DORA is belangrijk omdat deze Europese verordening de digitale operationele weerbaarheid van de financiële sector structureel versterkt. De Digital Operational Resilience Act verplicht financiële instellingen en hun ICT-dienstverleners om robuuste maatregelen te nemen tegen cyberaanvallen en operationele verstoringen. Met de ingangsdatum van 17 januari 2025 moeten organisaties nu actie ondernemen om compliant te zijn. Dit artikel beantwoordt de belangrijkste vragen over DORA en biedt praktische handvatten voor jouw organisatie.

Wat is DORA en waarom is deze wetgeving nu zo relevant?

DORA (Digital Operational Resilience Act) is een Europese verordening die financiële instellingen verplicht hun netwerk- en informatiesystemen beter te beveiligen tegen cyberaanvallen en andere verstoringen. De wet is sinds januari 2023 van kracht, maar organisaties hebben tot 17 januari 2025 om volledig aan alle vereisten te voldoen.

De relevantie van DORA is direct gekoppeld aan de toenemende digitale dreigingen waarmee de financiële sector te maken heeft. Cyberaanvallen worden steeds geavanceerder en de afhankelijkheid van digitale systemen groeit exponentieel. Tot nu toe was er binnen Europa geen uniform regelgevingskader voor digitale weerbaarheid in de financiële sector, wat leidde tot versnippering en onduidelijkheid.

DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie en concurrentie stimuleert terwijl risico’s worden beperkt. De verordening creëert een gelijk speelveld voor alle financiële instellingen binnen de EU en zorgt voor betere bescherming van consumenten. Dit uniforme kader vermindert dubbele regels en biedt heldere eisen voor heel Europa.

Voor welke organisaties is DORA verplicht?

DORA is van toepassing op een breed scala aan financiële entiteiten binnen de Europese Unie. Dit omvat banken, verzekeraars, herverzekeraars, beleggingsondernemingen, betalingsinstellingen, elektronische geldinstellingen en beheerders van alternatieve beleggingsfondsen. Ook cryptodienstverleners vallen onder de reikwijdte van deze verordening.

Naast financiële instellingen geldt DORA ook voor kritieke ICT-dienstverleners die services leveren aan de financiële sector. Denk hierbij aan cloudcomputingproviders, softwareleveranciers en datacenters. Deze IT-serviceleveranciers moeten eveneens voldoen aan DORA-vereisten wanneer zij diensten verlenen aan financiële instellingen.

De wetgeving hanteert proportionaliteitsbeginselen, wat betekent dat de eisen worden afgestemd op de omvang en complexiteit van de organisatie. Kleinere instellingen hoeven niet aan dezelfde zware eisen te voldoen als grote systeembanken. Toch is het essentieel om te beoordelen of jouw organisatie direct of indirect onder DORA valt, bijvoorbeeld via ketenpartijen of een moedermaatschappij.

Wat zijn de belangrijkste pijlers van DORA?

DORA rust op vijf kernpijlers die samen een robuust raamwerk vormen voor digitale operationele weerbaarheid. Deze pijlers zijn onderling verbonden en vereisen een geïntegreerde aanpak binnen jouw organisatie.

• ICT-risicobeheer: Het inrichten van een ICT-risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit omvat regelmatige ICT-risicobeoordelingen om systemen en data veilig te houden.
• ICT-gerelateerde incidentenrapportage: Snelle opsporing en melding van ICT-incidenten om schade te beperken. Organisaties moeten processen inrichten voor tijdige rapportage aan toezichthouders.
• Testen van digitale operationele weerbaarheid: Regelmatige tests van de digitale weerbaarheid, waaronder penetratietests en scenariotests. Dit helpt kwetsbaarheden te identificeren voordat ze worden uitgebuit.
• Beheer van ICT-risico’s van derde partijen: Strikt beheer van ICT-dienstverleners om continuïteit en veiligheid te waarborgen. Contractuele afspraken moeten digitale weerbaarheid garanderen.
• Informatie-uitwisseling: Actief delen van cyberdreigingsinformatie om sneller te reageren op nieuwe risico’s en de sector als geheel veiliger te maken.

Deze vijf pijlers vormen de basis voor aantoonbare compliance. Het gaat niet alleen om beleid op papier, maar om daadwerkelijke implementatie en de mogelijkheid om aan te tonen dat je in control bent.

Welke gevolgen heeft het niet naleven van DORA voor organisaties?

Non-compliance met DORA kan leiden tot aanzienlijke consequenties voor organisaties. Nationale toezichthouders en Europese toezichthoudende autoriteiten hebben de bevoegdheid om administratieve sancties op te leggen bij overtredingen. Deze boetes kunnen substantieel zijn en vormen een directe financiële impact.

Naast financiële sancties speelt reputatieschade een belangrijke rol. Organisaties die niet voldoen aan DORA-vereisten kunnen het vertrouwen van klanten en partners verliezen. In de financiële sector is vertrouwen een kernwaarde die moeilijk te herstellen is na een incident of publicatie over non-compliance.

Bestuurders en management dragen persoonlijke verantwoordelijkheid voor DORA-compliance. De verordening benadrukt dat digitale weerbaarheid een governancevraagstuk is, niet alleen een IT-thema. Dit betekent dat bestuurders actief betrokken moeten zijn bij de implementatie en het toezicht op de naleving.

Operationele risico’s vormen een vaak onderschatte consequentie. Zonder adequate digitale weerbaarheid is de kans op verstoringen groter, met mogelijke gevolgen voor de continuïteit van dienstverlening en de bescherming van klantgegevens.

Hoe bereid je jouw organisatie voor op DORA-compliance?

Een gestructureerde aanpak is essentieel voor succesvolle DORA-voorbereiding. Begin met een nulmeting of gapanalyse om vast te stellen waar jouw organisatie staat ten opzichte van de DORA-vereisten. Dit geeft inzicht in de gebieden die aandacht nodig hebben.

De praktische stappen voor DORA-voorbereiding omvatten:

• Voer een grondige gapanalyse uit om lacunes te identificeren
• Richt een ICT-risicobeheerkader in dat voldoet aan DORA-normen
• Ontwikkel en implementeer incidentrapportageprocessen
• Stel een testprogramma op voor regelmatige weerbaarheidstests
• Herzie contracten met ICT-leveranciers en leg afspraken vast over digitale weerbaarheid
• Zorg voor documentatie die aantoonbaarheid waarborgt

Met de deadline van januari 2025 is prioritering cruciaal. Focus op de gebieden met de grootste risico’s en werk systematisch naar volledige compliance. DORA vraagt om aantoonbaarheid, dus documenteer alle maatregelen en processen zorgvuldig. Een ISAE 3000-verklaring kan een manier zijn om naleving aantoonbaar te maken voor externe partijen.

Wat is het verschil tussen DORA en bestaande regelgeving zoals NIS2?

DORA en NIS2 zijn beide EU-wetgevingen gericht op verbetering van cyberveiligheid, maar ze hebben een verschillende focus en reikwijdte. NIS2 geldt voor een breed scala aan sectoren die essentieel zijn voor de economie en samenleving, zoals energie, transport, gezondheid en digitale infrastructuur. DORA richt zich specifiek op de financiële sector en stelt gedetailleerde eisen aan digitale operationele weerbaarheid.

De belangrijkste verschillen zijn:

• NIS2 heeft een bredere scope over meerdere kritieke sectoren
• DORA bevat specifiekere eisen voor ICT-risicobeheer en derdenbeheer
• DORA vereist verplichte penetratietests (TLPT) voor bepaalde instellingen
• De incidentrapportage-eisen onder DORA zijn gedetailleerder voor de financiële sector

Beide wetgevingen zijn op elkaar afgestemd om juridische duidelijkheid en coherentie te waarborgen. Dit voorkomt overlappende of tegenstrijdige vereisten. Voor organisaties die onder beide regelgevingen vallen, is het verstandig om een geïntegreerde complianceaanpak te hanteren. De AVG blijft daarnaast van toepassing voor de bescherming van persoonsgegevens, wat betekent dat privacyaspecten ook in de DORA-implementatie moeten worden meegenomen.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van hun DORA-implementatie met een pragmatische en resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om jouw organisatie effectief voor te bereiden op de DORA-deadline.

De concrete ondersteuning omvat:

• Gapanalyses en nulmetingen: vaststellen waar jouw organisatie staat en welke stappen nodig zijn
• IT-audits en assurancerapportages: ISAE 3000-verklaringen om naleving aantoonbaar te maken
• Securityassessments en penetratietests: testen van digitale weerbaarheid conform DORA-vereisten
• IT Security Officer as a Service: continue ondersteuning bij implementatie en monitoring
• Ondersteuning bij derdenbeheer: beoordeling van ICT-leveranciers en contractherziening
• Incidentrapportageprocessen: inrichting van processen voor tijdige melding bij toezichthouders

Met een betaalbare en doelgerichte werkwijze helpt Hoek en Blok IT jouw organisatie om niet alleen compliant te zijn, maar ook daadwerkelijk veiliger te opereren. Bekijk onze DORA-dienstverlening of neem contact op voor een vrijblijvend adviesgesprek over jouw DORA-voorbereiding.

De kosten van NIS2-implementatie variëren sterk per organisatie en liggen doorgaans tussen enkele tienduizenden en enkele honderdduizenden euro. De totale investering hangt af van factoren zoals organisatiegrootte, huidige securityvolwassenheid en de complexiteit van je IT-infrastructuur. Met de deadline van 1 juli 2026 in zicht is het verstandig om nu al te budgetteren. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-kosten en geven we praktische tips om je investering te optimaliseren.

Wat bepaalt de kosten van NIS2-implementatie?

De kosten van NIS2-implementatie worden bepaald door vier hoofdfactoren: de omvang van je organisatie, je huidige niveau van cyberbeveiliging, de sector waarin je actief bent en de complexiteit van je IT-omgeving. Middelgrote organisaties (50+ medewerkers of een omzet boven 10 miljoen euro) die onder de richtlijn vallen, hebben andere investeringen nodig dan grote ondernemingen met meer dan 250 medewerkers.

Je huidige securityvolwassenheid speelt een cruciale rol. Organisaties die al werken met een managementsystematiek zoals ISO 27001 hebben een voorsprong. NIS2 vereist namelijk een risicogebaseerde aanpak met helder beleid over risicoanalyse en beveiliging van informatiesystemen. Wie hier al mee bezig is, hoeft minder te investeren in nieuwe processen.

Daarnaast is er een belangrijk onderscheid tussen eenmalige implementatiekosten en doorlopende operationele uitgaven. De initiële investering omvat gap-analyses, beleidsontwikkeling en technische aanpassingen. Structurele kosten betreffen monitoring, periodieke effectiviteitsbeoordelingen en het onderhouden van je cyberbeveiligingsmaatregelen. Organisaties die onder bijlage I vallen en proactief toezicht krijgen, moeten rekening houden met hogere doorlopende kosten.

Welke onderdelen van NIS2-implementatie kosten het meest?

De grootste investeringen bij NIS2-implementatie gaan naar technische beveiligingsmaatregelen en het opzetten van een robuust incidentrespons­systeem. De richtlijn eist passende maatregelen voor risicoanalyse, cryptografie en encryptie, wat vaak betekent dat bestaande systemen moeten worden aangepast of vervangen.

De kostenverdeling ziet er voor de meeste organisaties als volgt uit:

• Risicobeoordeling en gap-analyse: Een nulmeting om te bepalen waar je staat ten opzichte van de NIS2-eisen vormt de basis van elk traject.
• Technische maatregelen: Investeringen in beveiligingssoftware, netwerksegmentatie en adequate encryptie.
• Incidentresponsprocedures: Het opzetten van meldplichtprocessen, inclusief de vereiste melding binnen 24 uur bij cyberincidenten.
• Supply chain security: Beoordeling en contractuele afspraken met leveranciers over cyberbeveiligingseisen.
• Training en awareness: Alle medewerkers moeten zich bewust zijn van de gevaren en weten hoe ze een hack kunnen voorkomen.
• Audit en rapportage: Periodieke evaluatie van de effectiviteit van maatregelen, zoals de richtlijn voorschrijft.

Organisaties die kiezen voor NIS2 in plaats van ISO 27001-certificering doen dit soms omdat ISO als te veelomvattend wordt ervaren. Toch vereist NIS2 ook een managementsystematiek, wat betekent dat de investeringen in documentatie en processen vergelijkbaar kunnen zijn.

Hoe kun je NIS2-implementatiekosten verlagen zonder compliance te riskeren?

Een gefaseerde aanpak is de meest effectieve manier om NIS2-kosten beheersbaar te houden. Door prioriteit te geven aan de hoogste risico’s en stapsgewijs te werken, blijft het traject overzichtelijk en kun je directie en collega’s goed aanhaken. Zie het als een verandertraject dat continu aandacht verdient, niet als een afgebakend project.

Praktische strategieën voor kostenoptimalisatie:

• Bouw voort op bestaande frameworks: Organisaties met ISO 27001 of vergelijkbare certificeringen kunnen veel bestaand werk hergebruiken.
• Bundel compliance­trajecten: Combineer NIS2 met andere verplichtingen, zoals de AVG, om dubbel werk te voorkomen.
• Maak slimme keuzes tussen inhouse en extern: Niet elke organisatie heeft een fulltime security officer nodig. Externe expertise kan kosteneffectiever zijn.
• Prioriteer op basis van risico: Begin met de maatregelen die de grootste impact hebben op je cyberweerbaarheid.
• Houd het klein: Met elke kleine stap tref je een verbetering en alle stappen samen zorgen voor een volwassen beveiligingsniveau.

Wat zijn de verborgen kosten bij NIS2-implementatie?

Naast de directe implementatiekosten zijn er verborgen kostenposten die organisaties vaak over het hoofd zien. Productiviteitsverlies tijdens het implementatietraject is een belangrijke factor. Medewerkers moeten tijd besteden aan trainingen, interviews voor gap-analyses en het aanpassen van werkprocessen.

Andere vaak vergeten kosten:

• Documentatie en beleidsontwikkeling: Het opstellen van helder beleid dat door het bestuur wordt vastgesteld en periodiek wordt herzien, kost tijd en expertise.
• Doorlopende monitoring en maintenance: De effectiviteit van maatregelen moet periodiek worden geëvalueerd om te zorgen dat deze adequaat blijven.
• Periodieke audits: NIS2 vereist continue verbetering, wat betekent dat audits een terugkerende kostenpost worden.
• Impact op bestaande IT-projecten: Security-eisen kunnen leiden tot aanpassingen in lopende projecten en roadmaps.
• Bestuurlijke betrokkenheid: Het inrichten van een rapportagelijn en periodiek overleg met het management vraagt structurele aandacht.

Onder NIS2 wordt het topmanagement persoonlijk aansprakelijk voor non-compliance. Dit betekent dat bestuurders niet alleen budget moeten vrijmaken, maar ook actief betrokken moeten zijn bij het traject.

Wanneer moet je beginnen met budgetteren voor NIS2?

Met de Nederlandse implementatie van NIS2 via de Cyberbeveiligingswet per 1 juli 2026 is nu het moment om te beginnen met budgetteren. Een vroege start geeft je de ruimte om kosten te spreiden over meerdere boekjaren en voorkomt dat je last minute tegen hogere tarieven moet werken vanwege schaarste aan externe expertise.

Een praktische tijdlijn:

• Nu tot en met Q1 2025: Voer een gap-analyse uit om te bepalen waar je staat en welke investeringen nodig zijn.
• 2025: Implementeer de belangrijkste maatregelen gefaseerd, beginnend met de hoogste risico’s.
• Begin 2026: Rond de implementatie af en zorg dat alle documentatie en processen op orde zijn.
• Juli 2026: Deadline voor compliance met de Cyberbeveiligingswet.

Uitstel brengt risico’s met zich mee. Naarmate de deadline nadert, wordt de vraag naar securityspecialisten groter en stijgen de tarieven. Bovendien heb je bij een late start minder ruimte om fouten te corrigeren of onvoorziene obstakels op te lossen.

Hoe helpt Hoek en Blok IT bij NIS2-implementatiekosten?

Hoek en Blok IT biedt pragmatische ondersteuning bij NIS2-implementatie, gericht op een kosteneffectieve aanpak die past bij middelgrote organisaties. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om je traject doelgericht in te richten.

Concrete oplossingen voor kostenbeheersing:

• NIS2-nulmeting: Een pragmatische gap-analyse die helder maakt waar je staat en welke investeringen prioriteit hebben.
• IT Security Officer as a Service: Toegang tot specialistische expertise zonder de kosten van een fulltime medewerker.
• Gefaseerde implementatietrajecten: Een stapsgewijze aanpak die past bij je budget en organisatie.
• Security-assessments en penetratietests: Concrete inzichten in je technische kwetsbaarheden.
• Ondersteuning bij beleidsontwikkeling: Hulp bij het opstellen van documentatie die voldoet aan de NIS2-eisen.

Wil je weten wat NIS2-implementatie voor jouw organisatie betekent? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden en krijg inzicht in een realistische kostenbegroting voor jouw situatie.

De Nederlandsche Bank (DNB) controleert de naleving van DORA door een combinatie van periodieke rapportages, on-site inspecties en thematische onderzoeken. Als aangewezen toezichthouder voor de financiële sector in Nederland hanteert DNB een risicogebaseerde aanpak, waarbij organisaties met hogere ICT-risico’s intensiever worden gecontroleerd. Dit artikel beantwoordt de belangrijkste vragen over de toezichtmethoden van DNB, de rapportageverplichtingen en de mogelijke sancties.

Wat is de rol van DNB bij het toezicht op DORA?

DNB is aangewezen als de bevoegde toezichthouder voor DORA in Nederland. Dit betekent dat DNB verantwoordelijk is voor het controleren of financiële instellingen voldoen aan de vereisten voor digitale operationele weerbaarheid. De wettelijke basis hiervoor ligt in de Europese DORA-verordening, die sinds januari 2023 van kracht is en per 17 januari 2025 volledig van toepassing is.

DNB werkt nauw samen met de Europese toezichthouders, de zogenaamde ESA’s: de European Banking Authority (EBA), de European Insurance and Occupational Pensions Authority (EIOPA) en de European Securities and Markets Authority (ESMA). Deze samenwerking zorgt voor een uniform toezichtskader binnen de gehele Europese Unie en voorkomt dat organisaties met tegenstrijdige eisen worden geconfronteerd.

De reikwijdte van de toezichtbevoegdheden van DNB omvat alle financiële instellingen die onder DORA vallen, waaronder:

• Banken en kredietinstellingen
• Verzekeraars en herverzekeraars
• Beleggingsondernemingen en fondsbeheerders
• Betaalinstellingen en elektronische geldinstellingen
• Pensioenfondsen

DNB integreert specifieke toezichtsvragen voor zowel Bank LSI-entiteiten (Less Significant Institutions) als pensioen- en verzekeringsorganisaties in haar toezichtaanpak. Deze vragen geven inzicht in de prioriteiten van de toezichthouder, maar de volledige DORA-verordening blijft onverkort van toepassing.

Welke toezichtmethoden gebruikt DNB om DORA-naleving te controleren?

DNB zet verschillende concrete toezichtinstrumenten in om de naleving van DORA te controleren. De toezichthouder hanteert een risicogebaseerde aanpak, waarbij de intensiteit van het toezicht afhangt van de omvang, complexiteit en het risicoprofiel van de organisatie. Grotere instellingen met meer kritieke ICT-systemen krijgen intensiever toezicht.

De belangrijkste toezichtmethoden zijn:

• Periodieke rapportages en self-assessments: Organisaties moeten regelmatig aantonen hoe zij hun ICT-risico’s beheersen en welke maatregelen zij hebben getroffen.
• On-site inspecties en audits: DNB voert fysieke controles uit bij instellingen om de daadwerkelijke implementatie van DORA-vereisten te beoordelen.
• Thematische onderzoeken: Gerichte onderzoeken naar specifieke DORA-onderdelen, zoals derdenbeheer of incidentmanagement, over meerdere instellingen heen.
• Doorlopend toezicht: Continue monitoring van het ICT-risicobeheer en binnengekomen incidentmeldingen.

Bij thematische onderzoeken kijkt DNB naar hoe de sector als geheel presteert op bepaalde DORA-onderdelen. Dit kan leiden tot sectorspecifieke aanbevelingen of aangescherpte verwachtingen. De toezichtsvragen van DNB kunnen in de loop der tijd wijzigen, afhankelijk van actuele risico’s en ontwikkelingen in de sector.

Wat moet je rapporteren aan DNB onder DORA?

Onder DORA gelden verschillende verplichte rapportages aan DNB. Deze rapportages vormen een belangrijk onderdeel van het toezicht en stellen DNB in staat om de digitale weerbaarheid van de financiële sector te monitoren. De belangrijkste rapportageverplichtingen zijn:

ICT-incidentmeldingen: Bij ernstige ICT-gerelateerde verstoringen, zoals datalekken of cyberaanvallen, moet je dit binnen vastgestelde termijnen melden aan DNB. DORA vereist snelle opsporing en melding van incidenten om schade te beperken. De exacte termijnen en formats worden bepaald door de technische standaarden die de ESA’s hebben ontwikkeld.

Registers van uitbestedingscontracten: Je moet een actueel overzicht bijhouden van alle contracten met ICT-dienstverleners. Dit register bevat informatie over kritieke en belangrijke functies die zijn uitbesteed, de risico’s die hieraan verbonden zijn en de contractuele afspraken die de digitale weerbaarheid waarborgen.

Resultaten van penetratietests: Voor instellingen die verplicht zijn tot Threat-Led Penetration Testing (TLPT) moeten de resultaten worden gerapporteerd aan DNB. Deze geavanceerde tests simuleren realistische cyberaanvallen om de weerbaarheid van kritieke systemen te toetsen.

Updates over het ICT-risicobeheerframework: Periodiek moet je DNB informeren over de inrichting en werking van je ICT-risicobeheerkader. Dit omvat regelmatige risicobeoordelingen en de effectiviteit van de getroffen maatregelen.

Welke sancties kan DNB opleggen bij niet-naleving van DORA?

DNB beschikt over een uitgebreid handhavingsinstrumentarium om de naleving van DORA af te dwingen. De toezichthouder past het proportionaliteitsbeginsel toe, wat betekent dat de zwaarte van de sanctie in verhouding staat tot de ernst van de overtreding.

Het handhavingsinstrumentarium omvat:

• Waarschuwingen en aanwijzingen: Bij minder ernstige tekortkomingen kan DNB een formele waarschuwing geven of een aanwijzing om specifieke maatregelen te treffen.
• Bestuurlijke boetes: Bij overtredingen kan DNB financiële sancties opleggen, waarbij de hoogte afhangt van de ernst en duur van de overtreding.
• Dwangsommen: Om naleving af te dwingen kan DNB een dwangsom opleggen per dag dat een overtreding voortduurt.
• Publicatie van overtredingen: DNB kan besluiten om overtredingen openbaar te maken, wat reputatieschade kan veroorzaken.
• Intrekking van vergunningen: Bij ernstige en structurele tekortkomingen kan DNB als ultiem middel de vergunning intrekken.

De proportionaliteit van sancties houdt rekening met factoren zoals de omvang van de instelling, de mate van verwijtbaarheid en eventuele eerdere overtredingen. Een proactieve houding en goede samenwerking met de toezichthouder kunnen de impact van handhavingsmaatregelen beperken.

Hoe bereid je je organisatie voor op een DNB DORA-controle?

Een gedegen voorbereiding op een DNB DORA-controle begint met het structureel op orde brengen van je digitale operationele weerbaarheid. De volgende praktische stappen helpen je organisatie om controlegereed te zijn:

Voer een gap-analyse uit: Breng in kaart waar je organisatie staat ten opzichte van de DORA-vereisten. Identificeer welke risico’s nog bestaan of welke maatregelen nog nodig zijn om voldoende digitale weerbaarheid te bereiken. Een grondige analyse van IT-risico’s en kansen vormt hierbij het startpunt.

Breng documentatie en beleid op orde: Zorg dat je ICT-beleid, procedures en risicobeoordelingen actueel en volledig gedocumenteerd zijn. DNB verwacht dat je kunt aantonen hoe je digitale dreigingen beheerst en klantgegevens beschermt.

Richt interne audit- en testprogramma’s in: Stel een programma op voor regelmatige veerkrachttesten en interne audits. Dit toont aan dat je organisatie continu werkt aan de verbetering van de digitale weerbaarheid.

Leg verantwoordelijkheden en governance helder vast: Maak duidelijk wie binnen de organisatie verantwoordelijk is voor welke DORA-onderdelen. Het bestuur draagt de eindverantwoordelijkheid voor de naleving.

Zorg voor audit trails en bewijsvoering: Documenteer alle compliance-inspanningen zodat je bij een controle kunt aantonen welke maatregelen zijn getroffen en hoe effectief deze zijn.

Hoe helpt Hoek en Blok IT bij DORA-toezicht en compliance?

Hoek en Blok IT ondersteunt organisaties bij het voorbereiden op en voldoen aan DORA-vereisten met een pragmatische en betaalbare aanpak. Met meer dan 30 jaar praktijkervaring in de financiële sector en bij IT-dienstverleners bieden NOREA-gecertificeerde EDP-auditors diepgaande kennis van sectorvereisten.

De concrete dienstverlening omvat:

• Gap-analyses en readiness assessments: Bepaal welke risico’s nog bestaan of welke maatregelen nog nodig zijn om voldoende digitale weerbaarheid te bereiken.
• Penetratietests en TLPT-ondersteuning: Uitvoering van verplichte ethische hacktests door ervaren specialisten.
• Opzetten van ICT-risicobeheerframeworks: Ontwikkeling van een op maat gemaakt kader dat voldoet aan DORA-normen.
• Hulp bij rapportageverplichtingen: Ondersteuning bij het correct en tijdig voldoen aan meldingsverplichtingen.
• IT Security Officer as a Service: Doorlopende compliance-ondersteuning zonder fulltime aanstelling.
• DORA-audits: Beoordeling van de naleving van regelgevende vereisten en monitoring van de effectiviteit van maatregelen.

Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.

Onder DORA moet je als financiële instelling ICT-risico’s identificeren op het gebied van cybersecurity, uitbesteding aan derden, ICT-systemen en -infrastructuur, databescherming en incidentbeheer. Deze risico-identificatie vormt de basis voor digitale operationele weerbaarheid en is sinds januari 2025 wettelijk verplicht. In dit artikel beantwoorden we de belangrijkste vragen over welke risico’s je moet identificeren en hoe je dit effectief aanpakt.

Wat is risico-identificatie onder DORA en waarom is het verplicht?

Risico-identificatie onder DORA is het systematisch in kaart brengen van alle ICT-gerelateerde risico’s die de digitale operationele weerbaarheid van je organisatie kunnen bedreigen. De Digital Operational Resilience Act verplicht financiële instellingen om deze risico’s te identificeren, documenteren en actief te beheren als onderdeel van een robuust ICT-risicomanagementkader.

De Europese toezichthouders hebben deze verplichting opgelegd omdat de financiële sector steeds afhankelijker wordt van digitale systemen en externe IT-dienstverleners. Een cyberaanval of systeemstoring kan niet alleen individuele organisaties raken, maar ook de stabiliteit van het hele financiële systeem in gevaar brengen. DORA creëert daarom een uniform regelgevingskader binnen de EU dat versnippering en dubbele regels voorkomt door heldere, uniforme eisen te stellen.

Het verschil met traditioneel risicomanagement zit in de specifieke focus op ICT-risico’s en digitale weerbaarheid. Waar traditioneel risicomanagement zich richt op financiële en operationele risico’s in brede zin, vereist DORA een diepgaande analyse van netwerk- en informatiesysteembeveiliging. Organisaties moeten niet alleen aantonen dat ze maatregelen hebben geïmplementeerd, maar ook dat deze maatregelen effectief werken. Dit vereist een proactieve aanpak, waarbij risico-identificatie een continu proces is en geen eenmalige exercitie.

Welke categorieën ICT-risico’s moet je identificeren volgens DORA?

DORA vereist dat je vijf hoofdcategorieën ICT-risico’s identificeert: cybersecurityrisico’s, risico’s bij uitbesteding aan derde partijen, risico’s rondom ICT-systemen en -infrastructuur, datarisico’s en risico’s gerelateerd aan ICT-incidenten. Deze categorieën vormen samen het fundament van je risicomanagementframework.

Cybersecurityrisico’s omvatten bedreigingen zoals malware, ransomware, phishingaanvallen en ongeautoriseerde toegang tot systemen. Je moet identificeren welke systemen kwetsbaar zijn en welke dreigingen het meest waarschijnlijk zijn voor jouw organisatie.

Risico’s bij uitbesteding aan derden betreffen de afhankelijkheid van externe IT-dienstverleners, zoals cloudproviders, softwareleveranciers en datacentra. DORA erkent dat financiële instellingen vaak sterk afhankelijk zijn van deze partijen en dat zij daarom ook een rol spelen in de digitale weerbaarheid van de sector.

ICT-systeem- en infrastructuurrisico’s gaan over de betrouwbaarheid en beschikbaarheid van je technische omgeving. Denk aan verouderde hardware, onvoldoende capaciteit of single points of failure in je architectuur.

Datarisico’s betreffen de integriteit, beschikbaarheid en vertrouwelijkheid van gegevens. Dit omvat risico’s rondom dataverlies, ongeautoriseerde toegang en non-compliance met privacywetgeving.

Incidentgerelateerde risico’s richten zich op de mogelijke impact van ICT-incidenten en de capaciteit om hierop adequaat te reageren. Deze categorieën hangen nauw samen: een cybersecurityincident bij een externe leverancier kan bijvoorbeeld leiden tot dataverlies en systeemuitval bij jouw organisatie.

Hoe voer je een effectieve DORA-risico-inventarisatie uit?

Een effectieve DORA-risico-inventarisatie begint met het in kaart brengen van alle kritieke ICT-assets en -processen binnen je organisatie. Vervolgens identificeer je bedreigingen en kwetsbaarheden, beoordeel je de risico’s en documenteer je de bevindingen conform de DORA-vereisten. Dit proces verloopt het beste via een gestructureerde aanpak.

De eerste stap is het opstellen van een compleet overzicht van je ICT-landschap. Dit omvat hardware, software, netwerken, data en de processen die hiervan afhankelijk zijn. Bepaal welke assets kritiek zijn voor je bedrijfsvoering en welke impact uitval zou hebben. Een effectieve baseline assessment maakt gebruik van een normenkader, waarbij de scope van processen of risico’s in samenwerking met de organisatie wordt bepaald.

Vervolgens identificeer je de bedreigingen die deze assets kunnen raken. Denk aan externe dreigingen zoals cyberaanvallen, maar ook interne risico’s zoals menselijke fouten of procesmatige tekortkomingen. Koppel deze bedreigingen aan de kwetsbaarheden in je systemen en processen. De assessment omvat interviews, documentonderzoek en inspectie van beleidsdocumenten, procedures, uitgevoerde controls en configuraties.

De risicobeoordeling bepaalt de waarschijnlijkheid en impact van elk geïdentificeerd risico. Gebruik hiervoor een consistente methodiek die je kunt uitleggen aan toezichthouders. Documenteer niet alleen de risico’s zelf, maar ook de onderbouwing van je beoordeling en de maatregelen die je neemt om risico’s te beheersen. Een helder rapport identificeert zowel de belangrijkste aandachtspunten met bijbehorende aanbevelingen als wat de organisatie al goed doet.

Welke risico’s bij externe ICT-dienstverleners moet je in kaart brengen?

Bij externe ICT-dienstverleners moet je risico’s identificeren rondom continuïteit, beveiliging, concentratie en contractuele naleving. DORA vereist strikt beheer van IT-dienstverleners om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen. Dit geldt voor cloudproviders, softwareleveranciers, datacentra en andere kritieke dienstverleners.

Het register van uitbestedingsovereenkomsten vormt de basis voor third-party-risicomanagement. Hierin documenteer je alle contracten met externe ICT-dienstverleners, inclusief de aard van de dienstverlening, de kritikaliteit voor je bedrijfsvoering en de contractuele afspraken over beveiliging en continuïteit. Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf.

Concentratierisico’s verdienen bijzondere aandacht. Als meerdere kritieke functies afhankelijk zijn van dezelfde leverancier, of als de hele sector afhankelijk is van een beperkt aantal grote providers, ontstaat een systemisch risico. Je moet identificeren waar deze concentraties bestaan en welke alternatieven beschikbaar zijn bij uitval.

Beoordeel ook de risico’s in de keten: welke partijen schakelt jouw leverancier in en welke risico’s brengt dit met zich mee? Maak contractuele afspraken die digitale weerbaarheid waarborgen en houd toezicht op de prestaties van je leveranciers. Dit helpt financiële instellingen hun verantwoordelijkheid voor digitale weerbaarheid te behouden, zelfs wanneer zij gebruikmaken van externe IT-diensten.

Wat zijn de meest voorkomende fouten bij DORA-risico-identificatie?

De meest voorkomende fouten bij DORA-risico-identificatie zijn het onderschatten van ketenrisico’s, een onvolledige asset-inventarisatie, onvoldoende betrokkenheid van het bestuur en het niet regelmatig actualiseren van de risicoanalyse. Deze valkuilen kunnen leiden tot onaangename verrassingen bij toekomstig onderzoek door toezichthouders.

Veel organisaties focussen te sterk op hun eigen systemen en onderschatten de risico’s die via externe leveranciers binnenkomen. Een leverancier die zelf weer afhankelijk is van andere partijen, kan een risico vormen dat niet direct zichtbaar is. Breng daarom de volledige keten in kaart.

Een onvolledige asset-inventarisatie betekent dat je risico’s mist. Schaduw-IT, verouderde systemen die nog wel draaien of koppelingen met externe partijen die niet gedocumenteerd zijn: allemaal potentiële bronnen van risico die buiten beeld blijven als je inventarisatie niet compleet is.

DORA vereist betrokkenheid van het bestuur bij ICT-risicomanagement. Wanneer de directie dit als een puur technische aangelegenheid beschouwt, ontbreekt het strategische perspectief en de benodigde resources voor adequate risicobeheersing.

Tot slot is risico-identificatie geen eenmalige exercitie. Het dreigingslandschap verandert continu, net als je eigen ICT-omgeving. Organisaties die hun risicoanalyse niet regelmatig actualiseren, werken met verouderde informatie en missen nieuwe risico’s.

Hoe vaak moet je risico’s opnieuw beoordelen onder DORA?

Onder DORA moet je risico’s minimaal jaarlijks opnieuw beoordelen, maar ook na significante wijzigingen in je ICT-omgeving of na incidenten. De frequentie hangt af van de aard van je organisatie en de dynamiek van je risicoprofiel. Een actueel risicoprofiel is essentieel voor effectief risicomanagement.

Periodieke reviews zorgen ervoor dat je risicoanalyse blijft aansluiten bij de werkelijkheid. Nieuwe systemen, gewijzigde processen of veranderende dreigingen kunnen het risicoprofiel beïnvloeden. Plan daarom vaste momenten voor herbeoordeling in je jaarkalender.

Trigger-based herbeoordelingen zijn verplicht na bepaalde gebeurtenissen. Een significant ICT-incident, een grote wijziging in je IT-infrastructuur, het aangaan van een nieuwe uitbestedingsrelatie of veranderingen in het dreigingslandschap zijn allemaal redenen om je risicoanalyse te actualiseren.

De documentatieverplichtingen onder DORA vereisen dat je niet alleen de risico’s vastlegt, maar ook de herbeoordelingen en de onderbouwing daarvan. Toezichthouders willen zien dat je risicomanagement een levend proces is en geen papieren exercitie. Leg daarom vast wanneer je welke risico’s hebt beoordeeld, welke methodiek je hebt gebruikt en welke conclusies je hebt getrokken.

Hoe helpt Hoek en Blok IT bij DORA-risico-identificatie?

Hoek en Blok IT ondersteunt financiële instellingen bij het opzetten en uitvoeren van DORA-conforme risico-identificatie. Met NOREA-gecertificeerde EDP-auditors en specialisten in IT-security combineren we technische expertise met auditervaring voor een pragmatische aanpak.

De dienstverlening omvat:

• DORA-gap-analyses: identificatie van hiaten tussen je huidige situatie en de DORA-vereisten, met concrete aanbevelingen voor verbetering
• IT-securityassessments: technische beoordeling van je ICT-omgeving om kwetsbaarheden en risico’s in kaart te brengen
• Ondersteuning bij risicomanagementframeworks: hulp bij het opzetten van een gestructureerd kader voor ICT-risicobeheer conform DORA
• IT Security Officer as a Service: flexibele inzet van security-expertise voor organisaties die geen fulltime specialist in dienst hebben
• Third-party-riskassessments: beoordeling van risico’s bij externe ICT-dienstverleners en ondersteuning bij leveranciersbeheer

Neem contact op voor een vrijblijvend gesprek over hoe je organisatie zich kan voorbereiden op de DORA-vereisten voor risico-identificatie.

De toezichthouder handhaaft DORA via een gelaagd systeem van controles, inspecties en sancties. In Nederland zijn De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) verantwoordelijk voor het toezicht op naleving van de Digital Operational Resilience Act. Bij overtredingen kunnen zij formele waarschuwingen geven, aanwijzingen opleggen, dwangsommen vorderen of boetes opleggen. Dit artikel beantwoordt de belangrijkste vragen over DORA-handhaving en hoe jouw organisatie zich hierop kan voorbereiden.

Welke toezichthouders zijn verantwoordelijk voor DORA-handhaving in Nederland?

In Nederland zijn DNB en de AFM de primaire toezichthouders voor DORA-handhaving. DNB houdt toezicht op banken, verzekeraars, pensioenfondsen en betalingsinstellingen. De AFM richt zich op beleggingsondernemingen, beheerders van beleggingsfondsen en andere marktpartijen. Deze verdeling volgt de bestaande toezichtstructuur binnen de financiële sector.

Beide toezichthouders werken nauw samen met de Europese toezichthoudende autoriteiten (ESA’s). Dit zijn de European Banking Authority (EBA) voor banken, de European Insurance and Occupational Pensions Authority (EIOPA) voor verzekeraars en pensioenfondsen, en de European Securities and Markets Authority (ESMA) voor effectenmarkten. Deze Europese instanties ontwikkelen technische standaarden en zorgen voor uniforme toepassing van DORA binnen de hele EU.

De samenwerking tussen nationale en Europese toezichthouders waarborgt een gelijk speelveld. Kritieke derde dienstverleners die IT-diensten leveren aan financiële instellingen, zoals cloudproviders en softwareleveranciers, vallen onder direct Europees toezicht van de ESA’s.

Welke handhavingsinstrumenten heeft de toezichthouder onder DORA?

Toezichthouders beschikken over een breed scala aan handhavingsinstrumenten die zij kunnen inzetten bij DORA-overtredingen. De instrumenten variëren van lichte maatregelen zoals informele gesprekken tot zware sancties zoals het intrekken van vergunningen. De keuze voor een specifiek instrument hangt af van de ernst en duur van de overtreding.

De escalatieladder van handhavingsinstrumenten ziet er als volgt uit:

• Informele waarschuwingen: gesprekken en brieven om aandacht te vestigen op tekortkomingen
• Formele aanwijzingen: bindende instructies om specifieke maatregelen te treffen binnen een gestelde termijn
• Last onder dwangsom: financiële druk om naleving af te dwingen, waarbij dagelijks bedragen oplopen
• Bestuurlijke boetes: directe financiële sancties voor geconstateerde overtredingen
• Intrekking van vergunningen: ultieme maatregel bij ernstige of herhaalde overtredingen

Toezichthouders passen het proportionaliteitsbeginsel toe. Bij een eerste, minder ernstige overtreding volgt meestal een waarschuwing met de mogelijkheid tot herstel. Herhaalde of ernstige overtredingen leiden sneller tot zwaardere maatregelen.

Hoe hoog kunnen DORA-boetes oplopen?

DORA-boetes kunnen aanzienlijk oplopen, afhankelijk van de aard en ernst van de overtreding. Het Europese boetekader biedt lidstaten ruimte om maximale boetebedragen vast te stellen die in verhouding staan tot de omvang van de organisatie en de impact van de overtreding. Voor rechtspersonen kunnen boetes oplopen tot miljoenen euro’s.

Factoren die de hoogte van boetes beïnvloeden zijn onder andere:

• De ernst van de overtreding en de potentiële schade voor klanten of het financiële systeem
• De duur van de overtreding en het tempo van herstelmaatregelen
• De omvang en financiële draagkracht van de organisatie
• De mate van verwijtbaarheid en eventuele recidive
• De medewerking tijdens het onderzoek en de bereidheid tot verbetering

Het DORA-boetekader is vergelijkbaar met dat van de AVG/GDPR, waar boetes kunnen oplopen tot een percentage van de jaaromzet. Deze afstemming zorgt voor consistentie binnen het bredere Europese cyberveiligheidskader, waaronder ook NIS2 valt.

Hoe verloopt een DORA-inspectie door de toezichthouder?

Een DORA-inspectie verloopt doorgaans in verschillende fasen. De toezichthouder kondigt het onderzoek meestal vooraf aan, al zijn onaangekondigde inspecties bij vermoedens van ernstige overtredingen mogelijk. Na de aankondiging volgt een documentatieverzoek waarin de organisatie relevante stukken moet aanleveren.

Het inspectieproces omvat de volgende stappen:

• Documentatiereview: analyse van beleidsdocumenten, procedures, risicobeoordelingen en incidentrapportages
• On-site bezoeken: fysieke controles van systemen, processen en beveiligingsmaatregelen
• Interviews: gesprekken met sleutelpersoneel zoals de IT-verantwoordelijke, security officer en bestuurders
• Technische audits: beoordeling van ICT-systemen, testresultaten en weerbaarheidstesten
• Rapportage: schriftelijke bevindingen met eventuele aanbevelingen of handhavingsmaatregelen

Organisaties kunnen zich voorbereiden door alle DORA-gerelateerde documentatie actueel en toegankelijk te houden. Zorg dat verantwoordelijke medewerkers beschikbaar zijn voor interviews en dat technische systemen en testresultaten inzichtelijk zijn. Een goede voorbereiding verkort de inspectieduur en vermindert de kans op misverstanden.

Wat zijn de meest voorkomende DORA-overtredingen waar toezichthouders op letten?

Toezichthouders richten zich bij DORA-controles op specifieke risicogebieden waar organisaties vaak tekortkomingen vertonen. Onvoldoende ICT-risicobeheer staat bovenaan de lijst. Dit omvat het ontbreken van een gedocumenteerd risicobeheerkader, onvolledige risicobeoordelingen of verouderde dreigingsanalyses.

Andere veelvoorkomende overtredingen zijn:

• Gebrekkige incidentrapportage: te late melding van IT-incidenten, onvolledige registratie of ontbrekende procedures voor snelle opsporing
• Ontbrekende testprogramma’s: geen regelmatige veerkrachttesten, onvoldoende penetratietests of gebrek aan documentatie van testresultaten
• Ontoereikend derdenbeheer: onvoldoende beoordeling van uitbestedingsrisico’s, ontbrekende contractuele afspraken over digitale weerbaarheid of gebrekkig toezicht op IT-dienstverleners
• Governance-tekortkomingen: onduidelijke verantwoordelijkheden en onvoldoende betrokkenheid van het bestuur bij ICT-risicobeheer

Organisaties die afhankelijk zijn van externe IT-dienstverleners, zoals cloudproviders, moeten extra aandacht besteden aan derdenbeheer. DORA vereist dat externe leveranciers voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf.

Hoe kunnen organisaties een handhavingsprocedure voorkomen?

Proactieve compliance is de beste strategie om handhavingsmaatregelen te voorkomen. Dit begint met het opzetten van een robuust ICT-risicobeheerkader dat voldoet aan DORA-normen en aansluit bij de specifieke situatie van jouw organisatie. Regelmatige risicobeoordelingen en actualisatie van dreigingsanalyses zijn hierbij essentieel.

Concrete stappen voor proactieve compliance:

• Implementeer duidelijke incidentmeldingsprocedures met heldere escalatiepaden en tijdslijnen
• Voer regelmatig zelfevaluaties en gap-analyses uit om tekortkomingen vroegtijdig te identificeren
• Documenteer alle DORA-gerelateerde processen, beslissingen en testresultaten zorgvuldig
• Zorg voor regelmatige veerkrachttesten, inclusief penetratietests en scenario-oefeningen
• Onderhoud constructieve relaties met toezichthouders door transparante communicatie

Een open houding richting toezichthouders werkt in je voordeel. Organisaties die proactief tekortkomingen melden en verbeterplannen presenteren, worden doorgaans milder behandeld dan organisaties die pas na inspectie in actie komen.

Hoe helpt Hoek en Blok IT bij DORA-handhaving en compliance?

Hoek en Blok IT ondersteunt financiële instellingen en IT-dienstverleners bij het realiseren van DORA-compliance en het voorkomen van handhavingsmaatregelen. Met NOREA-gecertificeerde IT-auditors en meer dan 30 jaar praktijkervaring in de financiële sector bieden wij pragmatische ondersteuning die aansluit bij jouw organisatiecontext.

Onze DORA-dienstverlening omvat:

• DORA-gap-analyses: bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
• Ondersteuning bij incidentrapportage: inrichten van procedures voor snelle opsporing en melding van IT-incidenten
• Penetratietests conform DORA-vereisten: regelmatige veerkrachttesten door ethical hackers
• IT Security Officer as-a-Service: continue ondersteuning bij ICT-risicobeheer en compliance-monitoring
• DORA-audits: beoordeling van compliance met alle regelgevingsvereisten

Neem contact op voor een vrijblijvend adviesgesprek over jouw DORA-compliance en ontdek hoe wij jouw organisatie kunnen helpen bij het voorkomen van handhavingsmaatregelen.