Staat NIS2 al op de agenda van uw organisatie? De Europese richtlijn voor netwerk- en informatiebeveiliging raakt middelgrote en grote ondernemingen in uiteenlopende sectoren. Van energie en transport tot digitale infrastructuren en overheidsdiensten: organisaties die onder de scope vallen, moeten aan strenge cyberbeveiligingseisen voldoen. De urgentie is hoog, want de eerste operationele deadlines naderen snel. Uitstel is geen optie meer. In dit artikel ontdekt u zes concrete redenen waarom NIS2-compliance nu uw aandacht verdient en welke stappen u kunt zetten om tijdig voorbereid te zijn.

1. De deadline van 2026 nadert sneller dan u denkt

De eerste operationele deadlines voor NIS2 gaan in 2026 gelden. Dat klinkt misschien nog ver weg, maar een gedegen compliancetraject vergt aanzienlijke voorbereidingstijd. Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen: het analyseren van cyberrisico’s, het bepalen van maatregelen, het opstellen van een actieplan, het uitvoeren van maatregelen en het controleren en verbeteren.

Alleen al de eerste fase, waarin u IT-middelen inventariseert, kwetsbaarheden identificeert en een risicoanalyse uitvoert, kost meerdere maanden. Daarna volgen gap-analyses, het ontwerpen van een controlsframework en de daadwerkelijke implementatie. Organisaties die nu starten, hebben voldoende tijd om maatregelen structureel te integreren in dagelijkse werkzaamheden, cultuur en strategie.

Kortom: wie wacht tot 2025, loopt het risico de deadline te missen en geconfronteerd te worden met sancties.

2. Persoonlijke aansprakelijkheid voor bestuurders

Een van de meest ingrijpende aspecten van NIS2 is de persoonlijke aansprakelijkheid voor bestuurders. Het topmanagement wordt direct verantwoordelijk gehouden voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit betekent dat directieleden juridische en financiële consequenties kunnen ondervinden wanneer hun organisatie niet aan de eisen voldoet.

Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Regelmatige scholing voor bestuur en werknemers is verplicht. Het bestuur stelt het beveiligingsbeleid vast, herziet dit periodiek en borgt dat personeel op de hoogte is en handelt in overeenstemming met het beleid.

Is cybersecurity nu nog vooral het domein van IT? Dan is dit het moment om daar verandering in te brengen. Zorg voor een rapportagelijn en periodiek overleg, zodat u als bestuurder weet wat er speelt en kunt bijsturen waar nodig.

3. Forse boetes bij non-compliance

Wat zijn de financiële consequenties van non-compliance? NIS2 introduceert een sanctieregime dat vergelijkbaar is met de AVG/GDPR. Organisaties riskeren aanzienlijke boetes wanneer zij niet voldoen aan de verplichtingen. Voor essentiële entiteiten kunnen de boetes oplopen tot miljoenen euro’s, afhankelijk van de omvang en ernst van de overtreding.

Aspect	NIS2	AVG/GDPR
Focus	Netwerk- en informatiebeveiliging	Persoonsgegevens
Maximale boete	Tot € 10 miljoen of 2% wereldwijde omzet	Tot € 20 miljoen of 4% wereldwijde omzet
Persoonlijke aansprakelijkheid	Ja, voor bestuurders	Beperkt
Meldplicht	Binnen 24 uur aan toezichthouder en CSIRT	Binnen 72 uur aan AP

De financiële impact op middelgrote en grote ondernemingen kan substantieel zijn. Naast directe boetes kunnen organisaties reputatieschade oplopen en het vertrouwen van klanten en partners verliezen.

4. Welke eisen stelt NIS2 aan uw organisatie?

NIS2 kent drie kernverplichtingen: de zorgplicht, de meldplicht en toezicht. De zorgplicht verplicht organisaties om een risicobeoordeling uit te voeren en passende maatregelen te nemen. De meldplicht vereist dat incidenten binnen 24 uur worden gemeld aan de toezichthouder en het Computer Security Incident Response Team (CSIRT). Organisaties komen onder toezicht te staan van een onafhankelijke toezichthouder.

Concreet betekent dit dat u moet zorgen voor:

• Een helder beleid voor risicoanalyse en beveiliging van informatiesystemen
• Periodieke beoordeling van de effectiviteit van cyberbeveiligingsmaatregelen
• Adequaat gebruik van cryptografie en encryptie
• Supply chain security en leveranciersbeheer
• Business continuityplanning en incidentrapportage

Het beleid moet door het bestuur worden vastgesteld en periodiek worden herzien. Alle medewerkers binnen de organisatie moeten zich bewust zijn van de gevaren en weten hoe zij een incident kunnen voorkomen.

5. Uw concurrenten zijn al begonnen

Terwijl sommige organisaties nog afwachten, zijn anderen al volop bezig met NIS2-voorbereiding. Vroegtijdige compliance biedt een concurrentievoordeel. Klanten en partners kiezen steeds vaker voor leveranciers die aantoonbaar veilig werken. Organisaties die achterblijven, riskeren niet alleen boetes, maar ook het verlies van opdrachten aan concurrenten die wel compliant zijn.

Bovendien wordt supply chain security een belangrijk onderdeel van NIS2. Grote organisaties zullen van hun leveranciers eisen dat zij aan bepaalde beveiligingsnormen voldoen. Wie niet kan aantonen compliant te zijn, kan buiten de boot vallen bij aanbestedingen en samenwerkingen.

Het eerlijke antwoord: kunt u exact vertellen hoe uw IT-landschap eruitziet, wat de kritieke factoren zijn en waar de risico’s liggen? Als dat niet zo is, is een nulmeting geen overbodige luxe.

6. NIS2-compliance versterkt uw cybersecurity structureel

NIS2 is meer dan een verplichting. De implementatie leidt tot verbeterde weerbaarheid, betere processen en verhoogd vertrouwen van klanten en partners. Door maatregelen structureel te integreren in dagelijkse werkzaamheden, cultuur en strategie, bouwt u aan een duurzame cybersecurityhouding.

De resultaten na een gedegen implementatie:

• Inzicht in de kroonjuwelen van de organisatie en waar de meeste risico’s zitten
• Een helder informatiebeveiligingsbeleid als kapstok voor maatregelen
• Duidelijk belegde verantwoordelijkheden voor risicobeheersing
• Structurele verbetering van cyberweerbaarheid

Zie NIS2 liever als een verandertraject dat continu aandacht verdient, niet als een afgebakend project met een kop en een staart. Met elke stap treft u een verbetering en alle stappen samen zorgen voor een volwassen niveau van veiligheid.

Hoe Hoek en Blok IT helpt met NIS2-compliance

Hoek en Blok IT ondersteunt organisaties bij het behalen van NIS2-compliance met een pragmatische en resultaatgerichte aanpak. De NOREA-gecertificeerde auditors bieden concrete ondersteuning bij:

• NIS2-nulmeting: inzicht in uw huidige cybersecurityniveau, kwetsbaarheden en te nemen maatregelen
• IT-securityassessments: analyse van techniek, mensen en processen
• Penetratietests: identificatie van kwetsbaarheden in uw systemen
• Compliancetrajecten: begeleiding van analyse tot implementatie
• IT Security Officer as a Service: betaalbare en praktische versterking van cybersecurity zonder fulltime aanstelling

Hoek en Blok IT levert na de nulmeting een uitgebreid adviesrapport, een risicoregister en een helder informatiebeveiligingsbeleid. Zo weet u precies waar u staat en welke stappen nodig zijn richting de deadline van 2026. Meer weten over de specifieke vereisten? Bekijk onze pagina over NIS2 voor uitgebreide informatie.

Wilt u weten hoe uw organisatie ervoor staat? Neem contact op voor een vrijblijvend gesprek en ontdek welke stappen u kunt zetten om tijdig NIS2-compliant te zijn.

Het toezicht op DORA wordt uitgevoerd door zowel Europese als nationale toezichthouders. Op Europees niveau zijn de European Banking Authority (EBA), de European Securities and Markets Authority (ESMA) en de European Insurance and Occupational Pensions Authority (EIOPA) verantwoordelijk voor het opstellen van technische standaarden en het coördineren van toezicht. In Nederland houden De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) toezicht op de naleving van DORA door financiële instellingen.

Wat is DORA en waarom is toezicht hierop zo belangrijk?

DORA (Digital Operational Resilience Act) is een Europese verordening die financiële instellingen en hun IT-dienstverleners verplicht hun digitale operationele weerbaarheid te versterken. De wetgeving beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken. Sinds 17 januari 2025 moeten organisaties volledig voldoen aan alle DORA-vereisten.

Adequaat toezicht op DORA is om verschillende redenen essentieel. De financiële sector is sterk afhankelijk van ICT-systemen en externe dienstverleners. Een storing bij één partij kan een kettingreactie veroorzaken die de hele sector raakt. Toezichthouders moeten daarom kunnen controleren of organisaties hun ICT-risico’s effectief beheersen en hun digitale weerbaarheid op orde hebben.

DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie en concurrentie stimuleert terwijl risico’s worden beperkt. De wetgeving creëert een uniform beschermingsniveau binnen de Europese financiële sector. Geharmoniseerd toezicht voorkomt dat organisaties in verschillende lidstaten met tegenstrijdige eisen worden geconfronteerd.

Welke Europese toezichthouders houden toezicht op DORA?

Drie Europese toezichthoudende autoriteiten (ESA’s) zijn gezamenlijk verantwoordelijk voor het toezicht op DORA: de European Banking Authority (EBA) voor banken, de European Securities and Markets Authority (ESMA) voor effectenmarkten en de European Insurance and Occupational Pensions Authority (EIOPA) voor verzekeraars en pensioenfondsen.

Deze autoriteiten vervullen verschillende taken onder DORA:

• Het opstellen van technische standaarden (Regulatory Technical Standards) die de DORA-vereisten verder uitwerken
• Het publiceren van richtsnoeren voor de interpretatie en toepassing van de verordening
• Het coördineren van toezichtactiviteiten tussen nationale toezichthouders
• Het uitvoeren van direct toezicht op kritieke ICT-dienstverleners

Voor kritieke ICT-dienstverleners hebben de ESA’s een bijzondere rol. Wanneer een cloudprovider, softwareleverancier of datacenter als kritiek wordt aangemerkt voor de financiële sector, valt deze onder direct Europees toezicht. Dit gezamenlijke toezichtskader voorkomt dat grote ICT-dienstverleners in elk EU-land apart worden gecontroleerd.

Wie is de Nederlandse toezichthouder voor DORA?

In Nederland zijn De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) de aangewezen toezichthouders voor DORA. De verdeling van taken volgt de bestaande toezichtstructuur, waarbij DNB prudentieel toezicht houdt en de AFM gedragstoezicht uitoefent.

DNB houdt toezicht op banken, verzekeraars, pensioenfondsen en betalingsinstellingen. De AFM richt zich op beleggingsondernemingen, beheerders van beleggingsfondsen en andere partijen die onder gedragstoezicht vallen. Beide toezichthouders beschikken onder DORA over uitgebreide bevoegdheden.

De handhavingsinstrumenten omvatten:

• Het opvragen van informatie en documentatie
• Het uitvoeren van inspecties ter plaatse
• Het geven van aanwijzingen om tekortkomingen te herstellen
• Het opleggen van bestuurlijke sancties bij overtredingen

DNB heeft specifieke toezichtvragen ontwikkeld voor zowel banken als pensioenfondsen en verzekeraars. Deze vragen geven inzicht in de aandachtsgebieden van de toezichthouder en helpen organisaties zich voor te bereiden op toezichtactiviteiten.

Welke organisaties vallen onder DORA-toezicht?

DORA is van toepassing op een breed scala aan financiële entiteiten in de EU. Dit omvat banken, verzekeraars, herverzekeraars, beleggingsondernemingen, pensioenfondsen, betaaldienstverleners en elektronischegeldinstellingen. Ook crypto-assetdienstverleners en beheerders van alternatieve beleggingsfondsen vallen onder de verordening.

Daarnaast geldt DORA voor kritieke derde dienstverleners die IT-diensten leveren aan financiële instellingen. Dit betreft cloudcomputingproviders, softwareleveranciers en datacentra die essentiële diensten verlenen. De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners.

Het proportionaliteitsbeginsel speelt een belangrijke rol bij het toezicht. Kleinere organisaties met een lager risicoprofiel hoeven niet aan dezelfde gedetailleerde eisen te voldoen als grote, systeemrelevante instellingen. De toezichthouder houdt rekening met:

• Omvang en complexiteit van de organisatie
• Aard en risicoprofiel van de activiteiten
• Mate van afhankelijkheid van ICT-systemen
• Systeemrelevantie binnen de financiële sector

Wat zijn de belangrijkste toezichtgebieden onder DORA?

Toezichthouders richten zich op vijf pijlers van digitale operationele weerbaarheid. Het ICT-risicobeheer vereist dat organisaties een risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Regelmatige risicobeoordelingen zijn verplicht om systemen en data veilig te houden.

De ICT-gerelateerde incidentenrapportage verplicht organisaties tot snelle opsporing en melding van IT-incidenten. Dit beperkt schade en helpt toezichthouders patronen in cyberdreigingen te herkennen. Meldingen moeten binnen vastgestelde termijnen plaatsvinden.

Digitale operationele weerbaarheidstesten vormen de derde pijler. Organisaties moeten hun weerbaarheid regelmatig testen, inclusief penetratietests door ethical hackers. Voor systeemrelevante instellingen gelden aanvullende eisen voor threat-led penetration testing.

Het ICT-risicobeheer bij derde partijen vereist strikt beheer van IT-dienstverleners. Contractuele afspraken moeten digitale weerbaarheid waarborgen. Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf.

De vijfde pijler betreft informatie-uitwisseling over cyberdreigingen. Actief delen van dreigingsinformatie helpt de sector sneller te reageren op nieuwe risico’s.

Welke sancties kunnen toezichthouders opleggen bij DORA-overtredingen?

Toezichthouders beschikken over een breed scala aan handhavingsinstrumenten bij DORA-overtredingen. Administratieve boetes kunnen oplopen tot aanzienlijke bedragen, afhankelijk van de ernst van de overtreding en de omvang van de organisatie. Dwangsommen kunnen worden opgelegd om naleving af te dwingen.

Bij minder ernstige tekortkomingen geven toezichthouders doorgaans eerst aanwijzingen om verbeteringen door te voeren. Organisaties krijgen dan een redelijke termijn om hun compliance op orde te brengen. Herhaalde of ernstige overtredingen leiden tot zwaardere sancties.

In uitzonderlijke gevallen kan de toezichthouder overgaan tot intrekking van vergunningen. Dit is het zwaarste instrument en wordt alleen ingezet wanneer andere maatregelen onvoldoende effect hebben gehad.

Factoren die toezichthouders meewegen bij handhavingsbeslissingen:

• Ernst en duur van de overtreding
• Mate van verwijtbaarheid
• Financiële draagkracht van de organisatie
• Eerdere overtredingen en bereidheid tot medewerking
• Daadwerkelijke schade voor klanten of de financiële sector

Hoe bereidt u uw organisatie voor op DORA-toezicht?

Een gedegen voorbereiding op DORA-toezicht begint met een gapanalyse. Breng in kaart waar uw organisatie staat ten opzichte van de DORA-vereisten en identificeer welke risico’s of maatregelen nog nodig zijn om voldoende digitale weerbaarheid te bereiken. Dit geeft richting aan uw implementatie-inspanningen.

Implementeer vervolgens een ICT-risicomanagementframework dat voldoet aan DORA-normen en aansluit bij uw organisatiespecifieke behoeften. Dit framework moet digitale dreigingen beheersen en periodiek worden geëvalueerd op effectiviteit.

Richt processen in voor incidentrapportage, zodat u IT-incidenten snel kunt detecteren en melden. Documenteer deze processen zorgvuldig en train medewerkers in het herkennen en escaleren van incidenten.

Stel een testprogramma op voor digitale weerbaarheid. Dit omvat regelmatige penetratietests en, afhankelijk van uw risicoprofiel, threat-led penetration testing. Zorg dat testresultaten worden gedocumenteerd en verbeterpunten worden opgepakt.

Herzie contracten met ICT-leveranciers om te waarborgen dat zij voldoen aan DORA-eisen. Maak afspraken over auditrechten, incidentmelding en continuïteit van dienstverlening.

Hoe helpt Hoek en Blok IT bij DORA-toezicht en compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van DORA-implementatie en voorbereiding op toezicht. Met NOREA-gecertificeerde IT-auditors en ruime ervaring in de financiële sector bieden wij praktische begeleiding zonder onnodige administratieve lasten.

Onze dienstverlening omvat:

• DORA-gapanalyses en readiness assessments om uw huidige positie te bepalen en prioriteiten te stellen
• Ondersteuning bij het opzetten van ICT-risicomanagementframeworks die voldoen aan DORA-normen
• Uitvoering van verplichte penetratietests en ethical hacking door ervaren specialisten
• Begeleiding bij incidentrapportageprocessen en communicatie met toezichthouders
• IT Security Officer as a Service voor doorlopende compliance-ondersteuning
• Monitoringstructuren die zichtbaarheid bieden op de periodieke uitvoering van maatregelen en hun effectiviteit

Wilt u weten hoe uw organisatie ervoor staat en welke stappen nodig zijn voor DORA-compliance? Neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.

Onder DORA moeten financiële instellingen minimaal elke drie jaar een Threat-Led Penetration Test (TLPT) uitvoeren. Dit geldt voor organisaties die door de toezichthouder zijn aangewezen op basis van hun risicoprofiel en systeemrelevantie. Naast deze verplichte TLPT’s schrijft DORA ook reguliere beveiligingstesten voor die vaker moeten plaatsvinden. In dit artikel beantwoorden we de belangrijkste vragen over penetratietesten binnen het DORA-kader.

Wat schrijft DORA precies voor over penetratietesten?

DORA maakt een duidelijk onderscheid tussen twee soorten beveiligingstesten. Alle financiële entiteiten moeten reguliere beveiligingstesten uitvoeren als onderdeel van hun ICT-risicobeheer. Daarnaast geldt voor bepaalde organisaties de verplichting tot Threat-Led Penetration Testing (TLPT), een geavanceerdere testvorm die specifieke dreigingsscenario’s simuleert.

De wettelijke basis voor deze testvereisten ligt in de artikelen 24 tot en met 27 van de DORA-verordening. De reguliere testen omvatten onder andere kwetsbaarheidsscans, netwerkbeveiligingsanalyses en penetratietesten op applicatieniveau. Deze testen moeten risicogebaseerd worden gepland en uitgevoerd.

Voor TLPT gelden strengere eisen. Deze testen moeten worden uitgevoerd volgens het TIBER-EU-framework of een gelijkwaardig nationaal kader. De toezichthouder bepaalt welke organisaties onder de TLPT-verplichting vallen, waarbij factoren als omvang, complexiteit en systeemrelevantie een rol spelen.

Hoe vaak moet je een TLPT uitvoeren volgens DORA?

DORA schrijft voor dat aangewezen financiële entiteiten minimaal elke drie jaar een TLPT moeten uitvoeren. Deze frequentie is vastgelegd in de verordening en geldt als minimumvereiste. De toezichthouder kan echter besluiten dat een organisatie vaker moet testen op basis van het specifieke risicoprofiel.

Factoren die kunnen leiden tot een hogere testfrequentie zijn onder meer:

• significante wijzigingen in de ICT-infrastructuur of bedrijfsprocessen
• verhoogde dreigingsniveaus binnen de financiële sector
• eerdere beveiligingsincidenten of geconstateerde kwetsbaarheden
• uitbreiding van dienstverlening naar nieuwe markten of klantgroepen

Naast de driejaarlijkse TLPT-cyclus moeten organisaties hun reguliere penetratietesten jaarlijks uitvoeren. Dit zorgt voor continue monitoring van de beveiligingspositie tussen de uitgebreidere TLPT’s door.

Wat is het verschil tussen reguliere penetratietesten en TLPT onder DORA?

Reguliere penetratietesten richten zich op het identificeren van technische kwetsbaarheden in systemen en applicaties. TLPT gaat een stap verder door realistische aanvalsscenario’s te simuleren die gebaseerd zijn op actuele dreigingsinformatie. Het verschil zit in de aanpak, scope en diepgang van de testen.

Bij reguliere penetratietesten bepaalt de organisatie zelf de scope en methodiek. TLPT daarentegen vereist een threat-intelligencegedreven aanpak, waarbij onafhankelijke testers scenario’s uitvoeren die overeenkomen met werkelijke tactieken van cybercriminelen en statelijke actoren.

De belangrijkste verschillen op een rij:

• Scope: reguliere testen focussen op specifieke systemen; TLPT betreft kritieke functies en processen
• Methodiek: TLPT vereist threat intelligence als basis voor testscenario’s
• Testers: TLPT moet worden uitgevoerd door onafhankelijke, gekwalificeerde partijen
• Toezicht: de toezichthouder is actief betrokken bij TLPT-trajecten
• Rapportage: TLPT-resultaten moeten worden gedeeld met de toezichthouder

Welke organisaties moeten verplicht TLPT uitvoeren?

Niet alle financiële instellingen vallen onder de TLPT-verplichting. DORA hanteert een proportionaliteitsbeginsel, waarbij de toezichthouder bepaalt welke organisaties verplicht zijn om TLPT uit te voeren. Dit gebeurt op basis van criteria zoals omvang, complexiteit en systeemrelevantie voor de financiële sector.

Organisaties die doorgaans onder de TLPT-verplichting vallen, zijn:

• systeemrelevante banken en kredietinstellingen
• grote verzekeraars en herverzekeraars
• centrale effectenbewaarinstellingen
• centrale tegenpartijen (CCP’s)
• handelsplatformen met een significante marktpositie

De toezichthouder, in Nederland De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM), wijst specifieke entiteiten aan. Organisaties die niet onder de TLPT-verplichting vallen, moeten wel voldoen aan de reguliere testvereisten. Het is raadzaam om proactief contact te zoeken met de toezichthouder voor duidelijkheid over de eigen verplichtingen.

Hoe bereid je je organisatie voor op DORA-penetratietesten?

Een goede voorbereiding op DORA-conforme penetratietesten begint met het in kaart brengen van je kritieke ICT-systemen en -processen. Dit vormt de basis voor het bepalen van de testscope en het selecteren van geschikte testpartners. Zorg dat je documentatie op orde is voordat je met testen begint.

Praktische stappen voor de voorbereiding:

• inventariseer alle kritieke ICT-assets en hun onderlinge afhankelijkheden
• stel een actueel dreigingsbeeld op voor je organisatie en sector
• selecteer gekwalificeerde testers met aantoonbare ervaring in TLPT of ethical hacking
• definieer duidelijke testscenario’s op basis van relevante threat intelligence
• richt processen in voor veilige uitvoering en escalatie tijdens testen
• zorg voor adequate documentatie en rapportageformats conform de DORA-vereisten

Het is belangrijk om ook je derde dienstverleners te betrekken bij de voorbereiding. DORA vereist immers dat je de risico’s van uitbesteding aan kritieke IT-leveranciers beheerst. Contractuele afspraken moeten ruimte bieden voor het uitvoeren van testen op uitbestede diensten.

Daarnaast is aantoonbaarheid een kernaspect van DORA. Het is niet voldoende om testen uit te voeren; je moet ook kunnen aantonen dat je in control bent. Dit vraagt om gedegen vastlegging van testplannen, bevindingen en opvolgacties.

Hoe helpt Hoek en Blok IT bij penetratietesten voor DORA?

Hoek en Blok IT ondersteunt financiële instellingen en hun ketenpartners bij het voldoen aan de DORA-testvereisten. Met een combinatie van technische expertise en auditervaring biedt het bureau een pragmatische aanpak die past bij middelgrote organisaties.

Concrete diensten op het gebied van DORA-penetratietesten:

• Ethical hacking en penetratietesten: uitvoering van reguliere beveiligingstesten conform de DORA-vereisten
• Security assessments: beoordeling van je huidige beveiligingspositie en identificatie van verbeterpunten
• IT Security Officer as a Service: doorlopende ondersteuning bij het inrichten en bewaken van je teststrategie
• DORA-nulmeting: vaststellen in hoeverre je organisatie al voldoet aan de testvereisten
• Documentatie en rapportage: ondersteuning bij het aantoonbaar maken van compliance richting toezichthouders

De NOREA-gecertificeerde EDP-auditors van Hoek en Blok IT begrijpen dat DORA niet alleen een IT-vraagstuk is, maar ook governance en aantoonbaarheid vereist. Wil je weten hoe jouw organisatie zich het beste kan voorbereiden op de DORA-testvereisten? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.

DORA is de Digital Operational Resilience Act, een Europese verordening die financiële instellingen en hun ICT-dienstverleners verplicht om hun digitale weerbaarheid te versterken. De wetgeving is sinds 17 januari 2025 van toepassing en richt zich op bescherming tegen cyberaanvallen en ICT-verstoringen. In dit artikel beantwoorden we de belangrijkste vragen over DORA-compliance en wat dit betekent voor jouw organisatie.

Wat is DORA en waarom is deze wetgeving belangrijk?

DORA staat voor Digital Operational Resilience Act en is Europese wetgeving die de digitale operationele weerbaarheid van de financiële sector moet versterken. De verordening is onderdeel van het EU-pakket voor digitale financiën en heeft als doel een uniform beschermingsniveau te creëren binnen de Europese financiële sector.

De achtergrond van DORA ligt in de toenemende afhankelijkheid van financiële instellingen van ICT-systemen en externe dienstverleners. Cyberaanvallen en operationele verstoringen kunnen grote gevolgen hebben voor de continuïteit van financiële diensten en het vertrouwen van consumenten. DORA adresseert deze risico’s door uniforme eisen te stellen aan ICT-risicobeheer en digitale weerbaarheid.

De wetgeving is sinds januari 2023 van kracht, maar organisaties hadden tot 17 januari 2025 de tijd om volledig te voldoen aan alle vereisten. Vanaf die datum moeten financiële instellingen kunnen aantonen dat zij voldoende maatregelen hebben geïmplementeerd en dat deze maatregelen daadwerkelijk effectief zijn.

Voor welke organisaties geldt DORA?

DORA is van toepassing op een breed scala aan financiële instellingen binnen de Europese Unie. De verordening geldt voor alle entiteiten die onder EU-financiële regelgeving vallen, waaronder banken, verzekeraars, herverzekeraars, beleggingsondernemingen en betaaldienstverleners.

Specifiek vallen onder DORA:

• Banken en kredietinstellingen
• Verzekeraars en herverzekeraars
• Beleggingsondernemingen en fondsbeheerders
• Betalingsinstellingen en elektronische geldinstellingen
• Beheerders van alternatieve beleggingsfondsen
• Instellingen voor collectieve belegging in effecten

Belangrijk is dat DORA ook van toepassing is op kritieke derde dienstverleners die ICT-diensten leveren aan financiële instellingen. Dit omvat cloudcomputingproviders, softwareleveranciers en datacenters. Veel organisaties worden indirect geraakt via ketens, moedermaatschappijen of dienstverlening, wat regelmatig leidt tot vragen over de exacte reikwijdte.

Wat zijn de vijf pijlers van DORA?

DORA is opgebouwd rond vijf kernvereisten die samen een compleet raamwerk vormen voor digitale operationele weerbaarheid. Het NOREA DORA in Control Framework vertaalt deze vereisten naar 28 controledomeinen met specifieke beheersmaatregelen.

ICT-risicomanagement vormt de basis en vereist het inrichten van een ICT-risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen. Organisaties moeten regelmatige risicobeoordelingen uitvoeren om systemen en data veilig te houden.

ICT-gerelateerde incidentenrapportage verplicht snelle opsporing en melding van ICT-incidenten. Dit beperkt schade en beschermt de reputatie van de organisatie. Denk aan het melden van datalekken of cyberaanvallen bij de toezichthouder.

Testen van digitale operationele weerbaarheid houdt in dat organisaties hun digitale weerbaarheid regelmatig moeten testen. Verplichte penetratietests en ethische hacktests maken hier onderdeel van uit. Een gedegen DORA-aanpak omvat al deze testvormen.

Beheer van ICT-risico’s bij derden betreft strikt beheer van ICT-dienstverleners om continuïteit en veiligheid te waarborgen. Contracten met leveranciers moeten voldoen aan specifieke DORA-vereisten.

Informatie-uitwisseling vereist het actief delen van cyberdreigingsinformatie om sneller te reageren op nieuwe risico’s en de sector veiliger te maken.

Hoe bereid je jouw organisatie voor op DORA-compliance?

Een nulmeting is een logisch startpunt om vast te stellen in hoeverre DORA daadwerkelijk is geïmplementeerd in jouw organisatie. Deze baseline assessment geeft inzicht in aankomende verplichtingen en toetst direct of huidige maatregelen effectief zijn.

Concrete stappen voor DORA-implementatie:

• Gapanalyse uitvoeren: breng in kaart waar jouw organisatie staat ten opzichte van de DORA-vereisten
• Beleid en procedures opstellen of aanpassen voor ICT-risicomanagement
• Contracten met ICT-leveranciers herzien en aanpassen aan DORA-eisen
• Incidentrapportageprocessen inrichten voor snelle detectie en melding
• Penetratietests en veerkrachttesten plannen en uitvoeren
• Governancestructuur inrichten met duidelijke verantwoordelijkheden

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal. Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid.

Wat zijn de gevolgen van niet-naleving van DORA?

Niet-naleving van DORA kan leiden tot handhavingsmaatregelen door toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM). Deze toezichthouders hebben de bevoegdheid om sancties en boetes op te leggen bij non-compliance.

Naast financiële sancties zijn er andere risico’s:

• Reputatieschade bij klanten en zakenpartners
• Operationele gevolgen door onvoldoende digitale weerbaarheid
• Onaangename verrassingen bij toezichtinspecties
• Contractuele problemen met ketenpartners die DORA-compliance eisen

DORA vraagt om aantoonbaarheid, niet alleen beleid. De vraag is: hoe laat je zien dat je in control bent? Een assurancerapportage, bijvoorbeeld een ISAE 3000-verklaring, kan een manier zijn om naleving aantoonbaar te maken richting toezichthouders en zakenpartners.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van DORA-implementatie met een pragmatische en resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring.

Concrete dienstverlening voor DORA-compliance:

• IT-audits en assurancerapportages: ISAE 3000-verklaringen, ISAE 3402-verklaringen en SOC 2-rapportages voor aantoonbare compliance
• Penetratietests en securityassessments: verplichte veerkrachttesten en ethical hacking
• Ondersteuning bij ICT-risicomanagement: nulmeting, gapanalyse en ontwikkeling van risicobeheerkaders
• IT Security Officer as a Service: doorlopende ondersteuning voor continue DORA-compliance
• Begeleiding bij incidentrapportage: processen voor detectie en melding van ICT-incidenten

Wil je weten waar jouw organisatie staat met DORA-compliance? Neem contact op voor een vrijblijvend gesprek over een nulmeting of ondersteuning bij jouw DORA-implementatie.

De financiering van NIS2-implementatie vraagt om een doordachte aanpak, waarbij je rekening houdt met technische investeringen, personeel, externe expertise en doorlopende kosten. De totale investering varieert sterk per organisatie, afhankelijk van omvang, sector en huidige securityvolwassenheid. Met de deadline van 1 juli 2026 in zicht is het essentieel om nu een realistisch financieringsplan op te stellen dat aansluit bij jouw bedrijfssituatie.

Wat kost NIS2-implementatie voor een gemiddelde organisatie?

De kosten voor NIS2-implementatie bestaan uit verschillende onderdelen: technische maatregelen, audits en assessments, training van medewerkers en externe ondersteuning. De totale investering hangt af van je huidige securityvolwassenheid, de omvang van je organisatie en de sector waarin je actief bent. Organisaties die al werken met ISO 27001 of AVG-compliance hebben vaak een voorsprong.

Technische maatregelen vormen doorgaans de grootste kostenpost. Denk aan investeringen in cryptografie en encryptie, monitoringsystemen, back-upoplossingen en netwerksegmentatie. De NIS2-richtlijn vereist dat organisaties passende maatregelen nemen voor risicoanalyse en beveiliging van informatiesystemen.

Daarnaast moet je rekening houden met de kosten voor het opstellen van beleid, het documenteren van processen en het inrichten van procedures voor incidentmelding. De richtlijn verplicht organisaties namelijk om ernstige cyberincidenten te melden aan de nationale autoriteiten. Dit vraagt om duidelijke procedures en getraind personeel.

Welke budgetposten moet je opnemen in je NIS2-financieringsplan?

Een volledig NIS2-financieringsplan bevat minimaal vijf essentiële budgetcategorieën: technische infrastructuur, personeel en training, externe expertise, audits en verklaringen, en doorlopende monitoring en onderhoud. Door al deze posten vooraf in kaart te brengen, voorkom je verrassingen tijdens het implementatietraject.

De belangrijkste budgetposten zijn:

• Technische infrastructuur: beveiligingssoftware, hardware-upgrades, monitoringtools en back-upsystemen
• Personeel en training: security awareness voor alle medewerkers, specialistische training voor IT-personeel
• Externe expertise: security-assessments, penetratietests en advies bij het opzetten van beleid
• Audits en verklaringen: ISAE 3000- of ISAE 3402-verklaringen, SOC 2-rapportages of ISO 27001-certificering
• Doorlopende kosten: monitoring, onderhoud, periodieke assessments en beleidsherzieningen

Vergeet niet dat de effectiviteit van maatregelen periodiek moet worden geëvalueerd. Reserveer daarom ook budget voor jaarlijkse reviews en aanpassingen van je securitybeleid.

Zijn er subsidies of regelingen beschikbaar voor NIS2-compliance?

Er zijn verschillende financieringsopties beschikbaar voor organisaties die investeren in cybersecurity. Overheidssubsidies, innovatieregelingen en sectorspecifieke fondsen kunnen een deel van de implementatiekosten dekken. De beschikbaarheid en voorwaarden variëren per regio en sector.

Kijk voor mogelijke ondersteuning naar:

• Regionale ontwikkelingsmaatschappijen die innovatiesubsidies verstrekken
• Het Digital Europe Programme van de Europese Unie
• Sectorspecifieke fondsen voor cybersecurity-investeringen
• MKB-regelingen gericht op digitalisering en veiligheid

De voorwaarden voor subsidies vereisen vaak dat je kunt aantonen hoe de investering bijdraagt aan structurele verbetering van je cybersecurity. Een gedegen implementatieplan en duidelijke doelstellingen vergroten je kans op toekenning.

Hoe overtuig je het management om budget vrij te maken voor NIS2?

Een overtuigende businesscase voor NIS2 richt zich op drie kernpunten: persoonlijke aansprakelijkheid van bestuurders, financiële risico’s van non-compliance en reputatieschade bij cyberincidenten. Onder NIS2 kan de directie namelijk persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Dit maakt cybersecurity niet langer alleen een IT-aangelegenheid.

Presenteer de investering als risicobeheer door concrete scenario’s te schetsen. Cybercriminelen eisen steeds hogere losgeldbedragen, soms boven de miljoen euro. Vergelijk de implementatiekosten met de potentiële schade van een cyberaanval, inclusief bedrijfsonderbreking, boetes en juridische kosten.

Zorg dat het bestuur begrijpt wat er speelt binnen de organisatie op het gebied van cybersecurity. Als cybersecurity nu nog vooral het domein van IT is, dan is dit het moment om daar verandering in te brengen. Het beleid moet door het bestuur worden vastgesteld en periodiek worden herzien.

Kun je NIS2-implementatie gefaseerd financieren?

Gefaseerde implementatie is niet alleen mogelijk, maar vaak ook de meest praktische aanpak voor organisaties met een beperkt budget. Door prioriteiten te stellen en quick wins te identificeren, kun je de kosten spreiden over meerdere jaren, terwijl je toewerkt naar volledige compliance voor 1 juli 2026.

Een effectieve faseringsstrategie begint met een securityscan om te weten waar je staat. Na het uitvoeren van zo’n scan ken je de specifieke risico’s voor jouw organisatie en kun je passende maatregelen treffen op basis van prioriteit.

Praktische fasering kan er als volgt uitzien:

• Fase 1: risicoanalyse en beleidsvorming
• Fase 2: kritieke technische maatregelen en incidentprocedures
• Fase 3: training en awarenessprogramma’s
• Fase 4: monitoring, audits en continue verbetering

Het goede nieuws is dat je voor risicomanagement onder NIS2 niet volledig iets nieuws hoeft te doen. Focus op de belangrijkste risico’s en maatregelen voor cybersecurity in het algemeen, dan heb je al een goede start gemaakt.

Welke kosten kun je besparen door slim te implementeren?

Slimme implementatie betekent maximaal gebruikmaken van bestaande investeringen en compliancetrajecten. Organisaties die al werken met ISO 27001, de AVG of ISAE-verklaringen kunnen veel overlap benutten. Combineer trajecten waar mogelijk om dubbel werk en dubbele kosten te voorkomen.

Concrete besparingsmogelijkheden:

• Bestaande risicoanalyses en beveiligingsbeleid uitbreiden naar NIS2-eisen
• AVG-documentatie en -processen hergebruiken voor procedures rond incidentmelding
• ISO 27001-maatregelen als basis gebruiken voor NIS2-technische vereisten
• Bestaande monitoringtools configureren voor NIS2-rapportages

Het slim inzetten van externe expertise bespaart ook kosten. In plaats van een fulltime security officer aan te nemen, kun je kiezen voor gedeelde expertise of een as-a-service-model. Zo krijg je toegang tot specialistische kennis zonder de kosten van een vaste medewerker.

Hoe helpt Hoek en Blok IT bij het financieren van NIS2-implementatie?

Hoek en Blok IT biedt een pragmatische en betaalbare aanpak voor NIS2-implementatie, specifiek gericht op organisaties die zoeken naar kostenefficiënte oplossingen. De combinatie van technische expertise en auditervaring zorgt voor een doelgerichte implementatie zonder onnodige kosten.

Concrete diensten die bijdragen aan een betaalbaar NIS2-traject:

• IT Security Officer as a Service: toegang tot NOREA-gecertificeerde expertise zonder de kosten van een vaste medewerker
• Gefaseerde implementatietrajecten: gespreide investeringen, afgestemd op jouw budget en planning richting 2026
• Securityscans en assessments: helder inzicht in je huidige situatie en prioriteiten voor efficiënte besteding
• ISAE 3000/3402-verklaringen en SOC 2-rapportages: aantoonbare compliance voor klanten en toezichthouders
• Ondersteuning bij businesscases: hulp bij het opstellen van overtuigende financieringsvoorstellen voor directie en bestuur

Wil je weten hoe je NIS2-implementatie financieel haalbaar maakt voor jouw organisatie? Neem contact op voor een vrijblijvend adviesgesprek, waarin we de mogelijkheden voor jouw specifieke situatie bespreken.