Hoe maak je een DORA-implementatieplan?

in

Een DORA-implementatieplan is een gestructureerde roadmap waarmee jouw organisatie voldoet aan de Digital Operational Resilience Act vóór de deadline van 17 januari 2025. Dit plan beschrijft concrete stappen voor ICT-risicomanagement, incidentenbeheer, weerbaarheidstesten, beheer van derdepartijrisico’s en informatie-uitwisseling. Hieronder beantwoorden we de belangrijkste vragen over het opstellen en uitvoeren van een effectief DORA-implementatieplan.

Wat is een DORA-implementatieplan en waarom heb je er een nodig?

Een DORA-implementatieplan is een projectplan dat beschrijft hoe jouw organisatie aan alle vereisten van de Digital Operational Resilience Act gaat voldoen. Het plan vertaalt de vijf pijlers van DORA naar concrete acties, verantwoordelijkheden en mijlpalen binnen jouw specifieke organisatiecontext.

De vijf pijlers van DORA vormen de basis van elk implementatieplan:

  • ICT-risicomanagement: het inrichten van een risicobeheerkader om digitale dreigingen te identificeren en beheersen
  • ICT-incidentenbeheer: procedures voor snelle detectie, melding en afhandeling van IT-incidenten
  • Digitale operationele weerbaarheidstesten: regelmatige tests om de effectiviteit van beveiligingsmaatregelen te toetsen
  • Beheer van ICT-derdepartijrisico’s: strikt beheer van uitbestedingsrelaties met IT-dienstverleners
  • Informatie-uitwisseling: actief delen van informatie over cyberdreigingen binnen de sector

Zonder planmatige aanpak loop je het risico dat je belangrijke onderdelen over het hoofd ziet. DORA vraagt namelijk niet alleen om beleid, maar vooral om aantoonbaarheid. Je moet kunnen laten zien dat maatregelen daadwerkelijk zijn geïmplementeerd en effectief werken. Een goed implementatieplan helpt je om deze aantoonbaarheid systematisch op te bouwen.

Welke stappen bevat een effectief DORA-implementatieplan?

Een effectief DORA-implementatieplan doorloopt vijf kernfasen: gap-analyse, inventarisatie van huidige processen, prioritering, roadmap-opstelling en implementatie met monitoring. Elke fase bouwt voort op de vorige en zorgt voor een beheersbare weg naar volledige compliance.

De praktische fasering ziet er als volgt uit:

  • Voer een gap-analyse uit om te bepalen waar je staat ten opzichte van DORA-vereisten
  • Inventariseer bestaande ICT-risicobeheerprocessen, documentatie en maatregelen
  • Stel prioriteiten op basis van risico-impact en organisatiespecifieke factoren
  • Ontwikkel een roadmap met concrete mijlpalen, deadlines en verantwoordelijken
  • Wijs verantwoordelijkheden toe aan specifieke functies en afdelingen
  • Richt monitoring- en rapportagemechanismen in om de voortgang te bewaken

De scope van processen en risico’s bepaal je bij voorkeur samen met alle relevante stakeholders. Zo voorkom je dat kritieke onderdelen buiten beeld blijven en creëer je draagvlak voor de implementatie.

Hoe voer je een DORA-gap-analyse uit?

Een DORA-gap-analyse vergelijkt jouw huidige situatie met de specifieke DORA-vereisten op alle vijf de pijlers. Je brengt in kaart welke maatregelen al aanwezig zijn, welke ontbreken en waar verbeteringen nodig zijn. Het resultaat is een geprioriteerde lijst van actiepunten.

De methodologie voor een effectieve gap-analyse omvat drie stappen. Bij de scopebepaling stel je samen met de organisatie vast welke processen en risico’s je gaat toetsen aan het normenkader. Vervolgens voer je de daadwerkelijke analyse uit door middel van interviews, documentreview en inspectie van beleidsdocumenten, procedures, uitgevoerde controls en configuraties. Tot slot bespreek je de bevindingen en stel je een rapport op dat zowel verbeterpunten als sterke punten benoemt.

Betrek bij de gap-analyse in ieder geval de volgende documenten en onderwerpen:

  • Bestaand ICT-risicomanagementbeleid en -procedures
  • Incidentrapportageprocessen en -registraties
  • Resultaten van eerdere beveiligingstests en audits
  • Contracten en afspraken met ICT-dienstverleners
  • Governancestructuur voor IT-risico’s

Een goede gap-analyse geeft direct inzicht in mogelijke verbeteringen, zonder lange doorlooptijden. Dit helpt je om snel te schakelen richting implementatie.

Welke DORA-vereisten hebben de hoogste prioriteit in je implementatieplan?

De hoogste prioriteit gaat naar het ICT-risicomanagementkader, incidentmeldingsprocedures bij toezichthouders, contractuele afspraken met ICT-dienstverleners en threat-led penetration testing (TLPT). Deze onderdelen vormen de kern van DORA-compliance en vragen vaak de meeste aanpassingen.

Bij het bepalen van prioriteiten spelen verschillende factoren een rol:

  • Organisatiegrootte: grotere organisaties hebben vaak complexere ICT-landschappen en meer uitbestedingsrelaties
  • Risicoprofiel: organisaties met veel kritieke ICT-afhankelijkheden moeten eerder hun weerbaarheid testen
  • Huidige volwassenheid: als je al een ISO 27001-certificering hebt, ligt de basis voor ICT-risicomanagement er al
  • Ketenafhankelijkheden: DORA raakt organisaties vaak indirect via ketens, moedermaatschappijen of dienstverlening

Het ICT-risicomanagementkader verdient vroege aandacht omdat dit de basis vormt voor alle andere DORA-vereisten. Zonder helder kader kun je incidenten niet goed classificeren, tests niet goed plannen en leveranciersrisico’s niet adequaat beoordelen.

Hoe plan je DORA-weerbaarheidstesten in je implementatietraject?

DORA vereist regelmatige weerbaarheidstesten om te controleren of beveiligingsmaatregelen effectief werken. Je plant deze testen op verschillende niveaus: reguliere weerbaarheidstesten, geavanceerde threat-led penetration testing (TLPT) en scenariogebaseerde tests. De frequentie en diepgang hangen af van je risicoprofiel.

Voor de planning van weerbaarheidstesten gelden de volgende richtlijnen:

  • Reguliere weerbaarheidstesten voer je minimaal jaarlijks uit op kritieke systemen
  • TLPT-testen worden uitgevoerd door gekwalificeerde, onafhankelijke testers die realistische aanvalsscenario’s simuleren
  • Scenariogebaseerde tests toetsen je organisatie op specifieke dreigingsscenario’s zoals ransomware of DDoS-aanvallen
  • Testresultaten integreer je in het verbeterproces door bevindingen te vertalen naar concrete maatregelen

Ethical hacktests spelen een belangrijke rol bij het aantonen van digitale weerbaarheid. Deze tests moeten worden uitgevoerd door testers met de juiste kwalificaties en ervaring. De onafhankelijkheid van testers is cruciaal voor de betrouwbaarheid van de resultaten.

Wie moet je betrekken bij de DORA-implementatie?

Succesvolle DORA-implementatie vereist betrokkenheid van zowel interne als externe stakeholders. Het bestuur draagt eindverantwoordelijkheid, terwijl IT, compliance, riskmanagement, juridische zaken en inkoop elk hun specifieke rol vervullen. Externe specialisten kunnen ondersteunen bij gap-analyses, tests en advisering.

De rolverdeling binnen het implementatieproject ziet er typisch als volgt uit:

  • Bestuur en directie: eindverantwoordelijkheid voor DORA-compliance en goedkeuring van het implementatieplan
  • IT-afdeling: technische implementatie van maatregelen en uitvoering van tests
  • Compliance en riskmanagement: toezicht op naleving en risicobeoordeling
  • Juridische afdeling: beoordeling van contractuele afspraken met ICT-dienstverleners
  • Inkoop: leveranciersbeheer en contractonderhandelingen
  • Externe specialisten: onafhankelijke audits, penetratietesten en specialistische advisering

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. De inrichting van de second line (compliance en riskmanagement) is daarom cruciaal. Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid. Een heldere governancestructuur helpt om dit te voorkomen.

Hoe Hoek en Blok IT helpt bij je DORA-implementatieplan

Hoek en Blok IT ondersteunt organisaties bij alle fasen van DORA-implementatie, van nulmeting tot doorlopende compliance. Met NOREA-gecertificeerde EDP-auditors en ethical-hackingexpertise biedt het bureau een pragmatische aanpak die past bij middelgrote organisaties.

Concrete ondersteuning omvat:

  • Gap-analyses: gestructureerde beoordeling van je huidige situatie ten opzichte van DORA-vereisten met heldere rapportage van verbeterpunten én sterke punten
  • ICT-risicomanagementkaders: opstellen van beleid en procedures die voldoen aan DORA-eisen
  • Penetratietesten: uitvoering van verplichte weerbaarheidstesten door gecertificeerde ethical hackers
  • IT Security Officer as-a-Service: doorlopende compliance-ondersteuning zonder eigen fte
  • Incidentmeldingsprocedures: begeleiding bij het inrichten van meldingsprocessen richting toezichthouders
  • Assurance-rapportages: ondersteuning bij het aantoonbaar maken van DORA-naleving, bijvoorbeeld via ISAE 3000-verklaringen

Wil je weten waar jouw organisatie staat ten opzichte van DORA? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek over je DORA-implementatieplan.

Wat kost NIS 2? Doorlooptijd, inspanning en realistische verwachtingen

in

De NIS2-kosten variëren sterk per organisatie en hangen af van factoren zoals omvang, huidige cybersecurityvolwassenheid en complexiteit van de IT-infrastructuur. Een gemiddeld NIS2-implementatietraject vraagt een doorlooptijd van zes tot achttien maanden, waarbij de investering bestaat uit zowel eenmalige implementatiekosten als structurele jaarlijkse compliancekosten. Met de deadline van 1 juli 2026 in zicht is het essentieel om nu een realistisch NIS2-budget op te stellen en tijdig te starten met de voorbereiding.

Wat kost NIS2-implementatie gemiddeld voor een organisatie?

De NIS2-implementatiekosten worden bepaald door verschillende factoren die per organisatie sterk kunnen verschillen. De belangrijkste kostenfactoren zijn de omvang van je organisatie, de huidige volwassenheid van cybersecurity, de complexiteit van je IT-infrastructuur en eventuele sectorspecifieke eisen.

De kostencomponenten bij NIS2-compliance bestaan uit:

  • Gap-analyse en nulmeting om de huidige situatie in kaart te brengen
  • Technische maatregelen zoals securitytooling en infrastructuuraanpassingen
  • Beleidsaanpassingen en documentatie van processen
  • Training en awarenessprogramma’s voor medewerkers
  • Externe ondersteuning van specialisten

Organisaties die al beschikken over een volwassen informatiebeveiligingsbeleid en gedocumenteerde processen, zullen minder hoeven te investeren dan organisaties die vanaf nul moeten beginnen. De sector waarin je actief bent, speelt ook een rol: organisaties in kritieke sectoren zoals energie of gezondheidszorg krijgen te maken met strengere eisen en proactief toezicht.

Hoeveel tijd kost een NIS2-implementatietraject van begin tot eind?

Een volledig NIS2-implementatietraject duurt gemiddeld zes tot achttien maanden, afhankelijk van de startpositie en beschikbare capaciteit. Het traject bestaat uit vier hoofdfasen: inventarisatie en gap-analyse, planvorming, implementatie van maatregelen en validatie.

De doorlooptijd wordt beïnvloed door:

  • Beschikbare interne capaciteit voor het project
  • Complexiteit van de organisatie en IT-omgeving
  • Huidige staat van cybersecurity en documentatie
  • Mate waarin processen al op orde zijn

Met de NIS2-deadline van 1 juli 2026 in Nederland is vroegtijdig starten essentieel. Organisaties die nu beginnen met een nulmeting, hebben voldoende tijd om maatregelen gefaseerd te implementeren. Wie te lang wacht, riskeert niet alleen boetes, maar ook haastwerk dat de kwaliteit van de implementatie ondermijnt.

Welke interne inspanning vraagt NIS2 van jouw organisatie?

Succesvolle NIS2-implementatie vereist betrokkenheid van meerdere lagen binnen je organisatie. De directie, IT-afdeling, compliance officers en operationele medewerkers spelen allemaal een rol in het traject. De NIS2-inspanning omvat workshops, documentatie, procesinrichting en bewustwording.

Rollen en verantwoordelijkheden:

  • Directie en bestuur: eindverantwoordelijkheid en strategische besluitvorming
  • IT-afdeling: technische implementatie en monitoring
  • Compliance officers: coördinatie en documentatie
  • Operationele medewerkers: deelname aan trainingen en naleving van procedures

Managementcommitment is cruciaal, niet alleen voor het vrijmaken van budget en capaciteit. Onder NIS2 worden bestuurders persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit maakt actieve betrokkenheid van het topmanagement geen optie, maar een vereiste.

Wat zijn verborgen kosten bij NIS2 waar organisaties vaak niet aan denken?

Naast de zichtbare implementatiekosten zijn er verborgen kostenposten waar veel organisaties pas later tegenaan lopen. Het verschil tussen eenmalige implementatiekosten en structurele jaarlijkse compliancekosten wordt vaak onderschat.

Minder voor de hand liggende kostenposten:

  • Doorlopende monitoring en onderhoud van securitymaatregelen
  • Periodieke audits en assessments om compliance aan te tonen
  • Jaarlijkse training en awarenessprogramma’s
  • Aanpassingen aan leverancierscontracten en due diligence
  • Incidentresponsecapaciteit en crisismanagement
  • Continue documentatie-inspanningen

De NIS2-richtlijn vereist dat maatregelen structureel worden geïntegreerd in dagelijkse werkzaamheden, cultuur en strategie. Dit betekent dat compliance geen eenmalig project is, maar een doorlopende verplichting met bijbehorende kosten.

Hoe bepaal je een realistisch NIS2-budget voor jouw organisatie?

Een onderbouwd NIS2-budget begint met inzicht in je huidige situatie. Zonder nulmeting of gap-analyse is het onmogelijk om een realistische inschatting te maken van de benodigde investering.

Praktische stappen voor budgetbepaling:

  • Start met een nulmeting om hiaten en risico’s te identificeren
  • Prioriteer maatregelen op basis van risico en impact
  • Faseer investeringen over meerdere jaren, indien mogelijk
  • Weeg interne capaciteit af tegen externe ondersteuning

Voor managementbuy-in is het effectief om de cybersecuritykosten af te zetten tegen de risico’s van non-compliance. Denk aan potentiële boetes, maar ook aan reputatieschade en operationele verstoringen bij een cyberincident. Een nulmeting levert concrete deliverables op: een risicoregister, inzicht in geïmplementeerde en ontbrekende maatregelen, en een informatiebeveiligingsbeleid als kapstok voor verdere implementatie.

Kun je NIS2-implementatie faseren om kosten te spreiden?

Ja, gefaseerde implementatie is mogelijk en vaak zelfs aan te raden. Een pragmatische aanpak voor NIS2-voorbereiding bestaat uit vijf fasen: analyseren van cyberrisico’s, bepalen van maatregelen, opstellen van een actieplan, uitvoeren van maatregelen en controleren en verbeteren.

Aandachtspunten bij fasering:

  • Begin met een risicoanalyse om te bepalen waar de meeste risico’s zitten
  • Pak eerst de maatregelen aan met de hoogste impact
  • Houd rekening met afhankelijkheden tussen maatregelen
  • Stel een duidelijke roadmap op met mijlpalen

Het risico van fasering is uitstel richting de deadline. Een helder tijdsplan met concrete mijlpalen voorkomt dat de implementatie blijft liggen. Zorg dat de roadmap voldoende buffer bevat voor onvoorziene vertragingen, zodat je ruim voor 1 juli 2026 compliant bent.

Hoe helpt Hoek en Blok IT bij NIS2-implementatie?

Hoek en Blok IT biedt pragmatische ondersteuning bij het volledige NIS2-compliancetraject, van nulmeting tot audit readiness. De aanpak combineert technische expertise met auditervaring voor een resultaatgerichte implementatie.

Specifieke diensten voor NIS2:

  • NIS2-nulmeting en gap-analyse: inzicht in kroonjuwelen, risico’s en ontbrekende maatregelen
  • Pragmatische implementatiebegeleiding: ondersteuning bij het opstellen en uitvoeren van een actieplan
  • IT Security Officer as a Service: doorlopende ondersteuning zonder vast dienstverband
  • Securityassessments en penetratietests: identificatie van kwetsbaarheden in techniek en gedrag
  • Audit-readinessondersteuning: voorbereiding op toezicht en handhaving

Na een nulmeting ontvang je een uitgebreid adviesrapport, een risicoregister en een helder informatiebeveiligingsbeleid. Neem contact op voor een vrijblijvend adviesgesprek over de NIS2-voorbereiding van jouw organisatie.

De hack uitgelegd #3: Canvas van Instructure

in , , , ,

Een aanval op Canvas laat zien hoe één zwakke plek in een SaaS-platform kan uitgroeien tot datalek, vertrouwenscrisis en operationele uitval bij veel klanten. Cloud applicaties (SaaS producten) zijn niet meer weg te denken uit ons leven, maar hoe afhankelijk zijn we? En … wat als ze niet beschikbaar zijn?

Lees meer

DORA en bestuurlijke verantwoordelijkheid: wat moet het bestuur aantoonbaar regelen?

in

De Digital Operational Resilience Act (DORA) legt bestuurders van financiële entiteiten een expliciete, persoonlijke verantwoordelijkheid op voor het ICT-risicobeheer. DORA-bestuurlijke verantwoordelijkheid betekent dat het bestuur niet langer kan volstaan met delegeren: het moet actief betrokken zijn bij de governance, beleid vaststellen en aantoonbaar kunnen maken dat de organisatie digitaal weerbaar is. Dit artikel beantwoordt de belangrijkste vragen over de DORA-verplichtingen voor bestuurders en wat u concreet moet regelen.

Wat houdt bestuurlijke verantwoordelijkheid onder DORA precies in?

Onder DORA draagt het bestuur de eindverantwoordelijkheid voor het effectief beheersen van alle ICT-risico’s binnen de financiële entiteit. Dit gaat verder dan eerdere regelgeving: bestuurders moeten actief betrokken zijn bij het vaststellen van beleid, het monitoren van risico’s en het beoordelen van afspraken met ICT-dienstverleners. De wet verschuift de focus naar persoonlijke aansprakelijkheid, waarbij bestuurders niet langer kunnen verwijzen naar de IT-afdeling of externe partijen.

De DORA-governancevereisten bepalen dat het bestuur jaarlijks beleid moet vaststellen voor de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van data. Daarnaast moet het bestuur rollen, verantwoordelijkheden en governance-arrangementen definiëren voor alle ICT-gerelateerde functies. Dit omvat ook het toezicht op uitbestedingsrelaties met kritieke derde dienstverleners.

Wat betekent ‘aantoonbaar regelen’ in de praktijk? Het houdt in dat uw organisatie documentatie moet kunnen overleggen die laat zien dat het bestuur daadwerkelijk besluiten neemt, beleid goedkeurt en periodiek toetst of de organisatie voldoet aan de DORA-eisen. Toezichthouders verwachten een papieren spoor dat bestuursbesluiten, risicobeoordelingen en beleidswijzigingen vastlegt.

Welke DORA-verplichtingen moet het bestuur aantoonbaar vastleggen?

Het bestuur moet meerdere concrete documenten en processen aantoonbaar vastleggen om aan de DORA-compliance-eisen voor het bestuur te voldoen. Het gaat om een samenhangend pakket van governance-documenten, risicobeoordelingen en contractuele afspraken die toezichthouders kunnen opvragen.

De belangrijkste documentatie-eisen omvatten:

  • ICT-risicobeheersingskader: een formeel kader dat beschrijft hoe de organisatie digitale dreigingen identificeert, beoordeelt en beheerst
  • Beleid voor digitale operationele weerbaarheid: vastgesteld en goedgekeurd door het bestuur, met duidelijke doelstellingen en verantwoordelijkheden
  • Incidentrapportageprocessen: procedures voor snelle opsporing en melding van IT-incidenten, inclusief escalatielijnen naar het bestuur
  • Contractuele afspraken met ICT-dienstverleners: overeenkomsten die digitale weerbaarheid waarborgen en toezicht mogelijk maken
  • Periodieke risicobeoordelingen: gedocumenteerde analyses van ICT-risico’s met bestuursgoedkeuring

Voor toezichthouders zoals DNB en AFM betekent ‘aantoonbaar’ dat u kunt laten zien wanneer het bestuur beleid heeft vastgesteld, welke afwegingen zijn gemaakt en hoe de organisatie de effectiviteit van maatregelen monitort. Vergaderverslagen, goedkeuringsbesluiten en periodieke rapportages vormen hierbij essentiële bewijsstukken.

Hoe zorgt het bestuur voor adequaat ICT-risicobeheer volgens DORA?

Het bestuur zorgt voor adequaat DORA-ICT-risicomanagement door een effectief risicobeheerskader op te zetten en te onderhouden. Dit begint met het vaststellen van de risicobereidheid van de organisatie: hoeveel ICT-risico is acceptabel, gegeven de bedrijfsdoelstellingen en de aard van de dienstverlening?

De praktische uitwerking omvat verschillende elementen. Het bestuur moet zorgen voor regelmatige IT-risicobeoordelingen om systemen en data veilig te houden. Deze beoordelingen moeten niet eenmalig zijn, maar periodiek plaatsvinden en gedocumenteerd worden. Het bestuur ontvangt rapportages over geïdentificeerde risico’s en de effectiviteit van beheersmaatregelen.

Integratie met bestaande governance-structuren is essentieel. DORA vereist geen volledig nieuwe organisatie, maar wel dat het ICT-risicobeheer expliciet onderdeel wordt van de reguliere bestuurscyclus. Dit betekent dat ICT-risico’s op de agenda van bestuursvergaderingen komen en dat het bestuur actief vragen stelt over de digitale weerbaarheid.

De balans tussen delegeren en eindverantwoordelijkheid vraagt aandacht. Het bestuur mag operationele taken delegeren aan de IT-afdeling of een security officer, maar blijft eindverantwoordelijk. Dit betekent dat het bestuur voldoende kennis moet hebben om de juiste vragen te stellen en rapportages te kunnen beoordelen.

Wat zijn de gevolgen als het bestuur niet aan de DORA-eisen voldoet?

Non-compliance met DORA kan leiden tot aanzienlijke consequenties voor zowel de organisatie als individuele bestuurders. De DORA-aansprakelijkheid van het bestuur is expliciet in de wetgeving opgenomen, wat betekent dat toezichthouders bestuurders persoonlijk kunnen aanspreken op tekortkomingen.

De mogelijke gevolgen omvatten:

  • Sancties van toezichthouders: DNB en AFM kunnen boetes opleggen en aanwijzingen geven om tekortkomingen te herstellen
  • Persoonlijke aansprakelijkheid: bestuurders kunnen persoonlijk verantwoordelijk worden gehouden voor schade die voortvloeit uit onvoldoende ICT-risicobeheer
  • Reputatieschade: publicatie van handhavingsmaatregelen kan het vertrouwen van klanten en partners beschadigen
  • Operationele risico’s: zonder adequate digitale weerbaarheid is de organisatie kwetsbaarder voor cyberaanvallen en operationele verstoringen

DNB en AFM zijn in Nederland de aangewezen toezichthouders voor DORA. Zij kunnen informatie opvragen, onderzoeken uitvoeren en handhavend optreden wanneer organisaties niet voldoen aan de vereisten. De handhaving richt zich nadrukkelijk ook op de vraag of het bestuur zijn verantwoordelijkheid heeft genomen.

Welke stappen moet het bestuur nu nemen voor DORA-compliance?

De implementatie van DORA door het bestuur vraagt om een gestructureerde aanpak. Een pragmatisch stappenplan helpt bestuurders om hun organisatie voor te bereiden zonder te verzanden in technische details.

Begin met een gap-analyse: breng in kaart waar uw organisatie nu staat ten opzichte van de DORA-vereisten. Dit geeft inzicht in de belangrijkste aandachtspunten en helpt bij het prioriteren van acties. Focus op de zes hoofdvereisten: governance, ICT-risicobeheer, incidentrapportage, veerkrachttesten, derdenbeheer en informatie-uitwisseling.

Betrek de juiste stakeholders bij het traject. Naast de IT-afdeling zijn ook compliance, riskmanagement en juridische zaken relevante partijen. Het bestuur moet zorgen voor voldoende capaciteit en budget om de implementatie te realiseren.

Stel een realistische tijdlijn op. DORA is sinds januari 2025 van toepassing, wat betekent dat organisaties nu moeten kunnen aantonen dat zij compliant zijn. Richt u op het opzetten van een duurzame compliance-structuur die niet alleen voldoet aan de huidige eisen, maar ook toekomstige aanpassingen kan opvangen.

Zorg voor periodieke evaluatie en bijsturing. DORA-compliance is geen eenmalig project, maar een doorlopend proces. Het bestuur moet regelmatig toetsen of de organisatie nog steeds voldoet en waar verbeteringen nodig zijn.

Hoe helpt Hoek en Blok IT bij DORA-compliance voor bestuurders?

Hoek en Blok IT ondersteunt bestuurders bij het realiseren van DORA-compliance met een pragmatische, resultaatgerichte aanpak. De combinatie van IT-auditervaring en security-expertise maakt het mogelijk om zowel de governance-documentatie als de technische implementatie te ondersteunen.

Specifieke diensten voor bestuurders:

  • DORA-gap-analyse: objectieve beoordeling van uw huidige situatie ten opzichte van de DORA-vereisten
  • Ondersteuning bij governance-documentatie: hulp bij het opstellen van het ICT-risicobeheersingskader, beleidsdocumenten en bestuursrapportages
  • IT Security Officer as a Service: externe ondersteuning voor organisaties die geen fulltime security officer kunnen of willen aanstellen
  • IT-audits en assurance: onafhankelijke toetsing van uw digitale weerbaarheid en compliance-status
  • Begeleiding bij derdenbeheer: ondersteuning bij het beoordelen en contracteren van ICT-dienstverleners

De NOREA-gecertificeerde EDP-auditors van Hoek en Blok IT begrijpen wat toezichthouders verwachten en helpen u om aantoonbaar te voldoen aan de DORA-eisen. Neem contact op voor een vrijblijvend gesprek over uw specifieke situatie en ontdek hoe u uw DORA-bestuursverantwoordelijkheid in de financiële sector concreet kunt invullen.

Wat moet ik doen voor NIS2?

in

Om aan NIS2 te voldoen, moet je organisatie een combinatie van technische en organisatorische maatregelen implementeren. Dit omvat risicobeheer, incidentrespons, bedrijfscontinuïteit, supply chain security en security awareness. De eerste operationele deadlines gaan in 2026, waardoor tijdig beginnen essentieel is om boetes en persoonlijke aansprakelijkheid van bestuurders te vermijden. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-compliance.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw organisatie?

De NIS2-richtlijn (Network and Information Systems 2) is Europese cybersecuritywetgeving die de oorspronkelijke NIS-richtlijn vervangt en aanzienlijk uitbreidt. Deze richtlijn is vastgesteld door de Europese Unie met als doel de cyberbeveiliging en veerkracht van bedrijven en organisaties te verbeteren. In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb).

De groei in digitalisering heeft voor veel organisaties grote uitdagingen met zich meegebracht op het gebied van IT-beveiliging. Het mkb is steeds vaker het doelwit van ransomware-aanvallen, waarbij cybercriminelen aanzienlijk hogere geldbedragen eisen dan enkele jaren geleden. De EU ziet NIS2 als een essentiële stap in het verbeteren van de cyberweerbaarheid van organisaties.

Wat NIS2 bijzonder maakt, is de persoonlijke aansprakelijkheid van bestuurders bij non-compliance. Dit betekent dat directieleden en managers direct verantwoordelijk worden gehouden voor het niet naleven van de cybersecurityvereisten. De urgentie richting de deadline van 2026 maakt het noodzakelijk om nu actie te ondernemen.

Valt mijn organisatie onder de NIS2-richtlijn?

Of jouw organisatie onder NIS2 valt, hangt af van drie criteria: de sector waarin je actief bent, de omvang van je organisatie en het type activiteiten dat je uitvoert. De richtlijn onderscheidt essentiële entiteiten (zoals ziekenhuizen, energiemaatschappijen en banken) en belangrijke entiteiten die noodzakelijke diensten leveren aan de maatschappij.

De NIS2-richtlijn omvat 18 sectoren, waaronder:

  • Energie- en waterbedrijven
  • Gezondheidszorg
  • Financiële dienstverlening
  • Digitale infrastructuur
  • Transport en logistiek
  • Voedselproductie en distributie

Qua omvang richt de richtlijn zich op middelgrote en grote organisaties. Staat jouw branche niet in het overzicht? Dan kun je in theorie rustig achteroverleunen, maar in de praktijk is dat niet de beste keuze. Ook als je niet verplicht bent om te voldoen aan NIS2, is het verstandig om aan de slag te gaan met jouw cybersecurity.

Welke concrete maatregelen moet ik nemen voor NIS2-compliance?

NIS2 vereist een breed scala aan cybersecuritymaatregelen die zowel technisch als organisatorisch van aard zijn. Een veelvoorkomende misvatting is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. NIS2 is primair een organisatorisch vraagstuk, niet alleen een technisch vraagstuk. De IT-leverancier kan helpen bij technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden.

De verplichte maatregelen omvatten:

  • Risicobeheer: identificeren en beoordelen van cyberbeveiligingsrisico’s
  • Incidentrespons: procedures voor het melden en afhandelen van cyberincidenten
  • Bedrijfscontinuïteit: plannen voor disaster recovery en calamiteiten
  • Supply chain security: beveiliging van de toeleveringsketen
  • Security awareness: training en bewustwording van alle medewerkers

Een pragmatische implementatieaanpak bestaat uit vijf fasen: analyseren van cyberrisico’s, bepalen van maatregelen via een gap-analyse, opstellen van een actieplan en controls framework, uitvoeren van de maatregelen, en controleren en verbeteren door periodieke evaluatie.

Wanneer moet mijn organisatie NIS2-compliant zijn?

De eerste operationele deadlines voor NIS2-compliance gaan in 2026. Dit betekent dat organisaties nu moeten beginnen met de voorbereidingen om tijdig aan alle vereisten te voldoen. De implementatie vraagt om een gefaseerde aanpak, waarbij je kleine stappen zet om het overzichtelijk te houden.

Zie NIS2 als een verandertraject dat continu aandacht verdient, niet als een afgebakend project met een kop en een staart. Met elke kleine stap realiseer je een verbetering en alle stappen samen zorgen ervoor dat je een volwassen niveau van veiligheid behaalt.

Het inrichten van een rapportagelijn en periodiek overleg is het minste wat er moet gebeuren. Je weet dan wat er speelt en kunt bijsturen waar nodig. Wacht niet tot de deadline nadert, want het implementeren van alle vereiste maatregelen kost tijd en resources.

Wat zijn de gevolgen als ik niet voldoe aan NIS2?

Non-compliance met NIS2 kan ernstige consequenties hebben voor jouw organisatie en voor jou persoonlijk als bestuurder. De sancties omvatten administratieve boetes, persoonlijke aansprakelijkheid en reputatieschade die moeilijk te herstellen is.

De boetehoogtes verschillen tussen essentiële en belangrijke entiteiten:

  • Essentiële entiteiten: hogere boetes vanwege het kritieke karakter van hun dienstverlening
  • Belangrijke entiteiten: lagere, maar nog steeds substantiële boetes

Naast financiële sancties speelt de persoonlijke aansprakelijkheid van bestuurders een belangrijke rol. Het topmanagement kan direct verantwoordelijk worden gehouden voor tekortkomingen in cybersecurityrisicomanagement. Dit maakt NIS2-compliance niet alleen een organisatorische prioriteit, maar ook een persoonlijk belang voor directieleden.

Hoe helpt Hoek en Blok IT met NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het behalen van NIS2-compliance met een pragmatische en betaalbare aanpak. De dienstverlening omvat:

  • NIS2-nulmeting: inzicht in kwetsbaarheden op het gebied van techniek, mensen en processen
  • Gap-analyse: bepalen van het verschil tussen de huidige en de gewenste situatie
  • IT-audits en security assessments: grondige beoordeling van jouw cybersecuritypositie
  • Penetratietests: identificeren van kwetsbaarheden in netwerk en systemen
  • IT Security Officer as a Service: externe expertise zonder fulltime aanstelling
  • Implementatiebegeleiding: ondersteuning bij het uitvoeren van maatregelen

Na een nulmeting ontvang je een risicoregister, inzicht in geïmplementeerde en ontbrekende maatregelen, een helder informatiebeveiligingsbeleid en een uitgebreid adviesrapport. Wil je ondersteuning bij het inrichten van NIS2-compliance binnen jouw organisatie? Neem dan contact op voor een vrijblijvend adviesgesprek.

Hoe beoordeel je de cybersecurity van je leveranciers onder NIS2?

in

De cybersecurity van leveranciers beoordelen onder NIS2 vereist een gestructureerde aanpak waarbij je risico’s inventariseert, certificeringen controleert en contractuele afspraken vastlegt. Organisaties zijn verplicht hun gehele toeleveringsketen te evalueren op beveiligingsrisico’s, omdat zwakke schakels bij leveranciers direct invloed hebben op je eigen compliance­status. Dit artikel beantwoordt de belangrijkste vragen over leveranciersbeoordeling en helpt je een pragmatisch beoordelingsproces op te zetten.

Waarom verplicht NIS2 organisaties om de cybersecurity van leveranciers te beoordelen?

NIS2 verplicht organisaties tot leveranciersbeoordeling omdat cyberaanvallen steeds vaker via de toeleveringsketen plaatsvinden. De richtlijn erkent dat jouw organisatie niet veiliger kan zijn dan de zwakste schakel in je keten. Wanneer een leverancier gecompromitteerd wordt, kunnen aanvallers via die toegang jouw systemen bereiken.

De Cyberbeveiligingswet (Cbw), de Nederlandse implementatie van NIS2, legt de zorgplicht voor ketenbeveiliging expliciet bij de organisatie zelf. Dit betekent dat bestuurders persoonlijk aansprakelijk kunnen worden gesteld wanneer blijkt dat leveranciersrisico’s onvoldoende zijn beheerst. De wet daagt organisaties uit om middels risicoanalyse en inzicht in de eigen organisatie de regelgeving te implementeren.

Praktisch gezien houdt dit in dat je niet alleen je eigen systemen moet beveiligen, maar ook moet kunnen aantonen dat je de risico’s van externe partijen hebt geëvalueerd en gemitigeerd. Dit vereist een systematische aanpak die verder gaat dan het simpelweg vertrouwen op de beloftes van leveranciers.

Welke leveranciers vallen onder de NIS2-beoordelingsplicht?

Niet alle leveranciers vereisen dezelfde mate van beoordeling. De beoordelingsplicht richt zich primair op leveranciers die toegang hebben tot je netwerk- en informatiesystemen, kritieke diensten leveren of persoonsgegevens verwerken namens jouw organisatie. Dit omvat directe IT-leveranciers, clouddiensten, softwareleveranciers en andere partijen met toegang tot gevoelige bedrijfsinformatie.

Bij het bepalen van prioriteiten kun je de volgende categorieën onderscheiden:

  • Hoog risico: leveranciers met directe netwerktoegang, clouddiensten voor bedrijfskritieke applicaties, beheerde IT-diensten
  • Gemiddeld risico: softwareleveranciers zonder directe toegang, onderhoudspartijen met periodieke toegang
  • Laag risico: leveranciers zonder digitale koppelingen of toegang tot gevoelige systemen

De uitvoeringsverordening (EU) 2024/2690 geeft specifieke technische eisen voor aanbieders van essentiële digitale infrastructuur, zoals cloud-, DNS-, datacenter- en platformdiensten. Wanneer je dergelijke diensten afneemt, verdienen deze leveranciers extra aandacht in je beoordelingsproces.

Hoe voer je een cybersecurityrisicobeoordeling uit bij leveranciers?

Een effectieve leveranciersrisicobeoordeling begint met het verzamelen van informatie over de beveiligingsmaatregelen van de leverancier, zonder dat je zelf diepgaande technische audits hoeft uit te voeren. De aanpak combineert vragenlijsten, documentatieverzoeken en contractuele verificatie.

Start met een gestandaardiseerde vragenlijst die de volgende onderwerpen behandelt:

  • Beschikbare certificeringen en assurance-rapportages
  • Incidentresponsprocedures en meldingstermijnen
  • Toegangsbeheer en authenticatiemechanismen
  • Encryptie van data in transit en at rest
  • Back-up- en herstelprocessen
  • Personeelsbeveiligingsmaatregelen

Beoordeel vervolgens de ontvangen documentatie kritisch. Een leverancier die geen certificeringen kan overleggen, is niet automatisch ongeschikt, maar vraagt wel om aanvullende verificatie. Een quickscan of nulmeting kan hierbij helpen om in korte tijd kansen en knelpunten te identificeren in de securityvolwassenheid van de leverancier.

Documenteer je bevindingen en de genomen beslissingen. Dit vormt de basis voor je compliance­dossier en helpt bij toekomstige herbeoordelingen.

Welke certificeringen en standaarden tonen aan dat een leverancier veilig is?

Certificeringen en assurance-rapportages bieden een objectieve indicatie van de beveiligingsvolwassenheid van een leverancier. De meest relevante zijn ISO 27001, SOC 2 en ISAE 3402. Elk document heeft een specifieke waarde en reikwijdte.

ISO 27001 is een certificering die aantoont dat een leverancier een Information Security Management System (ISMS) heeft geïmplementeerd volgens internationale standaarden. ENISA heeft voor de uitvoeringsverordening een mapping gemaakt naar ISO 27001:2022, wat deze certificering bijzonder relevant maakt voor NIS2-compliance.

SOC 2-rapportages richten zich op de beheersing van beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Deze rapportages worden opgesteld door onafhankelijke auditors en geven inzicht in de daadwerkelijke werking van beveiligingsmaatregelen.

Een ISAE 3402-verklaring (let op: dit is geen certificering maar een assuranceverklaring) bevestigt dat een serviceorganisatie adequate interne beheersmaatregelen heeft getroffen. Type II-rapportages zijn waardevoller dan Type I, omdat de auditor uitgebreidere tests uitvoert over een langere periode.

Controleer bij het beoordelen van deze documenten altijd de scope (welke diensten zijn gedekt), de rapportageperiode en eventuele uitzonderingen of tekortkomingen die de auditor heeft geconstateerd.

Wat moet je contractueel vastleggen met leveranciers voor NIS2-compliance?

Contractuele afspraken vormen de juridische basis voor je leveranciersbeheersing. Zonder adequate contractuele bepalingen heb je beperkte mogelijkheden om beveiligingseisen af te dwingen of bij incidenten adequaat te handelen.

Essentiële contractuele bepalingen omvatten:

  • Incidentmeldingsplicht: termijnen waarbinnen de leverancier beveiligingsincidenten moet melden (NIS2 vereist melding binnen 24 uur aan de toezichthouder)
  • Auditrechten: de mogelijkheid om de beveiligingsmaatregelen van de leverancier te laten controleren
  • Beveiligingseisen: concrete technische en organisatorische maatregelen die de leverancier moet implementeren
  • Aansprakelijkheid: verdeling van verantwoordelijkheden bij beveiligingsincidenten
  • Exitstrategie: procedures voor veilige overdracht van data bij beëindiging van de overeenkomst
  • Wijzigingenbeheer: verplichting om significante wijzigingen in de dienstverlening vooraf te melden

Bestaande contracten moeten worden geëvalueerd op deze bepalingen. Waar nodig kun je addenda opstellen om ontbrekende clausules toe te voegen.

Hoe monitor je doorlopend de cybersecurity van je leveranciers?

De initiële beoordeling is slechts het startpunt. Continue monitoring zorgt ervoor dat je tijdig signaleert wanneer de beveiligingsstatus van een leverancier verandert. Dit vereist een systematische aanpak die past binnen je bestaande processen.

Een effectief monitoringprogramma bevat de volgende elementen:

  • Periodieke herbeoordelingen: jaarlijkse evaluatie voor hoogrisicoleveranciers, tweejaarlijks voor gemiddeld risico
  • Certificeringsverloop: bijhouden van vervaldatums en tijdig opvragen van vernieuwde certificeringen
  • Incidentrapportages: registratie en analyse van gemelde beveiligingsincidenten
  • Wijzigingenbeheer: beoordeling van significante wijzigingen in de dienstverlening of organisatie van de leverancier

Een goed functionerende PDCA-cyclus (Plan-Do-Check-Act) helpt bij het systematisch plannen, uitvoeren, monitoren en bijsturen van je leveranciersbeheersing. Het Cbw/NIS2 Control Framework van ADR en NOREA biedt een praktisch hulpmiddel om inzicht te krijgen in de mate waarin je voldoet aan de eisen.

Hoe helpt Hoek en Blok IT bij leveranciersbeoordeling onder NIS2?

Hoek en Blok IT ondersteunt organisaties bij het opzetten en uitvoeren van een compleet leveranciersbeoordelingsproces dat voldoet aan de NIS2-eisen. Met NOREA-gecertificeerde EDP-auditors combineren we technische expertise met auditervaring voor een pragmatische aanpak.

Concrete diensten voor leveranciersbeoordeling:

  • Quickscan leveranciersrisico’s: in één dag inzicht in de belangrijkste kansen en knelpunten
  • Ontwikkeling van een leveranciersbeoordelingsframework op maat
  • Beoordeling en interpretatie van ISAE 3402-verklaringen en SOC 2-rapportages
  • Opstellen van contractuele beveiligingsclausules
  • Uitvoeren van supply-chain-securityassessments
  • IT Security Officer as a Service voor doorlopende monitoring en advisering

De eerste operationele deadlines voor NIS2 gaan in 2026 gelden. Wacht niet tot het laatste moment met het op orde brengen van je leveranciersbeheersing. Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over hoe wij je kunnen ondersteunen bij NIS2-compliance.

Veelgemaakte DORA-valkuilen bij organisaties die “denken dat ze klaar zijn”

in

Veel organisaties denken dat ze klaar zijn voor de DORA-deadline van 2025, maar in de praktijk blijken er aanzienlijke DORA-compliancegaps te bestaan. De meest voorkomende DORA-valkuilen zijn het verwarren van papieren compliance met daadwerkelijke operationele weerbaarheid, onvoldoende testing van digitale weerbaarheid, gebrekkig derdenbeheer en het behandelen van DORA als een puur IT-project. Dit artikel bespreekt de typische DORA-implementatieproblemen en hoe je deze voorkomt.

Wat zijn de meest voorkomende DORA-valkuilen bij organisaties?

De meest voorkomende DORA-valkuilen ontstaan wanneer organisaties denken compliant te zijn op basis van bestaande documentatie en processen, zonder te verifiëren of deze daadwerkelijk voldoen aan de specifieke vereisten van de Digital Operational Resilience Act. De kloof tussen papieren compliance en echte operationele weerbaarheid is vaak groter dan verwacht.

Organisaties maken typisch fouten op de volgende gebieden:

  • Documentatie zonder implementatie: beleidsdocumenten zijn aanwezig, maar processen worden niet actief uitgevoerd of getest.
  • Onvoldoende ICT-risicomanagement onder DORA: het risicobeheerkader is niet specifiek ingericht op de zes DORA-hoofdvereisten (governance, risicobeheer, incidentrapportage, veerkrachttesten, derdenbeheer en informatie-uitwisseling).
  • Gebrekkige aantoonbaarheid: organisaties kunnen niet bewijzen dat maatregelen effectief werken.
  • Onderschatting van de scope: DORA raakt vaak organisaties indirect via ketens, moedermaatschappijen of dienstverlening.

Een DORA-checklist afvinken is niet voldoende. De wetgeving vraagt om aantoonbaarheid van werkende processen en regelmatige evaluatie van digitale weerbaarheid.

Waarom is alleen documentatie niet voldoende voor DORA-compliance?

Documentatie alleen volstaat niet, omdat DORA expliciet vraagt om aantoonbare implementatie van maatregelen, niet alleen om het bestaan van beleidsdocumenten. Toezichthouders willen bewijs zien dat processen daadwerkelijk functioneren en regelmatig worden getest. Dit onderscheidt DORA van veel andere compliancekaders.

De valkuil van ‘checkbox compliance’ ontstaat wanneer organisaties:

  • Beleidsdocumenten opstellen die niet worden nageleefd in de dagelijkse praktijk.
  • Procedures beschrijven zonder medewerkers hierin te trainen.
  • Risico-assessments uitvoeren als eenmalige exercitie in plaats van als doorlopend proces.
  • Incidentprocedures hebben die nooit zijn getest via simulaties.

DORA vereist dat financiële instellingen een IT-risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit kader moet aantoonbaar werken. Een nulmeting is daarom een logisch startpunt om vast te stellen of DORA daadwerkelijk is geïmplementeerd en niet alleen gedocumenteerd.

Welke fouten maken organisaties bij het testen van digitale weerbaarheid?

Organisaties maken bij het testen van digitale weerbaarheid vaak de fout dat ze te beperkte tests uitvoeren, met onvoldoende frequentie of zonder kritieke systemen te betrekken. DORA schrijft regelmatige veerkrachttesten voor om te voldoen aan eisen van toezichthouders en klanten. Eenmalige tests volstaan niet.

Veelvoorkomende DORA-voorbereidingsfouten bij testing zijn:

  • Vulnerabilityscans verwarren met penetratietests: een geautomatiseerde scan identificeert bekende kwetsbaarheden, maar test niet hoe een aanvaller deze daadwerkelijk zou exploiteren.
  • Te beperkte scope: alleen internetgerichte systemen testen, terwijl interne systemen en koppelingen buiten scope blijven.
  • Ontbreken van threat-led penetration testing (TLPT): voor grotere organisaties schrijft DORA specifiek dreigingsgestuurde tests voor die realistische aanvalsscenario’s simuleren.
  • Geen follow-up: bevindingen uit tests worden niet structureel opgepakt en hertest.

Het verschil tussen een volwaardige penetratietest en een vulnerabilityscan is significant. Een DORA-audit zal specifiek kijken naar de diepgang en frequentie van uitgevoerde tests.

Hoe onderschatten organisaties de DORA-eisen voor derde partijen?

Organisaties onderschatten de DORA-eisen voor derde partijen door te denken dat bestaande leverancierscontracten volstaan. DORA vereist echter strikt beheer van ICT-dienstverleners om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen. Dit omvat cloudproviders, softwareleveranciers en datacentra.

De complexiteit van third-party risk management onder DORA omvat:

  • Register van ICT-dienstverleners: een volledig en actueel overzicht van alle externe partijen die ICT-diensten leveren.
  • Contractuele vereisten: afspraken die digitale weerbaarheid waarborgen en toezicht op prestaties mogelijk maken.
  • Exitstrategieën: concrete plannen voor het beëindigen van relaties met kritieke leveranciers zonder operationele verstoring.
  • Beoordeling van uitbestedingsrisico’s: externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de organisatie zelf.

DORA erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners. Deze leveranciers spelen daarom een rol in de digitale weerbaarheid van de gehele sector. Organisaties die dit onderschatten, lopen aanzienlijke DORA-risico’s.

Wat gaat er vaak mis bij ICT-incidentmanagement onder DORA?

Bij ICT-incidentmanagement gaat het vaak mis doordat organisaties hun bestaande incidentprocessen niet hebben afgestemd op de specifieke DORA-vereisten. DORA schrijft snelle opsporing en melding van IT-incidenten voor om schade te beperken. De tijdlijnen voor incidentmelding aan toezichthouders zijn strikt en wijken af van veel bestaande procedures.

Tekortkomingen die organisaties vaak vertonen:

  • Gebrekkige detectie: geen adequate monitoring om incidenten tijdig te identificeren.
  • Onduidelijke classificatie: geen helder kader om te bepalen welke incidenten meldingsplichtig zijn onder DORA.
  • Te trage meldingsprocedures: interne escalatieroutes die niet aansluiten bij de vereiste meldingstermijnen.
  • Ontbreken van rootcauseanalyse: incidenten worden opgelost zonder structurele oorzaken te adresseren.

Het verschil tussen een algemeen incidentproces en DORA-compliant incidentmanagement zit in de details: classificatiecriteria, meldingstermijnen en de vereiste documentatie voor toezichthouders. Een DORA-compliancefout op dit gebied kan leiden tot sancties.

Waarom faalt de betrokkenheid van het bestuur vaak bij DORA-implementatie?

De betrokkenheid van het bestuur faalt vaak omdat DORA wordt gezien als een puur IT-project, terwijl de wetgeving expliciet bepaalt dat het bestuur verantwoordelijk is voor ICT-risicomanagement. DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal.

Typische DORA-implementatieproblemen op bestuursniveau:

  • Delegatie zonder betrokkenheid: het bestuur delegeert DORA volledig aan IT zonder zelf kennis te nemen van de vereisten.
  • Ontbrekende kennis: bestuurders missen de vereiste basiskennis over ICT-risico’s om hun verantwoordelijkheid te kunnen dragen.
  • Geen structurele rapportage: het bestuur ontvangt geen regelmatige updates over de status van digitale weerbaarheid.
  • Budget zonder prioriteit: middelen worden vrijgemaakt, maar DORA krijgt geen strategische aandacht.

De expliciete DORA-eis dat governance het inrichten van een IT-risicobeheerkader vereist, betekent dat bestuurders aantoonbaar betrokken moeten zijn. Dit is geen formaliteit, maar een kernvereiste waar toezichthouders op zullen toetsen.

Hoe helpt Hoek en Blok IT bij het voorkomen van DORA-valkuilen?

Hoek en Blok IT ondersteunt organisaties bij het identificeren en oplossen van DORA-compliancegaps met een pragmatische, resultaatgerichte aanpak. Als gespecialiseerd IT-audit- en beveiligingsbureau combineert Hoek en Blok IT technische expertise met auditervaring om organisaties te helpen bij aantoonbare DORA-compliance.

Relevante diensten voor DORA-voorbereiding:

  • DORA-gapanalyse: nulmeting om vast te stellen waar de organisatie staat en welke verbeteringen nodig zijn.
  • Penetratietests en ethical hacking: volwaardige tests die voldoen aan DORA-vereisten voor veerkrachttesten.
  • IT-audits en assurancerapportages: ISAE 3000-verklaringen kunnen een manier zijn om naleving aantoonbaar te maken.
  • IT Security Officer as a Service: doorlopende ondersteuning bij ICT-risicomanagement zonder fulltime aanstelling.
  • Ondersteuning bij incidentmanagement: inrichting van DORA-compliant meldingsprocedures.

Wilt u weten of uw organisatie daadwerkelijk klaar is voor DORA, of alleen op papier? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over uw DORA-gereedheid en de concrete stappen die u kunt nemen.

Wat kost het om NIS2 compliant te worden in 2026?

in

De kosten om NIS2-compliant te worden in 2026 variëren sterk per organisatie en hangen af van factoren zoals uw huidige beveiligingsniveau, organisatiegrootte en sector. Middelgrote organisaties moeten rekening houden met investeringen in gap-analyses, technische maatregelen, beleidsontwikkeling en training. Door vroegtijdig te starten en slim te prioriteren, kunt u deze kosten beheersbaar houden en spreiden over meerdere boekjaren.

Wat bepaalt de kosten van NIS2-compliance voor uw organisatie?

De totale investering voor NIS2-compliance wordt bepaald door een combinatie van organisatiekenmerken en uw huidige beveiligingsniveau. Organisaties die al werken met frameworks zoals ISO 27001 of beschikken over een ISAE 3402-verklaring hebben vaak een voorsprong, terwijl bedrijven die nog aan het begin staan meer middelen nodig hebben.

De belangrijkste kostenfactoren zijn:

  • Organisatiegrootte: Grote organisaties (meer dan 250 werknemers of een omzet boven 50 miljoen euro) vallen onder proactief toezicht en moeten aan strengere eisen voldoen.
  • Huidige beveiligingsniveau: Hoe verder uw bestaande maatregelen afwijken van NIS2-vereisten, hoe groter de investering.
  • Sectorspecifieke eisen: Organisaties in sectoren zoals energie, gezondheidszorg of financiële dienstverlening krijgen te maken met aanvullende vereisten.
  • Technische infrastructuur: Verouderde systemen vragen om grotere investeringen dan moderne, goed gedocumenteerde omgevingen.
  • Interne versus externe resources: De keuze tussen eigen personeel en externe specialisten beïnvloedt zowel de kosten als de doorlooptijd.

Organisaties met minder dan 50 werknemers en een omzet onder 10 miljoen euro vallen overigens niet onder de NIS2-scope, tenzij ze actief zijn in specifieke kritieke sectoren.

Welke kostenposten moet u meenemen in uw NIS2-budget?

Een realistisch NIS2-budget omvat verschillende concrete kostencomponenten die samen het volledige implementatietraject dekken. Het is verstandig om alle onderdelen vooraf in kaart te brengen om verrassingen tijdens het traject te voorkomen.

De belangrijkste budgetposten voor NIS2-implementatie zijn:

  • Gap-analyse en nulmeting: Beoordeling van uw huidige cyberbeveiligingsniveau ten opzichte van NIS2-vereisten.
  • Risicobeoordeling: Identificatie van hiaten en risico’s in uw netwerk- en informatiesystemen.
  • Technische maatregelen: Implementatie van beveiligingsoplossingen, monitoring en detectiesystemen.
  • Beleidsontwikkeling: Opstellen van security policies, procedures en documentatie.
  • Training en awareness: Programma’s om medewerkers bewust te maken van cybersecurityrisico’s.
  • Incident response planning: Ontwikkeling van procedures voor het melden en afhandelen van cyberincidenten.
  • Supply chain management: Beoordeling en beheersing van risico’s bij leveranciers en partners.
  • Externe audits en assessments: Onafhankelijke toetsing van uw maatregelen.

Vergeet ook de doorlopende kosten niet: NIS2-compliance is geen eenmalige investering, maar vraagt om structureel onderhoud en periodieke evaluatie.

Hoe kunt u de kosten van NIS2-compliance beheersbaar houden?

Kostenefficiënte NIS2-implementatie vraagt om een pragmatische aanpak waarbij u slim prioriteert en bestaande investeringen optimaal benut. Door strategisch te werk te gaan, voorkomt u onnodige uitgaven en haalt u maximaal rendement uit uw compliance-inspanningen.

Praktische strategieën om kosten te beheersen:

  • Gefaseerde implementatie: Verdeel het traject in beheersbare fasen en spreid de kosten over meerdere boekjaren.
  • Prioritering op basis van risico: Pak eerst de grootste risico’s aan en werk toe naar volledige compliance.
  • Benut bestaande frameworks: Organisaties met ISO 27001-certificering of een ISAE 3402-verklaring hebben al veel werk gedaan dat meetelt voor NIS2.
  • Combineer compliance-trajecten: Voorkom dubbel werk door NIS2 te integreren met andere audits en certificeringen.
  • Bouw interne kennis op: Investeer in training van eigen medewerkers voor structurele taken.
  • Externe expertise voor specialistische taken: Schakel specialisten in voor complexe onderdelen zoals penetratietests en gap-analyses.

Een nulmeting aan het begin van uw traject geeft inzicht in waar u staat en welke investeringen daadwerkelijk nodig zijn. Dit voorkomt dat u geld uitgeeft aan maatregelen die al voldoende zijn ingericht.

Wat zijn de financiële risico’s van non-compliance met NIS2?

De kosten van non-compliance met NIS2 kunnen de investering in compliance ruimschoots overstijgen. Naast directe boetes en sancties brengt non-compliance aanzienlijke verborgen kosten met zich mee die uw organisatie langdurig kunnen raken.

De belangrijkste financiële risico’s zijn:

  • Boetes en sancties: NIS2 voorziet in aanzienlijke boetes voor organisaties die niet voldoen aan de vereisten.
  • Persoonlijke aansprakelijkheid: Bestuurders worden onder NIS2 persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen.
  • Reputatieschade: Klanten, partners en investeerders verliezen vertrouwen in organisaties die hun cybersecurity niet op orde hebben.
  • Operationele verstoringen: Cyberincidenten zonder adequate voorbereiding leiden tot langere downtime en hogere herstelkosten.
  • Verborgen kosten van uitstel: Later starten betekent hogere kosten door tijdsdruk en beperkte beschikbaarheid van specialisten.

Ter vergelijking: de gemiddelde schade van een hack bedroeg in 2022 al 270.000 euro. NIS2-compliance is daarmee niet alleen een wettelijke verplichting, maar ook een verstandige investering in risicobeheer.

Wanneer moet u beginnen met NIS2-budgettering voor de deadline van 2026?

De eerste operationele deadlines voor NIS2 vallen in 2026, wat betekent dat organisaties nu moeten starten met budgettering en planning. Een realistisch implementatietraject duurt voor de meeste organisaties twaalf tot achttien maanden, afhankelijk van de huidige situatie en de gewenste scope.

Een praktische tijdlijn voor NIS2-budgettering:

  • Nu tot en met Q1 2025: Start met een nulmeting om uw huidige positie te bepalen en de benodigde investering in kaart te brengen.
  • Q1–Q2 2025: Reserveer budget voor 2025 en 2026 op basis van de resultaten van de gap-analyse.
  • Q2–Q4 2025: Implementeer prioritaire maatregelen en bouw interne capaciteit op.
  • 2026: Voltooi de implementatie en bereid u voor op toezicht en mogelijke audits.

Door vroegtijdig te starten kunt u de kosten spreiden over meerdere boekjaren. Dit maakt de investering beter planbaar en voorkomt dat u onder tijdsdruk duurdere oplossingen moet kiezen. Organisaties die wachten tot 2025 of later lopen het risico op hogere kosten door schaarste aan specialisten en beperkte implementatietijd.

Hoe helpt Hoek en Blok IT bij NIS2-compliancekosten?

Hoek en Blok IT ondersteunt organisaties bij kostenefficiënte NIS2-implementatie met een pragmatische, resultaatgerichte aanpak. Hun NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om u doelgericht naar compliance te begeleiden.

Concrete ondersteuning die Hoek en Blok IT biedt:

  • NIS2-nulmeting: Beoordeling van uw huidige cyberbeveiligingsniveau, identificatie van hiaten en risico’s, en advies over passende maatregelen.
  • Gap-analyses: Gedetailleerd inzicht in wat nodig is om aan NIS2 te voldoen, afgestemd op uw specifieke situatie.
  • IT Security Officer as a Service: Betaalbare toegang tot specialistische security-expertise zonder vaste overhead.
  • Penetratietests en security-assessments: Praktische toetsing van uw beveiligingsmaatregelen door ethical hackers.
  • Integratie met bestaande trajecten: Ervaring met ISAE 3000, ISAE 3402-verklaringen, SOC 2 en ISO 27001 voor een efficiënte combinatie van compliance-inspanningen.

Wilt u weten wat NIS2-compliance voor uw organisatie betekent en hoe u de kosten beheersbaar houdt? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek over uw situatie en mogelijkheden.

Welke bedrijfsgrootten vallen onder de NIS2 richtlijn?

in

De NIS2-richtlijn is van toepassing op middelgrote ondernemingen (50-249 medewerkers of € 10-50 miljoen omzet) en grote ondernemingen (250+ medewerkers of € 50+ miljoen omzet) die actief zijn in specifieke sectoren. De Europese Unie hanteert deze groottecriteria om te bepalen welke organisaties onder de richtlijn vallen. Daarnaast gelden er uitzonderingen waardoor ook kleinere bedrijven in bepaalde gevallen moeten voldoen aan de NIS2-eisen. In dit artikel beantwoorden we de belangrijkste vragen over bedrijfsgrootte en NIS2-compliance.

Wat zijn de exacte criteria voor bedrijfsgrootte onder de NIS2-richtlijn?

De NIS2-richtlijn hanteert de standaard EU-definitie voor ondernemingsgrootte. Een organisatie valt onder de richtlijn wanneer deze minimaal 50 medewerkers heeft óf een jaaromzet van meer dan € 10 miljoen realiseert. De criteria werken als volgt:

  • Middelgrote ondernemingen: 50-249 medewerkers, of een jaaromzet tussen € 10 en € 50 miljoen, of een balanstotaal tussen € 10 en € 43 miljoen
  • Grote ondernemingen: 250 of meer medewerkers, of een jaaromzet boven € 50 miljoen, of een balanstotaal boven € 43 miljoen

Bij de beoordeling geldt het “of-of”-principe: je hoeft slechts aan één van de drempels te voldoen om in een categorie te vallen. Een bedrijf met 45 medewerkers maar € 12 miljoen omzet wordt dus als middelgrote onderneming beschouwd. De sectorclassificatie bepaalt vervolgens of je daadwerkelijk onder NIS2 valt.

Welke sectoren vallen onder NIS2 ongeacht de bedrijfsgrootte?

NIS2 maakt onderscheid tussen essentiële en belangrijke sectoren. Alleen organisaties die actief zijn in deze sectoren én aan de groottecriteria voldoen, vallen onder de richtlijn. De essentiële sectoren omvatten energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening (B2B), overheidsdiensten en ruimtevaart.

Belangrijke sectoren zijn post- en koeriersdiensten, afvalbeheer, de chemische industrie, voedselproductie en -distributie, de productie van medische hulpmiddelen, en de productie van computers, elektronica en machines. De sectorclassificatie is cruciaal, omdat deze bepaalt onder welk toezichtregime een organisatie valt.

Een middelgroot transportbedrijf valt bijvoorbeeld onder NIS2, terwijl een even groot marketingbureau dat niet doet. De combinatie van sector én grootte bepaalt de toepasselijkheid van de richtlijn.

Hoe bepaal je of jouw organisatie een middelgrote of grote onderneming is volgens NIS2?

Het vaststellen van je bedrijfsgrootte voor NIS2 vereist een zorgvuldige berekening volgens de EU-definitie voor mkb-classificatie. Tel het aantal medewerkers op basis van fulltime-equivalenten (FTE) over het laatste afgesloten boekjaar. Parttime medewerkers tel je naar rato mee.

Bepaal daarnaast je jaaromzet en balanstotaal op basis van de meest recente jaarrekening. Let op: bij verbonden ondernemingen en partnerondernemingen moet je de cijfers consolideren. Een dochteronderneming met 30 medewerkers die onderdeel is van een groep met in totaal 80 medewerkers, wordt beoordeeld op groepsniveau.

De berekening voor verbonden ondernemingen werkt als volgt:

  • Bij een meerderheidsbelang (meer dan 50%) tel je alle medewerkers en financiële cijfers volledig mee
  • Bij een partneronderneming (25-50% belang) tel je de cijfers naar rato van het aandelenpercentage mee
  • Bij een minderheidsbelang (minder dan 25%) hoef je doorgaans niet te consolideren

Welke kleine bedrijven kunnen toch onder NIS2 vallen?

De NIS2-richtlijn kent belangrijke uitzonderingen waarbij ook kleinere organisaties onder de regelgeving vallen, ongeacht hun omvang. Dit geldt voor aanbieders van DNS-diensten, TLD-naamregisters, aanbieders van openbare elektronische communicatienetwerken of -diensten, vertrouwensdienstverleners en organisaties die als enige aanbieder van een essentiële dienst in een lidstaat fungeren.

Het criterium hierbij is de kritieke maatschappelijke impact. Een klein bedrijf dat de enige aanbieder is van een bepaalde essentiële dienst in Nederland, kan door een cyberincident onevenredig grote schade veroorzaken aan de samenleving. Daarom gelden voor deze organisaties dezelfde eisen als voor grotere ondernemingen.

Staat jouw branche niet op de lijst? Dan kun je in theorie rustig achteroverleunen, maar in de praktijk is dat niet de beste keuze. De gemiddelde schade van een hack is aanzienlijk, en een groot deel van het mkb krijgt te maken met cyberaanvallen. Ook zonder NIS2-verplichting is het verstandig om aan de slag te gaan met cybersecurity.

Wat is het verschil tussen essentiële en belangrijke entiteiten qua bedrijfsgrootte?

NIS2 classificeert organisaties als essentiële of belangrijke entiteiten, met verschillende toezichtregimes en sanctieniveaus. Essentiële entiteiten zijn voornamelijk grote ondernemingen in kritieke sectoren zoals energie, transport en gezondheidszorg. Belangrijke entiteiten zijn doorgaans middelgrote ondernemingen en bepaalde grote ondernemingen in minder kritieke sectoren.

De praktische verschillen zijn substantieel:

  • Toezicht: Essentiële entiteiten vallen onder proactief toezicht met regelmatige audits. Belangrijke entiteiten worden reactief gecontroleerd, meestal naar aanleiding van incidenten of meldingen.
  • Sancties: Voor essentiële entiteiten kunnen boetes oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van € 7 miljoen of 1,4% van de omzet.
  • Bestuurdersaansprakelijkheid: Bij beide categorieën wordt het topmanagement persoonlijk aansprakelijk voor non-compliance met maatregelen voor cybersecurityrisicomanagement.

De classificatie bepaalt dus niet alleen de intensiteit van het toezicht, maar ook de financiële risico’s bij non-compliance.

Wanneer moet je als organisatie voldoen aan de NIS2-groottecriteria?

NIS2 treedt vanaf 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die onder de scope van de richtlijn vallen, vóór deze datum hun cyberbeveiligingsmaatregelen op orde moeten hebben. De deadline valt aan het einde van Q2 2026, wat organisaties een duidelijk tijdsframe geeft voor hun compliancetraject.

De peildatum voor het vaststellen van je bedrijfsgrootte is het moment van inwerkingtreding. Organisaties moeten zich tijdig registreren bij de bevoegde autoriteit. Wanneer een organisatie groeit en daardoor van categorie verandert (bijvoorbeeld van klein naar middelgroot), valt deze vanaf dat moment onder de richtlijn en moet zij binnen een redelijke termijn aan alle eisen voldoen.

Omgekeerd geldt: als een organisatie krimpt en onder de drempelwaarden zakt, vervallen de verplichtingen niet automatisch. De toezichthouder beoordeelt of de krimp structureel is of tijdelijk van aard.

Hoe helpt Hoek en Blok IT bij NIS2-compliance voor uw bedrijfsgrootte?

Hoek en Blok IT ondersteunt organisaties die onder NIS2 vallen met een pragmatische en betaalbare aanpak. NIS2 is primair een organisatorisch vraagstuk, niet alleen een technisch vraagstuk. Een IT-leverancier kan wel helpen bij de technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden. Hoek en Blok IT biedt het totaalplaatje.

Concrete diensten omvatten:

  • NIS2-readinessassessments: bepalen of en hoe de richtlijn op uw organisatie van toepassing is
  • Gap-analyses: inzicht in welke maatregelen al geïmplementeerd zijn en waar u mee aan de slag moet
  • Begeleiding bij ISAE 3402/SOC 2-trajecten: voor aantoonbare compliance richting toezichthouders en stakeholders
  • Penetratietests en securityassessments: identificeren van kwetsbaarheden in netwerk, systemen en medewerkergedrag
  • IT Security Officer as a Service: voor organisaties die interne expertise missen

Na een nulmeting ontvangt u een helder informatiebeveiligingsbeleid, een risicoregister en een uitgebreid adviesrapport met concrete verbeterpunten. Neem vrijblijvend contact op om te bespreken hoe uw organisatie tijdig kan voldoen aan de NIS2-eisen.

DORA voor compliance officers: in 5 stappen grip op toezicht en rapportage

in

De Digital Operational Resilience Act (DORA) verplicht financiële instellingen in de EU om hun digitale weerbaarheid aantoonbaar te maken. Als DORA-compliance officer ben je verantwoordelijk voor het opzetten van een effectief toezichtskader, het bewaken van rapportageverplichtingen en het coördineren van weerbaarheidstesten. Nu de DORA-deadline van 2025 achter ons ligt, is het essentieel dat jouw organisatie grip heeft op ICT-risicobeheer, incidentmeldingen en het beheer van derde partijen.

Wat is DORA en waarom is het essentieel voor compliance officers?

DORA is Europese wetgeving die de digitale operationele weerbaarheid van financiële instellingen versterkt. De verordening richt zich specifiek op de beveiliging en weerbaarheid van netwerk- en informatiesystemen binnen de financiële sector. DORA creëert een uniform regelgevingskader in de EU dat versnippering en dubbele regels vermindert door heldere, uniforme eisen in heel Europa.

De wetgeving rust op vijf kernpijlers die samen de basis vormen voor DORA-compliance:

  • ICT-risicobeheer: het identificeren, beoordelen en beheersen van risico’s rondom informatietechnologie
  • Incidentenbeheer: procedures voor het detecteren, classificeren en melden van ICT-gerelateerde incidenten
  • Weerbaarheidstesten: periodieke tests om de effectiviteit van beveiligingsmaatregelen te valideren
  • Beheer van derde partijen: strikt toezicht op IT-dienstverleners en uitbestedingsrelaties
  • Informatie-uitwisseling: het delen van dreigingsinformatie tussen financiële instellingen

Voor compliance officers is DORA essentieel omdat zij een centrale rol spelen bij het waarborgen van naleving. Zij coördineren tussen IT-afdelingen, het bestuur en toezichthouders. Sinds 17 januari 2025 moeten organisaties aantoonbaar compliant zijn, wat betekent dat je niet alleen maatregelen moet hebben geïmplementeerd, maar ook moet kunnen bewijzen dat deze effectief werken.

Welke rapportageverplichtingen brengt DORA met zich mee?

DORA-rapportage omvat drie hoofdgebieden: incidentrapportage aan toezichthouders, documentatie van ICT-risicobeheerprocessen en verslaglegging over uitbestedingsrelaties. De DORA-compliance officer is verantwoordelijk voor het opzetten en bewaken van deze rapportageprocessen binnen de organisatie.

Bij ernstige ICT-incidenten gelden strikte meldingstermijnen. Organisaties moeten binnen vier uur na classificatie een eerste melding doen aan de toezichthouder, gevolgd door een tussentijdse rapportage binnen 72 uur en een eindrapport binnen één maand. Deze tijdlijnen vereisen dat je interne processen goed op orde hebt.

De documentatieverplichtingen onder de DORA-regelgeving in Nederland omvatten:

  • Vastlegging van het ICT-risicobeheerbeleid en de governance-structuur
  • Registers van alle ICT-dienstverleners en uitbestedingscontracten
  • Resultaten van weerbaarheidstesten en opvolgingsacties
  • Incidentregistraties met classificatie en genomen maatregelen

Als compliance officer zorg je ervoor dat alle documentatie actueel, volledig en toegankelijk is voor toezichthouders. De Nederlandse toezichthouder DNB heeft specifieke aandachtspunten geformuleerd voor zowel banken als pensioenfondsen en verzekeraars, die richting geven aan waar de focus bij inspecties zal liggen.

Hoe zet je een effectief DORA-toezichtskader op in 5 stappen?

Een effectief DORA-toezichtskader implementeer je via een gestructureerde aanpak in vijf stappen. Deze vijf DORA-stappen helpen je om systematisch grip te krijgen op alle vereisten en een solide basis te leggen voor structurele digitale weerbaarheid.

Stap 1: Gap-analyse van de huidige situatie ten opzichte van de DORA-vereisten

Start met een nulmeting waarbij je de huidige beleidsmaatregelen, procedures en IT-omgeving analyseert. Bepaal per DORA-thema of je een hoofdlijnenanalyse of een gedetailleerde analyse uitvoert, afhankelijk van de volwassenheid van processen. Een normenkader helpt bij het bepalen van de scope.

Stap 2: Opstellen van ICT-risicobeheerbeleid en governance-structuur

Documenteer het ICT-risicobeheerbeleid en wijs verantwoordelijkheden toe. Zorg dat het bestuur betrokken is bij de governance en dat er duidelijke escalatielijnen bestaan.

Stap 3: Inrichten van incidentdetectie en meldingsprocedures

Implementeer systemen voor het detecteren en classificeren van ICT-incidenten. Stel procedures op die voldoen aan de meldingstermijnen en zorg voor duidelijke communicatielijnen naar toezichthouders.

Stap 4: Implementeren van een testprogramma voor digitale weerbaarheid

Richt een periodiek testprogramma in dat voldoet aan de DORA-vereisten voor de financiële sector. Dit omvat zowel basale beveiligingstesten als geavanceerde threat-led penetration testing voor grotere organisaties.

Stap 5: Opzetten van third-party risk management voor ICT-dienstverleners

Breng alle kritieke ICT-dienstverleners in kaart en beoordeel uitbestedingsrisico’s. Maak contractuele afspraken die digitale weerbaarheid waarborgen en monitor de prestaties van leveranciers structureel.

Wat zijn de grootste uitdagingen bij DORA-compliance en hoe los je ze op?

Bij de implementatie van DORA lopen organisaties tegen verschillende praktische obstakels aan. Het herkennen van deze uitdagingen helpt je om tijdig passende oplossingen te implementeren.

Gebrek aan interne expertise

Veel organisaties beschikken niet over voldoende specialistische kennis van zowel IT-beveiliging als compliancevereisten. Overweeg het inhuren van externe expertise of het trainen van bestaande medewerkers. Een IT Security Officer as-a-Service kan een pragmatische oplossing zijn.

Complexiteit van uitbestedingsketens

Financiële instellingen zijn vaak afhankelijk van meerdere externe IT-dienstverleners, waaronder cloudproviders, softwareleveranciers en datacentra. Breng de volledige keten in kaart en prioriteer op basis van kritiekheid. DORA erkent deze afhankelijkheid en vereist dat externe leveranciers aan dezelfde beveiligingsstandaarden voldoen.

Afstemming tussen IT- en compliance-afdelingen

IT en compliance spreken vaak verschillende talen. Organiseer regelmatig overleg en zorg voor gedeelde KPI’s. Creëer een gezamenlijk begrip van wat operationele weerbaarheid in de praktijk betekent.

Budgetbeperkingen

DORA-compliance vraagt investeringen in systemen, processen en mensen. Presenteer DORA niet alleen als kostenpost, maar benadruk de voordelen: betere bescherming tegen IT-risico’s, stimulering van innovatie en versterkt consumentenvertrouwen.

Tijdsdruk

Nu de deadline achter ons ligt, is het zaak om snel te handelen. Focus op de hoogste risico’s en werk gefaseerd naar volledige compliance. Een volwassenheidsmodel met niveaus van 0 (Incomplete) tot 5 (Optimizing) helpt bij het bepalen van prioriteiten, waarbij niveau 3 (Defined) het geadviseerde minimum is voor aantoonbare DORA-compliance.

Welke rol speelt de compliance officer bij DORA-incidentbeheer?

De DORA-compliance officer heeft een coördinerende rol bij ICT-gerelateerde incidenten. Je bent verantwoordelijk voor het waarborgen dat classificatie, escalatie en communicatie volgens de vastgestelde procedures verlopen.

Bij incidentclassificatie bepaal je of een incident als ernstig moet worden aangemerkt. Criteria hiervoor zijn onder meer de impact op klanten, de financiële schade en de duur van de verstoring. Een correcte classificatie is cruciaal omdat deze bepaalt welke meldingsverplichtingen gelden.

De escalatieprocedures moeten helder zijn. De compliance officer zorgt ervoor dat:

  • het incident tijdig wordt gemeld aan het bestuur
  • de toezichthouder binnen de vereiste termijnen wordt geïnformeerd
  • interne stakeholders op de hoogte zijn van de situatie en hun rol
  • documentatie volledig en accuraat wordt bijgehouden

Communicatie met toezichthouders vraagt om zorgvuldigheid. Je moet feitelijk rapporteren, de impact helder beschrijven en aangeven welke maatregelen zijn genomen. De DNB heeft specifieke verwachtingen geformuleerd die richting geven aan deze communicatie.

Incidentbeheer staat niet op zichzelf. Het is onderdeel van je bredere DORA-compliancestrategie. Elk incident biedt leermomenten die je kunt gebruiken om processen te verbeteren en toekomstige incidenten te voorkomen.

Hoe bereid je je organisatie voor op DORA-weerbaarheidstesten?

DORA vereist periodieke weerbaarheidstesten om te valideren dat beveiligingsmaatregelen effectief werken. De scope en frequentie van deze testen hangen af van de omvang en het risicoprofiel van je organisatie.

Basale weerbaarheidstesten omvatten kwetsbaarheidsscans, penetratietesten en scenariotests. Deze moeten regelmatig worden uitgevoerd en de resultaten moeten worden gedocumenteerd. Grotere financiële instellingen moeten daarnaast threat-led penetration testing (TLPT) uitvoeren, waarbij realistische aanvalsscenario’s worden gesimuleerd.

De documentatievereisten voor weerbaarheidstesten zijn uitgebreid. Je moet vastleggen:

  • de scope en methodologie van elke test
  • de bevindingen en geïdentificeerde kwetsbaarheden
  • de genomen herstelmaatregelen en hun effectiviteit
  • de betrokkenheid van het management bij de opvolging

Externe testers spelen een belangrijke rol bij TLPT. Zij brengen onafhankelijke expertise in en kunnen blinde vlekken identificeren die interne teams over het hoofd zien. De compliance officer coördineert de samenwerking met deze externe partijen en bewaakt dat bevindingen adequaat worden opgevolgd.

Als compliance officer zorg je ervoor dat testresultaten worden vertaald naar concrete verbeteracties. Je rapporteert aan het bestuur over de status van digitale weerbaarheid en bewaakt dat het testprogramma structureel wordt uitgevoerd.

Hoe helpt Hoek en Blok IT bij DORA-compliance en toezicht?

Hoek en Blok IT ondersteunt financiële instellingen bij het realiseren van aantoonbare DORA-compliance. Met NOREA-gecertificeerde IT-auditors en ruime ervaring in de financiële sector bieden zij praktische ondersteuning die aansluit bij jouw organisatiecontext.

De dienstverlening omvat:

  • DORA-gap-analyses en baseline-assessments: bepalen waar je staat ten opzichte van de DORA-vereisten via een gestructureerde driestappenaanpak met scopebepaling, assessmentuitvoering en rapportage met advies
  • Assurance-rapportages: ondersteuning bij ISAE 3000-, ISAE 3402– en SOC 2-verklaringen
  • Penetratietesten en ethical hacking: weerbaarheidstesten die voldoen aan de DORA-eisen
  • IT Security Officer as-a-Service: doorlopende compliance-ondersteuning zonder vast dienstverband
  • Begeleiding bij incidentrapportage: hulp bij communicatie met toezichthouders
  • Opzetten van monitoringstructuren: periodieke controle op de effectiviteit van maatregelen

De aanpak is pragmatisch en betaalbaar, gericht op het behalen van resultaat zonder onnodige complexiteit. Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA-compliance? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.