren bekende zwakheden in systemen, applicaties en netwerken. Deze geautomatiseerde scans moeten regelmatig worden uitgevoerd om nieuwe kwetsbaarheden tijdig te ontdekken.

Netwerk- en infrastructuurtesten beoordelen de beveiliging van netwerkcomponenten, firewalls en andere infrastructurele elementen. Applicatietesten richten zich specifiek op de beveiliging van software en webapplicaties die kritieke bedrijfsprocessen ondersteunen.

Scenariogebaseerde testen simuleren realistische aanvalsscenario’s om te beoordelen hoe systemen en medewerkers reageren op specifieke dreigingen. Deze testen helpen bij het valideren van incidentresponsprocedures.

De meest geavanceerde testvorm is threat-led penetration testing (TLPT), gebaseerd op actuele dreigingsinformatie. TLPT simuleert aanvallen van geavanceerde dreigingsactoren en test de volledige verdedigingsketen van een organisatie.

Hoe vaak moeten DORA-testen worden uitgevoerd?

De testfrequentie onder DORA varieert per testtype en organisatietype. Basis-ICT-testen moeten minimaal jaarlijks worden uitgevoerd. Voor TLPT geldt een driejaarlijkse cyclus bij significante financiële entiteiten die aan de criteria voor geavanceerd testen voldoen.

Verschillende factoren kunnen aanleiding geven tot frequentere testen:

  • Significante wijzigingen in de ICT-infrastructuur of het applicatielandschap
  • Veranderingen in het dreigingslandschap die relevant zijn voor jouw sector
  • Na fusies, overnames of andere organisatorische veranderingen
  • Wanneer nieuwe kritieke systemen of diensten worden geïmplementeerd

Het is verstandig om een testkalender op te stellen die rekening houdt met deze dynamische factoren. Toezichthouders zoals DNB verwachten dat organisaties hun testprogramma proactief aanpassen aan veranderende omstandigheden.

Wat is het verschil tussen reguliere penetratietesten en TLPT onder DORA?

Reguliere penetratietesten en TLPT verschillen fundamenteel in aanpak, diepgang en methodologie. Bij standaardpenetratietesten worden systemen getest op bekende kwetsbaarheden, vaak met een vooraf gedefinieerde scope en tijdsduur.

TLPT gaat aanzienlijk verder en is gebaseerd op de TIBER-EU-methodologie. Bij TLPT wordt eerst een uitgebreide dreigingsanalyse uitgevoerd door een gespecialiseerd threat-intelligence-team. Op basis van deze analyse worden realistische aanvalsscenario’s ontwikkeld die specifiek zijn voor jouw organisatie en sector.

De belangrijkste verschillen zijn:

  • TLPT gebruikt actuele threat intelligence om aanvallen te simuleren
  • De testscope bij TLPT omvat kritieke functies en processen, niet alleen technische systemen
  • TLPT-testers opereren zonder voorkennis van verdedigingsmaatregelen (red team)
  • De testduur bij TLPT is langer en omvat meerdere aanvalsfases

TLPT is alleen verplicht voor significante financiële entiteiten. Kleinere organisaties kunnen volstaan met reguliere penetratietesten, mits deze voldoen aan de DORA-vereisten voor basis-ICT-testen.

Wie mag DORA-testen uitvoeren?

DORA stelt specifieke eisen aan testers, waarbij onafhankelijkheid een kernvereiste is. Voor basis-ICT-testen kunnen zowel interne als externe testers worden ingezet, mits zij onafhankelijk opereren van de teams die verantwoordelijk zijn voor de geteste systemen.

Voor TLPT gelden strengere eisen. Externe testers moeten beschikken over:

  • Aantoonbare expertise in threat intelligence en red teaming
  • Relevante certificeringen en accreditaties
  • Ervaring met testen in de financiële sector
  • Een adequate beroepsaansprakelijkheidsverzekering

Binnen de Nederlandse context zijn accreditaties zoals OSCP, CREST en vergelijkbare certificeringen relevant. Voor TLPT-testen wordt vaak samengewerkt met gespecialiseerde red-teamproviders die ervaring hebben met de TIBER-methodologie.

Interne testers mogen onder bepaalde voorwaarden TLPT uitvoeren, maar de toezichthouder kan externe validatie vereisen. De onafhankelijkheidsvereisten betekenen in de praktijk dat veel organisaties kiezen voor externe testpartners.

Wat zijn de gevolgen van niet-naleving van DORA-testverplichtingen?

Niet-naleving van DORA-testverplichtingen kan leiden tot verschillende sancties en consequenties. Toezichthouders zoals DNB en AFM hebben handhavingsbevoegdheden die variëren van waarschuwingen tot financiële sancties.

De mogelijke gevolgen omvatten:

  • Formele waarschuwingen en aanwijzingen tot herstel
  • Boetes die kunnen oplopen tot aanzienlijke bedragen
  • Verplichte maatregelen om geconstateerde tekortkomingen te herstellen
  • Verscherpt toezicht met frequentere inspecties

Naast formele sancties zijn er reputatierisico’s. Organisaties die niet kunnen aantonen dat zij hun digitale weerbaarheid adequaat testen, lopen het risico op vertrouwensverlies bij klanten en zakenpartners. Bij incidenten kan het ontbreken van adequate testprogramma’s leiden tot aanvullende aansprakelijkheid.

Na uitgevoerde testen gelden rapportageverplichtingen. Testresultaten en genomen herstelmaatregelen moeten worden gedocumenteerd en op verzoek beschikbaar zijn voor toezichthouders. Een nulmeting vormt daarbij een onmisbare eerste stap om helder inzicht te krijgen in wat DORA concreet voor jouw organisatie betekent.

Hoe helpt Hoek en Blok IT bij DORA-testverplichtingen?

Hoek en Blok IT ondersteunt organisaties bij het voldoen aan DORA-testverplichtingen met een pragmatische en resultaatgerichte aanpak. Het team van NOREA-gecertificeerde IT-auditors combineert ruime ervaring in de financiële sector met diepgaande kennis van DORA-vereisten.

De dienstverlening omvat:

  • DORA-nulmetingen om jouw huidige positie ten opzichte van testverplichtingen in kaart te brengen
  • Penetratietesten en security-assessments die aansluiten bij DORA-vereisten
  • Ethical-hackingdiensten uitgevoerd door gecertificeerde specialisten
  • Ondersteuning bij het opzetten van een structureel testprogramma
  • Begeleiding bij de voorbereiding op toezichthoudersinspecties

Door gebruik te maken van het NOREA DORA in Control Framework en best practices uit de sector, help je jouw organisatie efficiënt te voldoen aan testvereisten zonder onnodige administratieve lasten.

Wil je weten hoe jouw organisatie ervoor staat met betrekking tot DORA-testverplichtingen? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.

Welke organisaties vallen onder DORA?

in

Onder DORA vallen alle financiële entiteiten in de Europese Unie, waaronder banken, verzekeraars, beleggingsondernemingen, pensioenfondsen, betaalinstellingen en elektronischgeldinstellingen. Daarnaast geldt de verordening voor kritieke ICT-dienstverleners die diensten leveren aan deze financiële instellingen. De Digital Operational Resilience Act is sinds 17 januari 2025 van kracht en stelt uniforme eisen aan digitale weerbaarheid binnen de gehele financiële sector.

Wat is DORA en waarom is deze verordening ingevoerd?

DORA staat voor Digital Operational Resilience Act en is Europese wetgeving die de digitale operationele weerbaarheid van financiële instellingen versterkt. De verordening is per 17 januari 2025 van toepassing en richt zich specifiek op de beveiliging en weerbaarheid van netwerk- en informatiesystemen binnen de financiële sector.

De Europese Unie achtte deze wetgeving noodzakelijk vanwege de toenemende digitalisering en groeiende cyberdreigingen in de financiële wereld. Financiële instellingen zijn steeds afhankelijker van ICT-systemen en externe technologieleveranciers. Een verstoring bij één partij kan daardoor grote gevolgen hebben voor de hele sector en uiteindelijk voor consumenten.

DORA heeft twee hoofddoelstellingen: het verhogen van de digitale operationele weerbaarheid van financiële instellingen en het beperken van risico’s die voortvloeien uit uitbesteding aan externe dienstverleners. De verordening creëert een uniform regelgevingskader binnen de EU, waardoor versnippering en dubbele regels worden verminderd. Dit draagt bij aan eerlijke concurrentie en een robuustere financiële sector die beter bestand is tegen digitale dreigingen.

Welke financiële instellingen vallen direct onder DORA?

DORA is van toepassing op een breed scala aan financiële entiteiten die onder EU-regelgeving vallen. Artikel 2 van de verordening definieert welke organisaties rechtstreeks aan DORA moeten voldoen. Het gaat om twintig verschillende categorieën financiële entiteiten.

De primaire doelgroep omvat:

  • Banken en kredietinstellingen
  • Beleggingsondernemingen
  • Verzekeraars en herverzekeraars
  • Pensioenfondsen
  • Betaalinstellingen
  • Elektronischgeldinstellingen
  • Kredietbeoordelaars
  • Beheerders van alternatieve beleggingsfondsen
  • Instellingen voor collectieve belegging in effecten

Al deze entiteiten moeten een passend ICT-risicobeheerkader opzetten en onderhouden. Ze moeten kunnen aantonen dat zij voldoende maatregelen hebben geïmplementeerd voor digitale weerbaarheid én dat deze maatregelen effectief werken. Dit vereist niet alleen implementatie, maar ook regelmatige toetsing van de genomen maatregelen.

Vallen ICT-dienstverleners ook onder de DORA-wetgeving?

Ja, DORA reikt verder dan traditionele financiële instellingen. De verordening is ook van toepassing op kritieke ICT-dienstverleners die diensten leveren aan financiële entiteiten. Dit omvat cloudproviders, softwareleveranciers en datacenters die kritieke of belangrijke functies ondersteunen.

De Europese toezichthouders kunnen ICT-dienstverleners aanwijzen als “kritiek” wanneer zij diensten leveren die essentieel zijn voor de bedrijfsvoering van financiële instellingen. Deze aanwijzing brengt directe verplichtingen met zich mee. Kritieke ICT-dienstverleners moeten kunnen aantonen dat zij passende beveiligingsmaatregelen hanteren en de weerbaarheidseisen van hun klanten in de financiële sector kunnen ondersteunen.

Deze uitbreiding van de reikwijdte weerspiegelt het inzicht dat digitale operationele weerbaarheid niet alleen afhangt van interne maatregelen, maar ook van de veiligheid en betrouwbaarheid van de gehele ICT-toeleveringsketen. Financiële instellingen moeten daarom strikt beheer voeren over hun IT-dienstverleners en contractuele afspraken maken die DORA-compliance waarborgen.

Wat zijn de belangrijkste DORA-verplichtingen voor organisaties?

DORA is opgebouwd rond vijf pijlers die samen een compleet kader vormen voor digitale operationele weerbaarheid. Elke pijler stelt specifieke eisen aan financiële instellingen en hun ICT-dienstverleners.

ICT-risicobeheer vereist het inrichten van een risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit omvat regelmatige risicobeoordelingen om systemen en data veilig te houden.

ICT-gerelateerde incidentenrapportage verplicht snelle opsporing en melding van IT-incidenten. Organisaties moeten procedures hebben voor het detecteren, classificeren en rapporteren van incidenten aan toezichthouders.

Testen van digitale operationele weerbaarheid betekent dat organisaties hun digitale weerbaarheid regelmatig moeten toetsen. Voor grotere instellingen geldt de verplichting tot threat-led penetration testing.

Beheer van ICT-risico’s van derden behelst het strikt beheren van relaties met externe IT-dienstverleners. Organisaties moeten uitbestedingsrisico’s identificeren, monitoren en beheersen.

Informatie-uitwisseling vereist het actief delen van cyberdreigingsinformatie om sneller te reageren op nieuwe risico’s en de sector veiliger te maken.

Hoe bepaal je of jouw organisatie onder DORA valt?

Het vaststellen of jouw organisatie binnen de reikwijdte van DORA valt, begint met een analyse van de aard van je activiteiten en de relaties met de financiële sector. Een praktische checklist helpt bij deze beoordeling.

Stel jezelf de volgende vragen:

  • Is jouw organisatie een financiële entiteit met een vergunning van DNB of AFM?
  • Lever je ICT-diensten aan financiële instellingen die kritiek zijn voor hun bedrijfsvoering?
  • Ben je aangewezen als kritieke ICT-dienstverlener door Europese toezichthouders?
  • Ondersteun je functies die essentieel zijn voor de continuïteit van financiële dienstverlening?

Het proportionaliteitsbeginsel speelt een belangrijke rol bij DORA. Dit betekent dat de eisen worden afgestemd op de omvang, het risicoprofiel en de complexiteit van de organisatie. Kleinere instellingen krijgen minder zware verplichtingen opgelegd dan grote, systeemrelevante partijen.

DNB en AFM zijn de nationale toezichthouders die toezien op naleving van DORA in Nederland. Zij kunnen specifieke vragen stellen en inspecties uitvoeren. Een nulmeting wordt beschouwd als een essentiële eerste stap om te begrijpen wat DORA concreet betekent voor jouw organisatie.

Welke uitzonderingen en vrijstellingen kent DORA?

DORA kent een aantal uitzonderingen voor specifieke entiteiten. Bepaalde kleine ondernemingen en specifieke categorieën financiële entiteiten zijn geheel of gedeeltelijk uitgezonderd van de verordening. De exacte voorwaarden zijn vastgelegd in artikel 2 van DORA.

Het proportionaliteitsbeginsel zorgt ervoor dat kleinere organisaties minder zware eisen krijgen opgelegd. Dit betekent niet dat zij volledig zijn vrijgesteld, maar dat de implementatie-eisen worden aangepast aan hun omvang en risicoprofiel. Een kleine beleggingsonderneming heeft andere verplichtingen dan een grote bank.

Vrijstellingen gelden onder strikte voorwaarden. Organisaties die menen in aanmerking te komen voor een vrijstelling, doen er goed aan dit te verifiëren bij de relevante toezichthouder. Het zelfstandig concluderen dat DORA niet van toepassing is, kan leiden tot onaangename verrassingen bij toekomstige inspecties.

Ook voor uitgezonderde organisaties kan het waardevol zijn om de DORA-principes toe te passen. De eisen rond digitale weerbaarheid en risicobeheer zijn immers gebaseerd op best practices die voor elke organisatie relevant zijn.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt financiële instellingen en ICT-dienstverleners bij het voldoen aan de DORA-vereisten. Met ruime ervaring in de financiële sector en IT-dienstverlening bieden wij praktische ondersteuning bij het navigeren door de complexe regelgeving.

Onze DORA-dienstverlening omvat:

  • DORA-gapanalyses om te bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
  • Implementatie van ICT-risicobeheer voor het opzetten van een passend risicobeheerkader
  • Penetratietests conform DORA-vereisten om de effectiviteit van beveiligingsmaatregelen te toetsen
  • Ondersteuning bij incidentrapportage en het inrichten van meldingsprocedures
  • IT Security Officer as a Service voor doorlopende ondersteuning bij DORA-compliance
  • Monitoringstructuren die zichtbaarheid bieden op de periodieke uitvoering en effectiviteit van maatregelen

Onze NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring. Wij hanteren een pragmatische en betaalbare aanpak die past bij middelgrote organisaties. Neem contact op voor een vrijblijvend gesprek over jouw DORA-voorbereiding.

Welke financiële risicos brengt NIS2 non-compliance met zich mee?

in

NIS2-non-compliance brengt aanzienlijke financiële risico’s met zich mee voor organisaties die onder de richtlijn vallen. De kosten variëren van directe boetes tot € 10 miljoen of 2% van de wereldwijde jaaromzet, tot verborgen kosten zoals reputatieschade, verloren contracten en persoonlijke bestuurdersaansprakelijkheid. Met de deadline van 1 juli 2026 in Nederland is het cruciaal om deze risico’s te begrijpen en tijdig actie te ondernemen.

Wat zijn de maximale boetes bij NIS2-non-compliance?

De NIS2-richtlijn hanteert een gedifferentieerde boetestructuur op basis van de classificatie van jouw organisatie. Essentiële entiteiten riskeren boetes tot € 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten kunnen boetes krijgen tot € 7 miljoen of 1,4% van de wereldwijde jaaromzet.

Het onderscheid tussen essentiële en belangrijke entiteiten is bepalend voor de hoogte van mogelijke sancties. Essentiële entiteiten zijn organisaties in kritieke sectoren zoals energie, gezondheidszorg en financiële dienstverlening. Belangrijke entiteiten opereren in sectoren die weliswaar relevant zijn voor de economie, maar minder kritiek worden geacht.

Toezichthouders bepalen de exacte boetehoogte op basis van verschillende factoren:

  • de ernst en duur van de overtreding
  • het aantal getroffen personen of systemen
  • eventuele eerdere overtredingen
  • de mate waarin de organisatie heeft meegewerkt aan het onderzoek
  • genomen maatregelen om de schade te beperken

Grote organisaties met meer dan 250 medewerkers of een omzet boven € 50 miljoen die onder Annex 1 vallen, krijgen te maken met proactief toezicht. Dit betekent dat toezichthouders actief controleren op naleving, waardoor de kans op het ontdekken van overtredingen toeneemt.

Welke verborgen kosten brengt NIS2-non-compliance met zich mee?

Directe boetes vormen slechts het topje van de ijsberg. De indirecte financiële gevolgen van NIS2-non-compliance overstijgen vaak de officiële sancties aanzienlijk. Organisaties die niet voldoen aan de richtlijn lopen risico op een cascade aan kosten die de bedrijfsvoering ernstig kunnen verstoren.

Juridische kosten vormen een eerste significante kostenpost. Bij een overtreding heb je gespecialiseerde juridische bijstand nodig voor verweer tegen toezichthouders, contractuele geschillen met klanten en mogelijke aansprakelijkheidsclaims. Deze kosten lopen snel op tot tienduizenden euro’s.

De kosten voor incidentrespons en herstel zijn eveneens substantieel. Uit praktijkervaring blijkt dat de gemiddelde schade van een hack volgens brancheonderzoek rond de € 270.000 ligt. Bij non-compliance ontbreken vaak de juiste procedures en technische maatregelen om snel en effectief te reageren, waardoor de schade verder oploopt.

Andere verborgen kosten omvatten:

  • verhoogde verzekeringspremies voor cyberverzekeringen
  • verlies van contracten met klanten die compliance eisen
  • kosten voor verplichte audits en herstelmaatregelen na een overtreding
  • productiviteitsverlies tijdens herstelwerkzaamheden
  • kosten voor externe specialisten om alsnog compliance te bereiken

Hoe werkt de persoonlijke bestuurdersaansprakelijkheid onder NIS2?

NIS2 introduceert een fundamentele verschuiving in aansprakelijkheid: bestuurders en directieleden kunnen persoonlijk aansprakelijk worden gesteld voor non-compliance. Dit is een wezenlijk verschil met eerdere cybersecurityregelgeving, waar aansprakelijkheid primair op organisatieniveau lag.

De persoonlijke aansprakelijkheid ontstaat wanneer bestuurders hun zorgplicht niet nakomen. Concreet betekent dit dat zij moeten aantonen dat zij adequate cybersecuritymaatregelen hebben goedgekeurd, toezicht hebben gehouden op de implementatie en voldoende kennis hebben van de risico’s. Veel bestuurders zullen zich intern afvragen: we moeten dit waarschijnlijk op orde hebben, maar wat is daar allemaal voor nodig?

De financiële consequenties voor individuele bestuurders kunnen ingrijpend zijn:

  • persoonlijke boetes naast organisatieboetes
  • civiele aansprakelijkheid voor schade aan derden
  • mogelijke bestuursverboden bij ernstige overtredingen
  • reputatieschade die toekomstige bestuursfuncties bemoeilijkt

Bestuurders moeten daarom niet alleen zorgen dat compliance wordt gerealiseerd, maar ook begrijpen wat de materie inhoudt. De verantwoordelijkheid kan niet volledig worden gedelegeerd aan IT-afdelingen of externe partijen.

Wat is de financiële impact van reputatieschade door NIS2-overtredingen?

Publieke bekendmaking van NIS2-overtredingen kan langdurige financiële schade veroorzaken die de directe boetes ver overstijgt. Toezichthouders hebben de bevoegdheid om overtredingen openbaar te maken, waardoor reputatieschade onvermijdelijk wordt.

Klantverloop is een directe consequentie van openbaar gemaakte overtredingen. Zakelijke klanten heronderhandelen contracten of stappen over naar concurrenten die wel aantoonbaar compliant zijn. In een markt waar cybersecurity steeds belangrijker wordt voor inkoopbeslissingen, kan dit leiden tot structureel omzetverlies.

Voor beursgenoteerde ondernemingen kan een overtreding leiden tot een dalende aandelenkoers. Beleggers waarderen organisaties met cybersecurityproblemen lager vanwege het verhoogde risicoprofiel en de verwachte kosten voor herstel en compliance.

Daarnaast ondervinden organisaties met een beschadigde reputatie moeilijkheden bij:

  • het aantrekken van talent, met name in IT- en securityfuncties
  • het aangaan van partnerships met andere organisaties
  • het verkrijgen van financiering tegen gunstige voorwaarden
  • het winnen van aanbestedingen waar compliance een criterium is

Hoe verhouden de kosten van NIS2-compliance zich tot de risico’s van non-compliance?

De investering in proactieve NIS2-compliance is vrijwel altijd voordeliger dan de cumulatieve kosten van non-compliance. Een gedegen kosten-batenanalyse toont aan dat tijdige implementatie niet alleen boetes voorkomt, maar ook concurrentievoordeel oplevert.

De kosten voor compliance variëren afhankelijk van de huidige volwassenheid van jouw cybersecurityprocessen. Organisaties die al werken met informatiebeveiligingsverklaringen zoals SOC 2 of ISAE 3402 hebben vaak een voorsprong, omdat deze verklaringen aantonen in welke mate een organisatie aan internationaal erkende informatiebeveiligingsnormen voldoet.

De businesscase voor tijdige implementatie omvat meerdere elementen:

  • voorkomen van boetes tot € 10 miljoen of 2% van de omzet
  • behoud van klantrelaties en contracten
  • versterking van de marktpositie als betrouwbare partner
  • lagere verzekeringspremies door aantoonbaar risicobeheer
  • bescherming van bestuurders tegen persoonlijke aansprakelijkheid

Uit cijfers blijkt dat 70% van het mkb te maken kreeg met een cyberaanval. Organisaties die compliant zijn, beschikken over betere detectie- en responscapaciteiten, waardoor de impact van een aanval beperkt blijft. De investering in compliance is daarmee ook een investering in bedrijfscontinuïteit.

Hoe helpt Hoek en Blok IT bij het beperken van NIS2-financiële risico’s?

Hoek en Blok IT ondersteunt organisaties bij het pragmatisch en betaalbaar bereiken van NIS2-compliance, waardoor financiële risico’s effectief worden beperkt. De aanpak combineert technische expertise met auditervaring om zowel compliance als praktische veiligheidsverbetering te realiseren.

Concrete diensten voor NIS2-compliance omvatten:

  • gap-analyses om de huidige status en benodigde maatregelen in kaart te brengen
  • ISAE 3000- en ISAE 3402-verklaringen voor aantoonbare procesbeheersing
  • SOC 2-trajecten voor organisaties die internationale standaarden willen aantonen
  • security-assessments en penetratietests door ethical-hackingexperts
  • IT Security Officer-as-a-Service voor organisaties zonder interne security officer
  • ondersteuning bij het opzetten van incidentresponsprocedures

De NOREA-gecertificeerde EDP-auditors van Hoek en Blok IT begrijpen wat toezichthouders verwachten en helpen organisaties om hieraan te voldoen zonder onnodige complexiteit. Neem contact op voor een vrijblijvend gesprek over jouw NIS2-traject en beperk de financiële risico’s van non-compliance tijdig.

Wat is het verschil tussen DORA en NIS2?

in

Het belangrijkste verschil tussen DORA en NIS2 ligt in de juridische status en sectorale focus. DORA is een EU-verordening die rechtstreeks van toepassing is op financiële instellingen en hun kritieke ICT-dienstverleners, terwijl NIS2 een bredere richtlijn is die 18 sectoren bestrijkt en door lidstaten in nationale wetgeving moet worden omgezet. Beide regelgevingen stellen eisen aan cybersecurity en incidentmelding, maar met verschillende accenten en toezichtstructuren.

Wat is DORA en voor wie geldt deze verordening?

De Digital Operational Resilience Act (DORA) is een EU-verordening die sinds 17 januari 2025 van toepassing is op de financiële sector. Als verordening werkt DORA rechtstreeks in alle EU-lidstaten, zonder dat nationale omzetting nodig is. De wetgeving beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken.

DORA geldt voor een breed scala aan financiële entiteiten, waaronder banken, verzekeraars, herverzekeraars, beleggingsondernemingen, betalingsinstellingen en beheerders van beleggingsfondsen. Daarnaast vallen kritieke derde ICT-dienstverleners onder de reikwijdte, zoals cloudcomputingproviders, softwareleveranciers en datacenters die diensten leveren aan de financiële sector.

De verordening rust op vijf pijlers:

  • ICT-risicomanagement: het inrichten van een risicobeheerkader om digitale dreigingen te beheersen
  • Incidentenbeheer: snelle opsporing en melding van ICT-incidenten om schade te beperken
  • Testen van digitale weerbaarheid: regelmatige veerkrachttesten om aan toezichteis(en) te voldoen
  • Beheer van derde partijen: strikt beheer van ICT-dienstverleners om continuïteit te waarborgen
  • Informatie-uitwisseling: actief delen van cyberdreigingsinformatie binnen de sector

Wat is NIS2 en welke sectoren vallen hieronder?

De Network and Information Security Directive 2 (NIS2) is een EU-richtlijn die een breed kader biedt voor cybersecurity in essentiële en belangrijke sectoren. Anders dan DORA moet NIS2 door elke lidstaat worden omgezet in nationale wetgeving, wat kan leiden tot variaties in implementatie tussen landen.

NIS2 bestrijkt 18 sectoren die cruciaal zijn voor de samenleving en economie. Tot de essentiële sectoren behoren energie, transport, bankwezen, financiëlemarktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, overheidsdiensten en ruimtevaart. Belangrijke sectoren omvatten post- en koeriersdiensten, afvalbeheer, chemie, voedingsmiddelen, productie van medische hulpmiddelen, elektronica, machines en motorvoertuigen.

Het onderscheid tussen essentiële en belangrijke entiteiten bepaalt de intensiteit van toezicht en de hoogte van sancties. Essentiële entiteiten worden proactief gecontroleerd, terwijl bij belangrijke entiteiten reactief toezicht plaatsvindt na incidenten of signalen.

Wat zijn de belangrijkste verschillen tussen DORA en NIS2?

DORA en NIS2 verschillen op meerdere kernpunten. Het meest fundamentele verschil betreft de juridische status: DORA is een verordening die rechtstreeks werkt, terwijl NIS2 een richtlijn is die nationale omzetting vereist. Dit betekent dat DORA uniforme eisen stelt in heel Europa, terwijl de NIS2-implementatie per land kan verschillen.

De sectorale focus verschilt eveneens aanzienlijk. DORA richt zich exclusief op de financiële sector en creëert een uniform beschermingsniveau binnen de Europese financiële markt. NIS2 heeft een bredere scope en bestrijkt 18 sectoren die essentieel zijn voor de maatschappij.

Op het gebied van testen stelt DORA specifieke eisen aan threat-led penetration testing (TLPT) voor significante financiële instellingen. NIS2 kent dergelijke gedetailleerde testvereisten niet. De incidentmeldingstermijnen en toezichtstructuren verschillen eveneens, waarbij DORA werkt met sectorspecifieke toezichthouders zoals DNB en de AFM.

Qua sancties hanteert NIS2 maximale boetes tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten. DORA-sancties worden bepaald door de nationale financiële toezichthouders en kunnen eveneens substantieel zijn.

Kan een organisatie onder zowel DORA als NIS2 vallen?

Organisaties kunnen inderdaad met beide regelgevingen te maken krijgen. Dit geldt met name voor ICT-dienstverleners die diensten leveren aan zowel de financiële sector als aan organisaties in NIS2-sectoren. Denk aan cloudproviders, datacenters of softwareleveranciers met een brede klantenkring.

Bij overlap geldt het lex-specialis-principe: DORA heeft als specifiekere regeling voorrang voor financiële entiteiten. Een bank of verzekeraar volgt dus primair DORA, ook als bepaalde activiteiten onder NIS2 zouden kunnen vallen. De wetgever heeft dit bewust zo ingericht om dubbele compliancelasten te voorkomen.

Voor het bepalen van de primair toepasselijke regelgeving is het raadzaam om:

  • De kernactiviteiten van de organisatie te analyseren
  • Te bepalen of de organisatie een financiële entiteit is volgens EU-regelgeving
  • In kaart te brengen welke diensten aan welke sectoren worden geleverd
  • Bij twijfel juridisch advies in te winnen over de exacte scope

Welke eisen stellen DORA en NIS2 aan incidentmelding?

Beide regelgevingen verplichten organisaties tot het melden van significante ICT-incidenten, maar de specifieke eisen verschillen. DORA schrijft voor dat financiële entiteiten ernstige ICT-gerelateerde incidenten melden aan de bevoegde toezichthouder. De melding moet plaatsvinden via een gestructureerd proces met initiële, tussentijdse en eindrapportages.

NIS2 hanteert een meldingstermijn van 24 uur voor een vroege waarschuwing bij significante incidenten, gevolgd door een volledige melding binnen 72 uur. De definitie van meldingsplichtige incidenten verschilt tussen beide regelgevingen, waarbij DORA specifiek focust op ICT-gerelateerde verstoringen van financiële dienstverlening.

De praktische implicaties voor interne processen zijn aanzienlijk. Organisaties moeten beschikken over:

  • Duidelijke criteria voor het classificeren van incidenten
  • Gedefinieerde escalatieprocedures en verantwoordelijkheden
  • Rapportagesjablonen die aansluiten bij toezichteisen
  • Processen voor het verzamelen en analyseren van incidentgegevens

Hoe bereid je jouw organisatie voor op DORA- én NIS2-compliance?

Een gestructureerde aanpak begint met een gapanalyse om vast te stellen waar de organisatie staat ten opzichte van de vereisten. Dit omvat een grondige analyse van ICT-risico’s, bestaande beveiligingsmaatregelen en governancestructuren. De gapanalyse vormt de basis voor een realistisch implementatieplan.

Het opzetten van adequate governancestructuren is cruciaal. DORA vraagt om aantoonbaarheid, niet alleen om beleid. De bestuurlijke verantwoordelijkheid en inrichting van de second line zijn essentieel voor duurzame compliance. Dit betekent dat rollen, verantwoordelijkheden en rapportagelijnen helder moeten zijn.

Verdere stappen omvatten:

  • Implementeren van een op maat gemaakt ICT-risicobeheerkader
  • Versterken van leveranciersmanagement met contractuele afspraken over digitale weerbaarheid
  • Opzetten van testprogramma’s voor veerkracht en penetratietesten
  • Inrichten van incidentdetectie- en rapportageprocessen
  • Ontwikkelen van informatie-uitwisselingsprotocollen

Bij overlappende vereisten tussen DORA en NIS2 loont het om maatregelen te bundelen. Een robuust ICT-risicomanagementkader dient beide regelgevingen, evenals een goed ingericht incidentmanagementproces.

Hoe helpt Hoek en Blok IT bij DORA- en NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van DORA- en NIS2-compliance met een pragmatische, resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met ruime auditervaring in de financiële sector en bij ICT-dienstverleners.

De dienstverlening omvat:

  • Gapanalyses: bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
  • IT-audits en assurancerapportages: ISAE 3000-verklaringen om DORA-naleving aantoonbaar te maken
  • Securityassessments en penetratietests: testen van digitale weerbaarheid conform regelgevingseisen
  • Implementatieondersteuning: begeleiding bij het inrichten van governance, risicomanagement en incidentrapportage
  • IT Security Officer as a Service: doorlopende ondersteuning voor het monitoren en onderhouden van compliance

Wil je weten waar jouw organisatie staat op het gebied van DORA of NIS2? Neem contact op voor een vrijblijvend gesprek of vraag een nulmeting aan om vast te stellen welke stappen nodig zijn voor aantoonbare compliance.