Veelgemaakte DORA-valkuilen bij organisaties die “denken dat ze klaar zijn”

Veel organisaties denken dat ze klaar zijn voor de DORA-deadline van 2025, maar in de praktijk blijken er aanzienlijke DORA-compliancegaps te bestaan. De meest voorkomende DORA-valkuilen zijn het verwarren van papieren compliance met daadwerkelijke operationele weerbaarheid, onvoldoende testing van digitale weerbaarheid, gebrekkig derdenbeheer en het behandelen van DORA als een puur IT-project. Dit artikel bespreekt de typische DORA-implementatieproblemen en hoe je deze voorkomt.

Wat zijn de meest voorkomende DORA-valkuilen bij organisaties?

De meest voorkomende DORA-valkuilen ontstaan wanneer organisaties denken compliant te zijn op basis van bestaande documentatie en processen, zonder te verifiëren of deze daadwerkelijk voldoen aan de specifieke vereisten van de Digital Operational Resilience Act. De kloof tussen papieren compliance en echte operationele weerbaarheid is vaak groter dan verwacht.

Organisaties maken typisch fouten op de volgende gebieden:

• Documentatie zonder implementatie: beleidsdocumenten zijn aanwezig, maar processen worden niet actief uitgevoerd of getest.
• Onvoldoende ICT-risicomanagement onder DORA: het risicobeheerkader is niet specifiek ingericht op de zes DORA-hoofdvereisten (governance, risicobeheer, incidentrapportage, veerkrachttesten, derdenbeheer en informatie-uitwisseling).
• Gebrekkige aantoonbaarheid: organisaties kunnen niet bewijzen dat maatregelen effectief werken.
• Onderschatting van de scope: DORA raakt vaak organisaties indirect via ketens, moedermaatschappijen of dienstverlening.

Een DORA-checklist afvinken is niet voldoende. De wetgeving vraagt om aantoonbaarheid van werkende processen en regelmatige evaluatie van digitale weerbaarheid.

Waarom is alleen documentatie niet voldoende voor DORA-compliance?

Documentatie alleen volstaat niet, omdat DORA expliciet vraagt om aantoonbare implementatie van maatregelen, niet alleen om het bestaan van beleidsdocumenten. Toezichthouders willen bewijs zien dat processen daadwerkelijk functioneren en regelmatig worden getest. Dit onderscheidt DORA van veel andere compliancekaders.

De valkuil van ‘checkbox compliance’ ontstaat wanneer organisaties:

• Beleidsdocumenten opstellen die niet worden nageleefd in de dagelijkse praktijk.
• Procedures beschrijven zonder medewerkers hierin te trainen.
• Risico-assessments uitvoeren als eenmalige exercitie in plaats van als doorlopend proces.
• Incidentprocedures hebben die nooit zijn getest via simulaties.

DORA vereist dat financiële instellingen een IT-risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit kader moet aantoonbaar werken. Een nulmeting is daarom een logisch startpunt om vast te stellen of DORA daadwerkelijk is geïmplementeerd en niet alleen gedocumenteerd.

Welke fouten maken organisaties bij het testen van digitale weerbaarheid?

Organisaties maken bij het testen van digitale weerbaarheid vaak de fout dat ze te beperkte tests uitvoeren, met onvoldoende frequentie of zonder kritieke systemen te betrekken. DORA schrijft regelmatige veerkrachttesten voor om te voldoen aan eisen van toezichthouders en klanten. Eenmalige tests volstaan niet.

Veelvoorkomende DORA-voorbereidingsfouten bij testing zijn:

• Vulnerabilityscans verwarren met penetratietests: een geautomatiseerde scan identificeert bekende kwetsbaarheden, maar test niet hoe een aanvaller deze daadwerkelijk zou exploiteren.
• Te beperkte scope: alleen internetgerichte systemen testen, terwijl interne systemen en koppelingen buiten scope blijven.
• Ontbreken van threat-led penetration testing (TLPT): voor grotere organisaties schrijft DORA specifiek dreigingsgestuurde tests voor die realistische aanvalsscenario’s simuleren.
• Geen follow-up: bevindingen uit tests worden niet structureel opgepakt en hertest.

Het verschil tussen een volwaardige penetratietest en een vulnerabilityscan is significant. Een DORA-audit zal specifiek kijken naar de diepgang en frequentie van uitgevoerde tests.

Hoe onderschatten organisaties de DORA-eisen voor derde partijen?

Organisaties onderschatten de DORA-eisen voor derde partijen door te denken dat bestaande leverancierscontracten volstaan. DORA vereist echter strikt beheer van ICT-dienstverleners om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen. Dit omvat cloudproviders, softwareleveranciers en datacentra.

De complexiteit van third-party risk management onder DORA omvat:

• Register van ICT-dienstverleners: een volledig en actueel overzicht van alle externe partijen die ICT-diensten leveren.
• Contractuele vereisten: afspraken die digitale weerbaarheid waarborgen en toezicht op prestaties mogelijk maken.
• Exitstrategieën: concrete plannen voor het beëindigen van relaties met kritieke leveranciers zonder operationele verstoring.
• Beoordeling van uitbestedingsrisico’s: externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de organisatie zelf.

DORA erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners. Deze leveranciers spelen daarom een rol in de digitale weerbaarheid van de gehele sector. Organisaties die dit onderschatten, lopen aanzienlijke DORA-risico’s.

Wat gaat er vaak mis bij ICT-incidentmanagement onder DORA?

Bij ICT-incidentmanagement gaat het vaak mis doordat organisaties hun bestaande incidentprocessen niet hebben afgestemd op de specifieke DORA-vereisten. DORA schrijft snelle opsporing en melding van IT-incidenten voor om schade te beperken. De tijdlijnen voor incidentmelding aan toezichthouders zijn strikt en wijken af van veel bestaande procedures.

Tekortkomingen die organisaties vaak vertonen:

• Gebrekkige detectie: geen adequate monitoring om incidenten tijdig te identificeren.
• Onduidelijke classificatie: geen helder kader om te bepalen welke incidenten meldingsplichtig zijn onder DORA.
• Te trage meldingsprocedures: interne escalatieroutes die niet aansluiten bij de vereiste meldingstermijnen.
• Ontbreken van rootcauseanalyse: incidenten worden opgelost zonder structurele oorzaken te adresseren.

Het verschil tussen een algemeen incidentproces en DORA-compliant incidentmanagement zit in de details: classificatiecriteria, meldingstermijnen en de vereiste documentatie voor toezichthouders. Een DORA-compliancefout op dit gebied kan leiden tot sancties.

Waarom faalt de betrokkenheid van het bestuur vaak bij DORA-implementatie?

De betrokkenheid van het bestuur faalt vaak omdat DORA wordt gezien als een puur IT-project, terwijl de wetgeving expliciet bepaalt dat het bestuur verantwoordelijk is voor ICT-risicomanagement. DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal.

Typische DORA-implementatieproblemen op bestuursniveau:

• Delegatie zonder betrokkenheid: het bestuur delegeert DORA volledig aan IT zonder zelf kennis te nemen van de vereisten.
• Ontbrekende kennis: bestuurders missen de vereiste basiskennis over ICT-risico’s om hun verantwoordelijkheid te kunnen dragen.
• Geen structurele rapportage: het bestuur ontvangt geen regelmatige updates over de status van digitale weerbaarheid.
• Budget zonder prioriteit: middelen worden vrijgemaakt, maar DORA krijgt geen strategische aandacht.

De expliciete DORA-eis dat governance het inrichten van een IT-risicobeheerkader vereist, betekent dat bestuurders aantoonbaar betrokken moeten zijn. Dit is geen formaliteit, maar een kernvereiste waar toezichthouders op zullen toetsen.

Hoe helpt Hoek en Blok IT bij het voorkomen van DORA-valkuilen?

Hoek en Blok IT ondersteunt organisaties bij het identificeren en oplossen van DORA-compliancegaps met een pragmatische, resultaatgerichte aanpak. Als gespecialiseerd IT-audit- en beveiligingsbureau combineert Hoek en Blok IT technische expertise met auditervaring om organisaties te helpen bij aantoonbare DORA-compliance.

Relevante diensten voor DORA-voorbereiding:

• DORA-gapanalyse: nulmeting om vast te stellen waar de organisatie staat en welke verbeteringen nodig zijn.
• Penetratietests en ethical hacking: volwaardige tests die voldoen aan DORA-vereisten voor veerkrachttesten.
• IT-audits en assurancerapportages: ISAE 3000-verklaringen kunnen een manier zijn om naleving aantoonbaar te maken.
• IT Security Officer as a Service: doorlopende ondersteuning bij ICT-risicomanagement zonder fulltime aanstelling.
• Ondersteuning bij incidentmanagement: inrichting van DORA-compliant meldingsprocedures.

Wilt u weten of uw organisatie daadwerkelijk klaar is voor DORA, of alleen op papier? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over uw DORA-gereedheid en de concrete stappen die u kunt nemen.