Hier lees je meer over onze blogs en whitepapers.

Wat is de deadline voor DORA-compliance?

in

De deadline voor DORA-compliance is 17 januari 2025. Vanaf deze datum moeten alle financiële entiteiten en kritieke ICT-dienstverleners volledig voldoen aan de Digital Operational Resilience Act. Dit betekent dat organisaties niet alleen maatregelen moeten hebben geïmplementeerd, maar ook moeten kunnen aantonen dat deze effectief werken. In dit artikel beantwoorden we de belangrijkste vragen over de DORA-deadline en wat dit betekent voor jouw organisatie.

Wat is de officiële deadline voor DORA-compliance?

De officiële deadline voor DORA-compliance is 17 januari 2025. Vanaf deze datum moeten financiële instellingen en hun kritieke ICT-dienstverleners aantoonbaar voldoen aan alle vereisten van de Digital Operational Resilience Act. Het is belangrijk om het verschil te begrijpen tussen de inwerkingtreding en de toepassingsdatum van deze Europese verordening.

DORA is op 16 januari 2023 in werking getreden. Dit markeerde het startpunt van een overgangsperiode van twee jaar waarin organisaties zich konden voorbereiden op volledige compliance. De toepassingsdatum van 17 januari 2025 betekent dat toezichthouders vanaf dat moment actief kunnen handhaven en organisaties moeten kunnen aantonen dat zij digitaal weerbaar zijn.

Anders dan bij sommige andere regelgeving is er geen uitstel of gefaseerde invoering. Alle DORA-vereisten gelden gelijktijdig vanaf de deadline. Organisaties moeten dus niet alleen maatregelen hebben geïmplementeerd, maar ook kunnen bewijzen dat deze maatregelen in de praktijk effectief werken.

Voor welke organisaties geldt de DORA-deadline?

DORA geldt voor een breed scala aan financiële entiteiten binnen de Europese Unie. Dit omvat banken, verzekeraars, beleggingsondernemingen, pensioenfondsen, crypto-activadienstverleners en betalingsinstellingen. Daarnaast vallen kritieke ICT-dienstverleners die diensten leveren aan deze financiële sector onder de reikwijdte van DORA.

De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners. Daarom moeten ook cloudcomputingproviders, softwareleveranciers en datacenters die kritieke diensten leveren aan de financiële sector voldoen aan DORA-vereisten. Dit betekent dat de impact van DORA veel verder reikt dan alleen traditionele financiële instellingen.

Specifiek vallen onder DORA:

  • Kredietinstellingen en banken (inclusief Less Significant Institutions)
  • Verzekeraars en herverzekeraars
  • Beleggingsondernemingen en vermogensbeheerders
  • Pensioenfondsen en pensioenuitvoeringsorganisaties
  • Crypto-activadienstverleners
  • Betalingsinstellingen en elektronischgeldinstellingen
  • Kritieke ICT-dienstverleners aan bovengenoemde entiteiten

Wat moet er geregeld zijn vóór de DORA-deadline?

Vóór de DORA-deadline moeten organisaties vijf kernpijlers hebben geïmplementeerd: ICT-risicobeheer, ICT-incidentenbeheer en rapportage, digitale operationele weerbaarheidstests, beheer van ICT-risico’s bij derden en informatie-uitwisseling. Elke pijler vereist specifieke maatregelen en documentatie.

ICT-risicobeheer vereist het inrichten van een risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit omvat regelmatige risicobeoordelingen om systemen en data veilig te houden.

ICT-incidentenbeheer vereist snelle opsporing en melding van IT-incidenten om schade te beperken. Organisaties moeten processen hebben voor het detecteren, classificeren en rapporteren van significante incidenten aan toezichthouders.

Digitale weerbaarheidstests moeten regelmatig worden uitgevoerd om te voldoen aan toezichthouder- en klanteisen. Voor grotere instellingen geldt de verplichting tot Threat-Led Penetration Testing (TLPT).

Derdenbeheer behelst strikt beheer van IT-dienstverleners om continuïteit en veiligheid te waarborgen. Contractuele afspraken moeten digitale weerbaarheid garanderen.

Informatie-uitwisseling vereist het actief delen van cyberdreigingsinformatie om sneller te kunnen reageren op nieuwe risico’s.

Wat zijn de gevolgen als je de DORA-deadline mist?

Het missen van de DORA-deadline kan leiden tot handhavingsmaatregelen door toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM). Deze instanties hebben de bevoegdheid om sancties op te leggen, waaronder substantiële boetes en verhoogd toezicht op de bedrijfsvoering.

Naast directe sancties brengt non-compliance ook indirecte risico’s met zich mee. Organisaties die niet kunnen aantonen digitaal weerbaar te zijn, lopen een verhoogd risico op onaangename verrassingen tijdens toekomstige toezichtsinspecties. Reputatieschade bij klanten, partners en stakeholders kan langdurige gevolgen hebben voor de marktpositie.

Daarnaast kan non-compliance leiden tot:

  • Verhoogde frequentie van toezichtsinspecties
  • Verplichte verbetertrajecten onder toezicht
  • Beperkingen op bepaalde bedrijfsactiviteiten
  • Verlies van vertrouwen bij zakelijke partners en klanten
  • Hogere kosten voor een latere compliance-inhaalslag

Hoe begin je met DORA-compliance als de deadline nadert?

Begin met een gap-analyse om te bepalen waar jouw organisatie staat ten opzichte van de DORA-vereisten. Een baseline assessment helpt bij het identificeren van hiaten en het vaststellen van een solide basis voor structurele digitale weerbaarheid. Gebruik hierbij een maturitymodel om de huidige status van controls te beoordelen.

Het DNB Good Practices-framework voor informatiebeveiliging biedt een praktisch referentiekader. Level 3 (Defined) wordt beschouwd als het minimale niveau voor aantoonbare DORA-compliance, waarbij de opzet van beheersmaatregelen gedocumenteerd en op een gestructureerde wijze geïmplementeerd is.

Praktische stappen voor een snelle start:

  • Voer een gap-analyse uit tegen de vijf DORA-pijlers
  • Prioriteer de grootste risico’s en compliance-hiaten
  • Stel een realistisch implementatieplan op met duidelijke mijlpalen
  • Zorg voor intern draagvlak bij bestuur en management
  • Wijs voldoende budget en resources toe
  • Identificeer welke externe expertise nodig is

Betrek vanaf het begin het bestuur bij het DORA-traject. Zij dragen de eindverantwoordelijkheid voor compliance en moeten geïnformeerde beslissingen kunnen nemen over prioriteiten en investeringen.

Welke DORA-vereisten hebben de langste doorlooptijd?

Threat-Led Penetration Testing (TLPT), contractaanpassingen met ICT-leveranciers en het opzetten van een robuust incidentmeldingsproces zijn de meest tijdrovende DORA-onderdelen. Deze activiteiten verdienen directe prioriteit, gezien de benodigde doorlooptijd en de afhankelijkheden van externe partijen.

TLPT vereist gespecialiseerde expertise en moet worden uitgevoerd volgens strikte protocollen. Het plannen, uitvoeren en rapporteren van dergelijke tests kan maanden in beslag nemen, vooral als organisaties nog geen ervaring hebben met deze vorm van ethisch hacken.

Contractaanpassingen met ICT-leveranciers zijn vaak complex en tijdrovend. Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. Onderhandelingen over nieuwe contractvoorwaarden, exitstrategieën en auditrechten kunnen lang duren, vooral bij grote internationale leveranciers.

Het incidentmeldingsproces vereist niet alleen technische implementatie, maar ook training van medewerkers en afstemming met toezichthouders over meldingsformaten en termijnen.

Geef deze onderdelen voorrang in je implementatieplan en start zo snel mogelijk met de voorbereidingen.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van DORA-implementatie met een pragmatische en resultaatgerichte aanpak. Met NOREA-gecertificeerde EDP-auditors en ruime ervaring in de financiële sector biedt het bureau diepgaande kennis van sectorvereisten en DORA-compliance.

Concrete dienstverlening omvat:

  • DORA gap-assessments om te bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
  • IT-audits om compliance met regelgevende vereisten te beoordelen
  • Security-assessments en penetratietests, inclusief ondersteuning bij TLPT-trajecten
  • Implementatiebegeleiding bij het opzetten van ICT-risicobeheerkaders conform DORA-normen
  • IT Security Officer as a Service voor organisaties die behoefte hebben aan structurele ondersteuning
  • Monitoringstructuren die zichtbaarheid bieden op de periodieke uitvoering van maatregelen en hun effectiviteit

Wil je weten waar jouw organisatie staat en hoe je de DORA-deadline haalt? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.

Wat zijn de DORA-vereisten?

in

De DORA-vereisten omvatten vijf kernpijlers die financiële entiteiten verplichten hun digitale operationele weerbaarheid aantoonbaar te versterken. Deze Europese verordening stelt eisen aan ICT-risicobeheer, incidentenrapportage, weerbaarheidstesten, beheer van ICT-derdepartijrisico’s en informatie-uitwisseling. Sinds 17 januari 2025 moeten organisaties kunnen aantonen dat zij voldoende maatregelen hebben geïmplementeerd én dat deze effectief werken. In dit artikel beantwoorden we de belangrijkste vragen over DORA en de praktische implementatie ervan.

Wat is DORA en waarom is deze wetgeving belangrijk?

DORA (Digital Operational Resilience Act) is Europese wetgeving die de digitale weerbaarheid van financiële instellingen versterkt door uniforme eisen te stellen aan de beveiliging van netwerk- en informatiesystemen. De verordening beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken en is sinds 17 januari 2025 volledig van toepassing.

De achtergrond van DORA ligt in de toenemende afhankelijkheid van de financiële sector van ICT-systemen en externe dienstverleners. Voorheen verschilden de nationale regelgevingen sterk, wat leidde tot versnippering en onduidelijkheid. DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie en concurrentie stimuleert terwijl risico’s worden beperkt.

De wetgeving richt zich specifiek op twee doelstellingen: het vergroten van digitale operationele veerkracht bij financiële instellingen en het beperken van uitbestedingsrisico’s aan derde dienstverleners. Een uniform regelgevingskader in de EU vermindert dubbele regels en zorgt voor eerlijke concurrentie tussen financiële instellingen en hun IT-leveranciers.

Voor welke organisaties gelden de DORA-vereisten?

DORA geldt voor een breed scala aan financiële entiteiten, waaronder banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en pensioenfondsen. Daarnaast vallen kritieke ICT-dienstverleners die diensten leveren aan deze financiële instellingen onder het toepassingsgebied, zoals cloudcomputingproviders, softwareleveranciers en datacenters.

Het proportionaliteitsbeginsel speelt een belangrijke rol bij de toepassing van DORA. Dit betekent dat de vereisten variëren afhankelijk van de omvang, complexiteit en het risicoprofiel van de organisatie. Kleinere instellingen hoeven niet dezelfde uitgebreide maatregelen te treffen als grote systeemrelevante banken, maar moeten wel aan de basisvereisten voldoen.

IT-serviceorganisaties die diensten verlenen aan financiële instellingen binnen de EU moeten hun beveiligingsmaatregelen en operationele processen aanpassen om te voldoen aan DORA-eisen. De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom een rol spelen in de digitale weerbaarheid van de sector.

Wat zijn de vijf kernpijlers van DORA?

DORA rust op vijf hoofdgebieden die samen een compleet raamwerk vormen voor digitale operationele weerbaarheid. Elke pijler bevat specifieke verplichtingen die organisaties moeten implementeren en waarvan zij de effectiviteit moeten kunnen aantonen.

  • ICT-risicobeheer: een robuust raamwerk voor het identificeren, classificeren en beheersen van ICT-risico’s, inclusief governance en bestuurlijke verantwoordelijkheid.
  • ICT-gerelateerde incidentenrapportage: verplichte melding van ernstige ICT-incidenten bij de toezichthouder volgens vastgestelde criteria en termijnen.
  • Testen van digitale operationele weerbaarheid: regelmatige weerbaarheidstesten en geavanceerde penetratietesten om de effectiviteit van beveiligingsmaatregelen te verifiëren.
  • Beheer van ICT-derdepartijrisico’s: strikt beheer van IT-dienstverleners om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen.
  • Informatie-uitwisseling: mogelijkheden voor het delen van dreigingsinformatie tussen financiële entiteiten om de collectieve weerbaarheid te versterken.

Hoe moet ICT-risicobeheer volgens DORA worden ingericht?

DORA vereist een robuust ICT-risicobeheerframework dat begint bij het bestuur. Het management is verantwoordelijk voor het vaststellen van de risicotolerantie, het goedkeuren van beleid en het waarborgen van adequate middelen voor ICT-beveiliging. Deze bestuurlijke betrokkenheid is geen formaliteit, maar een kernvereiste.

De praktische invulling omvat de identificatie en classificatie van alle ICT-assets, continue monitoring van dreigingen en kwetsbaarheden, en het implementeren van passende beschermingsmaatregelen. Organisaties moeten een op maat gemaakt risicobeheerkader ontwikkelen dat voldoet aan DORA-normen en aansluit bij organisatiespecifieke behoeften.

Het framework moet aantoonbaar effectief zijn. Dit betekent dat de opzet van controlemaatregelen gedocumenteerd en geïmplementeerd moet zijn op een gestructureerde en geformaliseerde wijze, waarbij de vereiste effectiviteit aantoonbaar is en wordt getest. Organisaties die streven naar aantoonbare DORA-compliance richten zich minimaal op dit niveau van volwassenheid.

Welke incidenten moeten onder DORA worden gemeld?

Onder DORA moeten financiële entiteiten ernstige ICT-gerelateerde incidenten melden bij de toezichthouder. De classificatie van incidenten gebeurt op basis van vastgestelde criteria, waaronder de impact op de continuïteit van dienstverlening, het aantal getroffen klanten, de duur van de verstoring en de geografische spreiding.

De meldtermijnen zijn strikt gedefinieerd. Bij een ernstig incident moet een initiële melding binnen een korte termijn plaatsvinden, gevolgd door tussentijdse updates en een eindrapport. Het rapportageformat is gestandaardiseerd om consistente informatieverstrekking aan toezichthouders mogelijk te maken.

Drempelwaarden bepalen wanneer een incident als ‘ernstig’ wordt aangemerkt. Factoren zoals financiële impact, reputatieschade en de kritieke aard van getroffen systemen spelen hierbij een rol. Organisaties moeten interne processen inrichten om incidenten snel te detecteren, te classificeren en indien nodig te melden.

Welke testen zijn verplicht onder DORA?

DORA schrijft twee categorieën testen voor: reguliere weerbaarheidstesten en geavanceerde threat-led penetration testing (TLPT). Reguliere testen omvatten kwetsbaarheidsscans, netwerkbeveiligingsbeoordelingen en scenariogebaseerde tests die minimaal jaarlijks moeten plaatsvinden.

TLPT is een geavanceerde testvorm waarbij externe, gekwalificeerde testers realistische aanvalsscenario’s simuleren op basis van actuele dreigingsinformatie. Deze testen zijn verplicht voor significante financiële entiteiten en moeten door onafhankelijke partijen worden uitgevoerd. De frequentie en scope worden bepaald door de toezichthouder.

De methodologie van testen moet gedocumenteerd zijn en de resultaten moeten leiden tot concrete verbeteracties. Organisaties moeten kunnen aantonen dat geïdentificeerde kwetsbaarheden zijn aangepakt en dat de effectiviteit van beveiligingsmaatregelen periodiek wordt geëvalueerd.

Hoe bereid je jouw organisatie voor op de DORA-deadline?

Een effectieve DORA-voorbereiding begint met een gap-analyse om te bepalen welke risico’s nog bestaan of welke maatregelen nog nodig zijn om voldoende digitale weerbaarheid te bereiken. Deze baselinemeting helpt organisaties lacunes te identificeren en een solide basis te leggen voor structurele compliance.

Prioritering van acties is essentieel. Focus op de gebieden met de grootste risico’s of waar de meeste verbeteringen nodig zijn. Betrek stakeholders uit verschillende disciplines: IT, compliance, riskmanagement en het bestuur moeten gezamenlijk werken aan de implementatie.

Veelvoorkomende uitdagingen zijn het gebrek aan documentatie van bestaande processen, onduidelijke verantwoordelijkheden en beperkte capaciteit. Een pragmatische aanpak zonder onnodige administratieve lasten helpt organisaties efficiënt te voldoen aan DORA-vereisten. Stel een projectstructuur op met duidelijke mijlpalen en verantwoordelijken, en monitor de voortgang regelmatig.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie met een pragmatische en resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren diepgaande kennis van de financiële sector met praktische ervaring in IT-beveiliging.

De dienstverlening omvat:

  • DORA-gap-assessments om te bepalen welke maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
  • IT-audits om compliance met regelgevende vereisten te beoordelen
  • Penetratietesten en ethical hacking om de effectiviteit van beveiligingsmaatregelen te verifiëren
  • Ondersteuning bij implementatie van DORA-maatregelen om geïdentificeerde lacunes te dichten
  • IT Security Officer as a Service voor continue monitoring en borging van DORA-compliance
  • Opzetten van monitoringstructuren die zichtbaarheid bieden op de periodieke uitvoering van maatregelen en hun effectiviteit

Wilt u weten hoe uw organisatie ervoor staat op het gebied van DORA-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over uw specifieke situatie en de mogelijkheden voor ondersteuning bij uw DORA-implementatie.

De hack uitgelegd #2: Odido

in , , , ,

Begin 2026 werd Nederland opgeschrikt door een grootschalig datalek bij telecomprovider Odido. Miljoenen klantgegevens kwamen in handen van cybercriminelen en werden later deels openbaar gemaakt. Opvallend aan deze casus: er was geen sprake van een geavanceerde softwarekwetsbaarheid of zero-day exploit.

Lees meer

Wat zijn de belangrijkste NIS2 vereisten?

in

De NIS2-richtlijn verplicht organisaties om passende cybersecuritymaatregelen te treffen op het gebied van risicobeheer, incidentmelding, bedrijfscontinuïteit en supply chain security. Nederlandse organisaties moeten uiterlijk op 1 juli 2026 aan deze vereisten voldoen. Bestuurders worden persoonlijk aansprakelijk voor non-compliance, wat de urgentie voor een adequate voorbereiding vergroot. In dit artikel beantwoorden we de belangrijkste vragen over de NIS2-vereisten en wat jouw organisatie moet doen.

Wat houdt de NIS2-richtlijn precies in en waarom is deze belangrijk?

De NIS2-richtlijn is Europese cybersecuritywetgeving die de digitale weerbaarheid van essentiële en belangrijke sectoren moet versterken. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en breidt de reikwijdte aanzienlijk uit. Het doel is om de EU digitaal en economisch weerbaarder te maken tegen de groeiende dreiging van cyberaanvallen.

De urgentie voor Nederlandse organisaties is groot. NIS2 treedt op 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die onder de reikwijdte vallen, hun cyberbeveiligingsmaatregelen vóór deze datum op orde moeten hebben. De deadline valt aan het einde van Q2 2026, wat organisaties een duidelijk tijdsbestek geeft voor hun compliancetraject.

De coronacrisis heeft de digitalisering in een stroomversnelling gebracht. Cybercriminelen worden steeds slimmer en agressiever. Recente berichten tonen aan dat hackers, met name uit Rusland en China, aanzienlijk hogere bedragen eisen van Nederlandse bedrijven. In bepaalde sectoren zijn deze bedragen gestegen tot boven de miljoen euro. Deze ontwikkeling maakt duidelijk waarom strengere cybersecuritywetgeving noodzakelijk is.

Welke organisaties vallen onder de NIS2-richtlijn?

Organisaties vallen onder NIS2 op basis van de sector waarin ze actief zijn en hun omvang. De richtlijn maakt onderscheid tussen essentiële entiteiten (zoals energie, transport, gezondheidszorg en drinkwater) en belangrijke entiteiten (zoals post- en koeriersdiensten, afvalbeheer en voedselproductie). Middelgrote en grote organisaties in deze sectoren zijn verplicht om aan de vereisten te voldoen.

De omvangcriteria bepalen of een organisatie als middelgroot of groot wordt aangemerkt. Middelgrote organisaties hebben doorgaans tussen de 50 en 250 werknemers of een omzet tussen 10 en 50 miljoen euro. Grote organisaties overschrijden deze drempels.

Ten opzichte van de oorspronkelijke NIS-richtlijn is de reikwijdte fors uitgebreid. Waar de eerste versie zich vooral richtte op grote bedrijven die belangrijk zijn voor de maatschappij (zoals energie- en waterbedrijven), omvat NIS2 veel meer sectoren. Staat jouw branche niet op de lijst? Dan kun je in theorie rustig achteroverleunen, maar in de praktijk is dat niet de beste keuze. De gemiddelde schade van een hack bedroeg in 2022 al 270.000 euro.

Wat zijn de kernvereisten voor risicobeheer onder NIS2?

NIS2 verplicht organisaties tot het implementeren van passende en evenredige technische, operationele en organisatorische maatregelen voor risicobeheer. Deze maatregelen moeten de risico’s voor netwerk- en informatiesystemen beheersen en de impact van incidenten minimaliseren.

De kernvereisten omvatten:

  • Risicoanalyse en beveiligingsbeleid: het identificeren van cyberbeveiligingsrisico’s en het vaststellen van passend beleid
  • Incidentafhandeling: procedures voor het detecteren, analyseren en afhandelen van beveiligingsincidenten
  • Bedrijfscontinuïteit en disaster recovery: maatregelen om de continuïteit van diensten te waarborgen
  • Supply chain security: beveiliging van de toeleveringsketen en relaties met leveranciers
  • Technische maatregelen: netwerk- en informatiebeveiliging, toegangscontrole en encryptie

Een pragmatische aanpak voor implementatie bestaat uit vijf fasen. De eerste fase betreft het analyseren van cyberrisico’s, waarbij IT-middelen worden geïnventariseerd en een risicoanalyse wordt uitgevoerd. De tweede fase richt zich op het bepalen van maatregelen via een business impact assessment. Vervolgens wordt een actieplan opgesteld en uitgevoerd, waarna maatregelen structureel worden geïntegreerd in de dagelijkse werkzaamheden. De laatste fase betreft het controleren en verbeteren door incidenten te analyseren en maatregelen periodiek te toetsen.

Hoe werkt de meldplicht voor cyberincidenten onder NIS2?

Onder NIS2 geldt een strikte meldplicht voor significante cyberincidenten. Organisaties moeten incidenten melden aan de bevoegde autoriteit (in Nederland het NCSC of sectorale toezichthouders) volgens vastgestelde termijnen. Deze meldplicht zorgt voor betere informatiedeling en een snellere respons op grootschalige cyberdreigingen.

De termijnen voor incidentmelding zijn als volgt:

  • Binnen 24 uur: vroege waarschuwing met een eerste indicatie van het incident
  • Binnen 72 uur: volledige incidentmelding met een beoordeling van de ernst en impact
  • Binnen één maand: eindrapport met een gedetailleerde analyse en de genomen maatregelen

Niet elk beveiligingsincident hoeft gemeld te worden. De meldplicht geldt voor incidenten die een significante impact hebben op de dienstverlening, zoals incidenten die leiden tot aanzienlijke operationele verstoringen of financiële verliezen. Organisaties moeten daarom interne procedures hebben om incidenten te classificeren en te bepalen of melding verplicht is.

Wat betekent bestuurdersaansprakelijkheid onder de NIS2-richtlijn?

NIS2 legt expliciet verantwoordelijkheid bij het bestuur van organisaties. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit betekent dat cybersecurity niet langer alleen een IT-aangelegenheid is, maar een bestuurlijke verantwoordelijkheid.

Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Daarom verplicht NIS2 dat bestuur en werknemers regelmatig scholing volgen om cyberbeveiligingsrisico’s te herkennen en te voorkomen. Het bestuur stelt het beveiligingsbeleid vast, herziet dit periodiek en borgt dat het personeel op de hoogte is en handelt in overeenstemming met het beleid.

De sancties bij overtredingen zijn aanzienlijk. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Als directie kun je namelijk persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Is cybersecurity nu nog vooral het domein van IT? Dan is dit het moment om daar verandering in te brengen.

Welke stappen moet je nemen om NIS2-compliant te worden?

NIS2-compliance bereik je door een gestructureerde aanpak te volgen. Begin met vast te stellen of jouw organisatie onder de richtlijn valt en welke specifieke vereisten van toepassing zijn. Vervolgens kun je gericht werken aan de implementatie van de benodigde maatregelen.

Een praktisch stappenplan:

  • Gap-analyse uitvoeren: bepaal het verschil tussen de huidige situatie en de NIS2-vereisten
  • Risicobeoordeling opstellen: identificeer en beoordeel de cyberbeveiligingsrisico’s voor jouw organisatie
  • Beveiligingsmaatregelen implementeren: tref passende technische en organisatorische maatregelen
  • Incidentresponsplan ontwikkelen: zorg voor procedures om incidenten te detecteren en af te handelen
  • Supply chain beoordelen: evalueer de beveiliging van leveranciers en partners
  • Documentatie op orde brengen: leg beleid, procedures en maatregelen vast

Organisaties hebben een security officer nodig vanuit de eigen organisatie. Een externe IT-beheerder kan helpen bij technische aspecten, maar niet bij het totaalplaatje. Je hebt een partij nodig die het voor je opzet en daarbij ondersteunt. Veel zaken zitten in de details en daar heb je echt de juiste expertise voor nodig. Zie NIS2 als een verandertraject dat continu aandacht verdient, niet als een afgebakend project met een kop en een staart.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het behalen van NIS2-compliance met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om jouw organisatie doelgericht te begeleiden.

De dienstverlening omvat:

  • NIS2-nulmeting en gap-analyse: inzicht in waar jouw organisatie staat en wat er nog moet gebeuren
  • IT-securityassessments en penetratietests: identificeren van kwetsbaarheden en bedreigingen
  • Ondersteuning bij risicobeoordeling en implementatie van maatregelen
  • IT Security Officer as-a-Service: structurele ondersteuning zonder fulltime aanstelling
  • Security awareness-training voor medewerkers en bestuurders

Wil je weten hoe jouw organisatie ervoor staat op het gebied van NIS2? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek of vraag direct een nulmeting aan.

Wat zijn de verplichtingen voor incidentmelding onder DORA?

in

Onder DORA moeten financiële instellingen ernstige ICT-gerelateerde incidenten melden aan de bevoegde toezichthouder via een gestructureerd, driefasig proces. De initiële melding moet binnen 24 uur plaatsvinden, gevolgd door een tussentijdse rapportage binnen 72 uur en een eindrapportage binnen één maand. Deze meldingsplicht geldt voor incidenten die kritieke diensten verstoren, grote aantallen klanten treffen of significante economische impact hebben. Hieronder vind je antwoorden op de belangrijkste vragen over DORA-incidentmelding.

Wat houdt de incidentmeldingsplicht onder DORA precies in?

De Digital Operational Resilience Act (DORA) verplicht financiële instellingen om ernstige ICT-gerelateerde incidenten te melden bij hun bevoegde toezichthouder. Een ernstig ICT-gerelateerd incident is een verstoring die aanzienlijke negatieve gevolgen heeft voor de digitale operationele weerbaarheid van de organisatie. Deze meldingsplicht is vastgelegd in artikel 19 van DORA en geldt voor banken, verzekeraars, beleggingsondernemingen, betaaldienstverleners en hun kritieke IT-dienstverleners.

Het verschil met bestaande meldplichten, zoals de AVG, is significant. Waar de AVG zich richt op datalekken die persoonsgegevens betreffen, focust DORA specifiek op operationele verstoringen van ICT-systemen binnen de financiële sector. DORA erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom ook een rol spelen in de digitale weerbaarheid van de sector.

De Europese wetgever heeft DORA geïntroduceerd omdat de financiële sector bijzonder kwetsbaar is voor cyberaanvallen en ICT-verstoringen. Een uniform regelgevingskader in de EU vermindert versnippering en dubbele regels door heldere, uniforme eisen in heel Europa te stellen.

Welke ICT-incidenten moet je onder DORA melden?

Niet elk ICT-incident valt onder de meldingsplicht. DORA hanteert specifieke classificatiecriteria om te bepalen of een incident als ernstig kwalificeert. De beoordeling vindt plaats op basis van meerdere factoren die samen het totaalbeeld vormen.

De belangrijkste classificatiecriteria zijn:

  • Impact op kritieke diensten: verstoort het incident diensten die essentieel zijn voor klanten of de financiële markt?
  • Aantal getroffen klanten: hoeveel klanten ondervinden directe gevolgen van het incident?
  • Geografische spreiding: raakt het incident meerdere lidstaten of regio’s?
  • Duur van de verstoring: hoe lang duurt de onderbreking van dienstverlening?
  • Economische impact: wat zijn de directe en indirecte financiële gevolgen?
  • Reputatieschade: leidt het incident tot significante schade aan het vertrouwen in de organisatie?

Naast ernstige incidenten kent DORA ook de categorie significante cyberdreigingen. Dit zijn dreigingen die nog niet tot een incident hebben geleid, maar wel het potentieel hebben om ernstige schade te veroorzaken. Organisaties moeten een incidentmanagementproces implementeren dat detectie, beheer en rapportage van ICT-incidenten omvat, inclusief detectie en monitoring van cyberdreigingen en anomalieën.

Binnen welke termijnen moet je een incident melden onder DORA?

DORA schrijft een driefasig meldingsproces voor met strikte termijnen. Elke fase heeft een specifiek doel en vereist andere informatie. Het naleven van deze termijnen is essentieel voor compliance.

Fase 1: initiële melding binnen 24 uur
Binnen 72 uur na de initiële melding volgt een uitgebreidere rapportage. Hierin geef je een update over de status, de genomen maatregelen en een verfijnde impactanalyse. Als de situatie significant wijzigt, kunnen aanvullende tussentijdse meldingen vereist zijn.

Fase 3: eindrapportage binnen één maand
Uiterlijk één maand na het incident lever je een volledige eindrapportage op. Deze bevat de rootcauseanalyse, alle getroffen maatregelen, de totale impact en de lessen die zijn geleerd voor toekomstige preventie.

Hoe ziet het DORA-incidentmeldingsproces er stap voor stap uit?

Een effectief incidentmeldingsproces begint lang voordat een incident plaatsvindt. Organisaties moeten duidelijke rollen en verantwoordelijkheden toewijzen voor verschillende incidentscenario’s en contactlijsten opstellen met interne functies en externe stakeholders die betrokken zijn bij ICT-operaties en beveiliging.

Het volledige proces verloopt als volgt:

  1. Detectie: het incident wordt geïdentificeerd via monitoring, meldingen van medewerkers of externe signalen.
  2. Classificatie: beoordeel of het incident voldoet aan de criteria voor een ernstig ICT-incident.
  3. Interne escalatie: informeer de verantwoordelijke personen volgens de escalatieprocedure.
  4. Documentatie: leg alle relevante informatie vast voor de melding en latere analyse.
  5. Initiële melding: dien binnen 24 uur de eerste melding in bij de toezichthouder.
  6. Incidentrespons: voer maatregelen uit om de impact te beperken en diensten te herstellen.
  7. Stakeholdercommunicatie: informeer getroffen klanten en andere relevante partijen.
  8. Tussentijdse rapportage: lever binnen 72 uur de uitgebreide statusupdate.
  9. Rootcauseanalyse: onderzoek de onderliggende oorzaak van het incident.
  10. Eindrapportage: dien binnen één maand het volledige rapport in.

Wat zijn de gevolgen als je niet voldoet aan de DORA-meldingsplicht?

Niet-naleving van de DORA-meldingsplicht kan serieuze consequenties hebben. Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) hebben handhavingsbevoegdheden gekregen om compliance af te dwingen.

De mogelijke gevolgen omvatten:

  • Administratieve boetes: toezichthouders kunnen aanzienlijke boetes opleggen bij niet-naleving.
  • Aanvullende toezichtmaatregelen: verscherpt toezicht of aanwijzingen om processen te verbeteren.
  • Reputatieschade: publieke bekendmaking van overtredingen kan het vertrouwen van klanten schaden.
  • Bestuurlijke aansprakelijkheid: bestuurders kunnen persoonlijk verantwoordelijk worden gehouden.

DORA vraagt om aantoonbaarheid, niet alleen om beleid. Het gaat erom dat je kunt laten zien dat je in control bent. Een assuranceverklaring, bijvoorbeeld op basis van ISAE 3000, kan een manier zijn om naleving aantoonbaar te maken richting toezichthouders en ketenpartners.

Hoe bereid je jouw organisatie voor op DORA-incidentmelding?

Een gedegen voorbereiding is essentieel om tijdig en correct te kunnen melden wanneer zich een incident voordoet. Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid. Een nulmeting is een logisch startpunt om vast te stellen of DORA daadwerkelijk is geïmplementeerd.

Concrete voorbereidingsstappen zijn:

  • Detectiesystemen opzetten: implementeer monitoring voor anomalieën, cyberdreigingen en kwetsbaarheden.
  • Incidentresponsprocedures ontwikkelen: documenteer het volledige proces van detectie tot eindrapportage.
  • Verantwoordelijken aanwijzen: bepaal wie welke rol heeft bij verschillende incidentscenario’s.
  • Contactlijsten opstellen: zorg voor actuele contactgegevens van interne en externe stakeholders.
  • Personeel trainen: zorg dat medewerkers weten hoe ze incidenten herkennen en melden.
  • Meldingsprocessen testen: oefen regelmatig met simulaties om knelpunten te identificeren.
  • Documentatie op orde brengen: zorg dat alle processen aantoonbaar zijn vastgelegd.

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal voor succesvolle implementatie.

Hoe helpt Hoek en Blok IT bij DORA-incidentmelding?

Hoek en Blok IT ondersteunt organisaties bij het opzetten en implementeren van DORA-compliant incidentmeldingsprocessen. Met een pragmatische aanpak helpen de NOREA-gecertificeerde EDP-auditors bij het vertalen van de complexe DORA-vereisten naar werkbare processen voor jouw organisatie.

De specifieke diensten omvatten:

  • Nulmeting en gap-analyse: beoordeling van de huidige situatie ten opzichte van de DORA-vereisten.
  • Incidentmeldingsprocedures: ontwikkeling van procedures die voldoen aan de driefasige meldingsstructuur.
  • Security-assessments: verbetering van de detectiecapaciteit door penetratietests en vulnerability assessments.
  • IT Security Officer as a Service: doorlopende ondersteuning bij compliance en incidentmanagement.
  • Classificatiebegeleiding: ondersteuning bij het beoordelen of incidenten meldingsplichtig zijn.
  • Assuranceverklaringen: ISAE 3000-verklaringen om naleving aantoonbaar te maken.

Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA-incidentmelding? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.

Welke documentatie is vereist voor NIS2?

in

De NIS2-richtlijn vereist een uitgebreide set aan documentatie om compliance aan te tonen aan toezichthouders. Deze kernset omvat minimaal een risicoanalyse, beveiligingsbeleid, incidentresponseplan, bedrijfscontinuïteitsplan en supply chain security-documentatie. Organisaties die onder NIS2 vallen, moeten deze documenten niet alleen opstellen, maar ook actueel houden en kunnen overleggen bij inspecties. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-documentatievereisten.

Welke documenten moet je hebben voor NIS2-compliance?

Voor NIS2-compliance heb je een kernset van verplichte documenten nodig die samen aantonen dat jouw organisatie cybersecurityrisico’s adequaat beheerst. De wettelijke basis hiervoor ligt in artikel 21 van de NIS2-richtlijn, dat specifieke maatregelen voorschrijft voor risicobeheer.

De essentiële documenten omvatten:

  • Risicoanalyse en beveiligingsbeleid: een gedocumenteerde aanpak voor het identificeren en behandelen van cybersecurityrisico’s
  • Incidentresponseplan: procedures voor het detecteren, melden en afhandelen van beveiligingsincidenten
  • Bedrijfscontinuïteitsplan: maatregelen om kritieke diensten te herstellen na een incident
  • Supply chain security-documentatie: beleid voor leveranciersbeveiliging en ketenrisico’s
  • Governancedocumenten: vastlegging van rollen, verantwoordelijkheden en bestuursaansprakelijkheid

Deze documenten zijn niet alleen een formaliteit. Toezichthouders gebruiken ze om te beoordelen of jouw organisatie daadwerkelijk voldoet aan de NIS2-vereisten. Met de eerste operationele deadlines in 2026 is het verstandig om nu al te beginnen met het op orde brengen van deze documentatie.

Wat is het verschil tussen NIS2-documentatie en bestaande ISO 27001-documenten?

Organisaties met een ISO 27001-certificering hebben al een stevige basis voor NIS2-compliance. De overlap is aanzienlijk: beide vereisen een risicoanalyse, beveiligingsbeleid en incidentmanagementprocedures. Toch kent NIS2 specifieke aanvullende eisen die ISO 27001 niet standaard afdekt.

De belangrijkste verschillen zitten in:

  • Meldingsverplichtingen: NIS2 vereist strikte meldingstermijnen aan autoriteiten (24 uur en 72 uur), terwijl ISO 27001 geen specifieke externe meldingstermijnen voorschrijft
  • Supply chain security: NIS2 stelt explicietere eisen aan documentatie rondom leveranciersrisico’s en ketenbeveiliging
  • Bestuursaansprakelijkheid: NIS2 vereist documentatie over persoonlijke aansprakelijkheid van bestuurders en hun cybersecuritykennis
  • Sectorspecifieke eisen: afhankelijk van je sector kunnen aanvullende documentatie-eisen gelden

Heb je al ISO 27001? Dan kun je je bestaande documentatie uitbreiden met NIS2-specifieke elementen. Dit bespaart tijd en zorgt voor een geïntegreerd managementsysteem.

Hoe stel je een NIS2-conforme risicoanalyse op?

Een NIS2-conforme risicoanalyse identificeert cybersecurityrisico’s die de continuïteit van jouw dienstverlening kunnen bedreigen. De analyse moet systematisch zijn, alle relevante dreigingen behandelen en leiden tot concrete maatregelen.

Het opstellen verloopt via de volgende stappen:

  • Inventarisatie van assets: breng alle kritieke systemen, data en processen in kaart
  • Dreigingsidentificatie: bepaal welke cyberdreigingen relevant zijn voor jouw organisatie
  • Kwetsbaarheidsbeoordeling: analyseer waar je organisatie kwetsbaar is
  • Impactbeoordeling: bepaal de gevolgen als een risico zich materialiseert
  • Maatregelenselectie: kies passende technische en organisatorische maatregelen
  • Documentatie en goedkeuring: leg alles vast en laat het bestuur formeel goedkeuren

NIS2 adresseert specifiek risico’s rondom netwerk- en informatiesystemen. Denk aan ransomware, datalekken en verstoring van kritieke diensten. De gemiddelde schade van een hack bedroeg in 2022 al € 270.000, wat het belang van een gedegen risicoanalyse onderstreept.

Welke incidentresponse-documentatie vereist NIS2?

NIS2 stelt strikte eisen aan incidentresponse-documentatie, met name vanwege de verplichte meldingstermijnen aan autoriteiten. Je hebt een compleet incidentresponseplan nodig dat beschrijft hoe je organisatie reageert op beveiligingsincidenten.

De vereiste documentatie omvat:

  • Incidentclassificatie: criteria om te bepalen welke incidenten meldplichtig zijn
  • Escalatieprocedures: wie wanneer moet worden geïnformeerd binnen de organisatie
  • Meldingsprocedures: hoe en aan wie externe meldingen worden gedaan
  • Communicatieprotocollen: interne en externe communicatie tijdens een incident

De meldingstermijnen zijn strikt: binnen 24 uur moet je een vroege waarschuwing geven aan de bevoegde autoriteit. Binnen 72 uur volgt een uitgebreidere incidentmelding met een eerste beoordeling van de ernst en impact. Deze termijnen vereisen dat je procedures vooraf goed zijn uitgewerkt en getest.

Hoe documenteer je supply chain security voor NIS2?

Supply chain security is een expliciet aandachtspunt binnen NIS2. Je moet documenteren hoe je organisatie omgaat met beveiligingsrisico’s die via leveranciers en ketenpartners kunnen ontstaan. Dit vereist een systematische aanpak van leveranciersbeheer.

De documentatie moet minimaal bevatten:

  • Leveranciersbeoordelingen: criteria en resultaten van beveiligingsbeoordelingen van leveranciers
  • Contractuele beveiligingseisen: afspraken over beveiliging in leverancierscontracten
  • Leveranciersrisicoregister: overzicht van leveranciers met hun risicoclassificatie
  • Monitoringprocedures: hoe je toezicht houdt op beveiligingsprestaties van leveranciers

In de praktijk betekent dit dat je leveranciers moet beoordelen op hun beveiligingsniveau en dit periodiek moet herzien. Vraag bijvoorbeeld om ISAE-verklaringen of SOC 2-rapporten van kritieke leveranciers.

Welke governancedocumenten zijn verplicht onder NIS2?

NIS2 legt expliciet verantwoordelijkheid bij het bestuur van organisaties. Dit vertaalt zich naar specifieke governancedocumentatie die de betrokkenheid en aansprakelijkheid van bestuurders vastlegt. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor non-compliance.

Verplichte governancedocumenten omvatten:

  • Rollen en verantwoordelijkheden: wie waarvoor verantwoordelijk is op het gebied van cybersecurity
  • Bestuursgoedkeuringen: bewijs dat het bestuur beveiligingsbeleid heeft vastgesteld en periodiek herziet
  • Trainingsregistraties: bewijs dat bestuurders en medewerkers cybersecuritytraining hebben gevolgd
  • Rapportagelijnen: documentatie van periodiek overleg en rapportage aan het bestuur

Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om cyberbeveiligingsrisico’s te beoordelen. Het inrichten van een rapportagelijn en periodiek overleg is hierbij essentieel. Zo weet het bestuur wat er speelt en kan het bijsturen waar nodig.

Hoe houd je NIS2-documentatie actueel en audit-proof?

NIS2-documentatie is geen eenmalige exercitie. Toezichthouders verwachten dat documenten actueel zijn en dat je kunt aantonen dat ze in de praktijk worden toegepast. Goed documentbeheer is daarom cruciaal voor compliance.

Praktische richtlijnen voor audit-proof documentatie:

  • Versiebeheer: houd bij welke versie geldig is en wat er is gewijzigd
  • Periodieke reviews: plan jaarlijkse of halfjaarlijkse herzieningen van alle documenten
  • Toegangscontrole: bepaal wie documenten mag inzien en wijzigen
  • Bewaartermijnen: bewaar documentatie minimaal drie tot vijf jaar voor auditdoeleinden
  • Bewijs van toepassing: leg vast dat procedures daadwerkelijk worden gevolgd

Zie NIS2-compliance als een verandertraject dat continu aandacht verdient, niet als een afgebakend project. Met elke kleine stap verbeter je de beveiliging en documentatie van jouw organisatie.

Hoe helpt Hoek en Blok IT bij NIS2-documentatie?

Hoek en Blok IT ondersteunt organisaties bij het opstellen en onderhouden van NIS2-conforme documentatie. Met NOREA-gecertificeerde EDP-auditors en praktijkervaring in IT-audits bieden we pragmatische ondersteuning die past bij middelgrote organisaties.

Onze dienstverlening omvat:

  • Gapanalyse: inventarisatie van ontbrekende documentatie ten opzichte van NIS2-vereisten
  • Documentatietemplates: praktische sjablonen voor risicoanalyses, incidentresponseplannen en beleidsdocumenten
  • Begeleiding bij opstellen: ondersteuning bij het schrijven van organisatiespecifieke documenten
  • Auditondersteuning: voorbereiding op inspecties door toezichthouders
  • IT Security Officer as a Service: doorlopend documentatiebeheer en compliance-monitoring

Wil je weten waar jouw organisatie staat op het gebied van NIS2-documentatie? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.

Geldt DORA ook voor mkb-bedrijven?

in

DORA geldt niet automatisch voor alle mkb-bedrijven, maar de regelgeving kan wel degelijk relevant zijn voor jouw organisatie. Direct vallen mkb-bedrijven onder DORA wanneer zij als financiële entiteit kwalificeren, zoals kleine beleggingsondernemingen of betaaldienstverleners. Indirect krijgen mkb-bedrijven met DORA te maken wanneer zij ICT-diensten leveren aan financiële instellingen. In dit artikel beantwoorden we de belangrijkste vragen over DORA en mkb-bedrijven.

Wat is DORA en voor welke organisaties geldt deze regelgeving?

DORA staat voor de Digital Operational Resilience Act, een Europese verordening die de digitale operationele weerbaarheid van de financiële sector versterkt. De regelgeving beschermt financiële instellingen tegen cyberaanvallen en ICT-verstoringen die hun dienstverlening kunnen onderbreken. Vanaf 17 januari 2025 moeten organisaties volledig voldoen aan alle DORA-vereisten.

De primaire doelgroep van DORA bestaat uit financiële entiteiten binnen de Europese Unie. Dit omvat een breed scala aan organisaties:

  • Banken en kredietinstellingen
  • Verzekeraars en herverzekeraars
  • Beleggingsondernemingen en beheerders van beleggingsfondsen
  • Betalingsinstellingen en elektronische geldinstellingen
  • Crypto-dienstverleners
  • Instellingen voor collectieve belegging in effecten

DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie stimuleert terwijl risico’s worden beperkt. De wetgeving creëert een uniform beschermingsniveau binnen de Europese financiële sector en is afgestemd op NIS2 om juridische coherentie te waarborgen tussen verschillende cyberveiligheidsregels.

Valt mijn mkb-bedrijf direct onder de DORA-verplichtingen?

Jouw mkb-bedrijf valt direct onder DORA wanneer het als financiële entiteit kwalificeert onder EU-regelgeving. Dit betekent dat ook kleinere beleggingsondernemingen, betaaldienstverleners of verzekeraars aan de DORA-eisen moeten voldoen. De omvang van je organisatie bepaalt niet of DORA van toepassing is, maar wel hoe streng de eisen worden toegepast.

DORA hanteert het proportionaliteitsbeginsel. Dit houdt in dat kleinere financiële ondernemingen vereenvoudigde ICT-risicobeheerframeworks mogen hanteren die passen bij hun omvang, risicoprofiel en de complexiteit van hun dienstverlening. De toezichthouder verwacht geen identieke maatregelen van een kleine betaaldienstverlener als van een grote bank.

Voor micro-ondernemingen binnen de financiële sector gelden specifieke uitzonderingen. Organisaties met minder dan tien werknemers en een jaaromzet of balanstotaal onder de twee miljoen euro kunnen in aanmerking komen voor verlichte eisen. Dit betekent echter niet dat zij volledig zijn vrijgesteld van DORA-verplichtingen.

Twijfel je of jouw organisatie als financiële entiteit kwalificeert? Controleer dan of je onder toezicht staat van een financiële toezichthouder zoals DNB of de AFM. Valt jouw bedrijf onder hun toezicht, dan is DORA waarschijnlijk van toepassing.

Wanneer krijgt een mkb-bedrijf indirect met DORA te maken?

Mkb-bedrijven die ICT-diensten leveren aan financiële instellingen krijgen indirect met DORA te maken via de keten. DORA erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en stelt daarom eisen aan het beheer van deze relaties. Als toeleverancier kun je te maken krijgen met aangescherpte contractuele verplichtingen.

Kritieke derde dienstverleners vallen expliciet onder DORA. Dit omvat bedrijven die IT-systemen beheren, software ontwikkelen of data opslaan voor financiële instellingen. Specifiek gaat het om:

  • Cloudcomputingproviders
  • Softwareleveranciers
  • Datacentra en hostingpartijen
  • IT-beheerdiensten

Financiële instellingen moeten onder DORA strikt beheer voeren over hun IT-dienstverleners. Dit betekent dat zij contractuele afspraken maken die digitale weerbaarheid waarborgen en toezicht houden op de prestaties van hun leveranciers. Als mkb-toeleverancier kun je daarom te maken krijgen met:

  • Aangescherpte beveiligingseisen in contracten
  • Periodieke audits door of namens de financiële instelling
  • Verplichte incidentmeldingen bij ICT-verstoringen
  • Eisen aan bedrijfscontinuïteit en disaster recovery

Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. Dit kan betekenen dat jouw organisatie moet investeren in aanvullende beveiligingsmaatregelen of documentatie om als leverancier te kunnen blijven fungeren.

Welke DORA-eisen zijn relevant voor kleinere organisaties?

DORA kent vijf pijlers die proportioneel worden toegepast op basis van omvang en risicoprofiel. Voor kleinere organisaties zijn niet alle eisen even zwaar, maar de kernprincipes blijven van toepassing. Een goed begrip van deze pijlers helpt bij het bepalen van de relevante verplichtingen voor jouw situatie.

ICT-risicomanagement vormt de basis van DORA. Organisaties moeten een risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Kleinere entiteiten mogen een vereenvoudigd kader hanteren dat past bij hun complexiteit.

Incidentrapportage vereist snelle opsporing en melding van ICT-incidenten. Financiële entiteiten moeten ernstige incidenten melden bij de toezichthouder. De meldingstermijnen en rapportageformats zijn vastgelegd in de regelgeving.

Digitale weerbaarheidstests moeten de operationele veerkracht regelmatig toetsen. Voor grotere en meer kritieke instellingen zijn threat-led penetration tests verplicht. Kleinere organisaties kunnen volstaan met minder intensieve testvormen.

Beheer van ICT-derdepartijrisico’s behelst het strikt beheren van relaties met externe IT-dienstverleners. Dit omvat het beoordelen van uitbestedingsrisico’s en het maken van passende contractuele afspraken.

Informatie-uitwisseling stimuleert het actief delen van cyberdreigingsinformatie. Dit helpt organisaties sneller te reageren op nieuwe risico’s en maakt de sector als geheel veiliger.

Hoe bereid je je als mkb-bedrijf voor op DORA-compliance?

Een goede voorbereiding begint met het vaststellen of en hoe DORA op jouw organisatie van toepassing is. Een nulmeting is een logisch startpunt om vast te stellen waar je staat ten opzichte van de DORA-vereisten. Veel organisaties denken compliant te zijn, maar worstelen juist met details en aantoonbaarheid.

Voer een gap-analyse uit om de huidige situatie te vergelijken met de DORA-eisen. Breng in kaart welke processen, documentatie en technische maatregelen al aanwezig zijn en waar aanvullingen nodig zijn. Let specifiek op:

  • De inrichting van ICT-risicomanagement en governance
  • Procedures voor incidentdetectie en -rapportage
  • Contracten met ICT-dienstverleners en uitbestedingspartijen
  • Documentatie van beveiligingsmaatregelen en tests

DORA vraagt om aantoonbaarheid, niet alleen beleid. Je moet kunnen laten zien dat je in control bent. Dit betekent dat processen gedocumenteerd moeten zijn en dat je bewijs kunt leveren van uitgevoerde maatregelen en tests.

Bereid je voor op mogelijke auditeisen van klanten in de financiële sector. Een ISAE 3000-verklaring kan een manier zijn om naleving aantoonbaar te maken richting financiële instellingen die jouw diensten afnemen. Dit bespaart tijd doordat je niet voor elke klant afzonderlijk audits hoeft te doorlopen.

Vergeet niet dat DORA primair een governance- en organisatievraagstuk is, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal voor succesvolle compliance.

Hoe helpt Hoek en Blok IT bij DORA-compliance voor mkb-bedrijven?

Hoek en Blok IT ondersteunt mkb-organisaties bij elke stap van DORA-voorbereiding en compliance. Met NOREA-gecertificeerde EDP-auditors en een pragmatische aanpak helpen zij organisaties efficiënt te voldoen aan DORA-vereisten, zonder onnodige administratieve lasten.

De relevante diensten voor DORA-compliance omvatten:

  • IT-audits en ISAE-verklaringen: ISAE 3000- en ISAE 3402-verklaringen om naleving aantoonbaar te maken richting financiële instellingen
  • Security-assessments: grondige analyse van ICT-risico’s en kwetsbaarheden binnen jouw organisatie
  • Penetratietests: ethical hacking om de digitale weerbaarheid te toetsen conform DORA-vereisten
  • IT Security Officer as a Service: doorlopende ondersteuning bij het inrichten en onderhouden van ICT-risicomanagement

De aanpak van Hoek en Blok IT combineert technische expertise met auditervaring. Dit resulteert in een op maat gemaakt risicobeheerkader dat voldoet aan DORA-normen en aansluit bij de specifieke situatie van jouw organisatie.

Wil je weten of DORA op jouw mkb-bedrijf van toepassing is en hoe je je het beste kunt voorbereiden? Neem contact op voor een vrijblijvend gesprek over jouw DORA-voorbereiding.

Vallen IT-dienstverleners onder DORA?

in

Ja, IT-dienstverleners kunnen onder DORA vallen, met name wanneer zij diensten leveren aan financiële instellingen. De Digital Operational Resilience Act (DORA) richt zich niet alleen op banken en verzekeraars, maar strekt zich expliciet uit tot kritieke ICT-dienstverleners in de keten. Cloudproviders, softwareleveranciers en datacenters die kritieke functies ondersteunen voor financiële entiteiten, moeten voldoen aan specifieke DORA-vereisten. Dit artikel beantwoordt de belangrijkste vragen over de toepasselijkheid van DORA op IT-dienstverleners.

Wat houdt DORA in voor de IT-sector?

DORA is Europese wetgeving die sinds januari 2025 van kracht is en gericht is op het versterken van de digitale operationele weerbaarheid van de financiële sector. De wet erkent dat financiële instellingen sterk afhankelijk zijn van ICT-systemen en externe technologieleveranciers. Daarom stelt DORA niet alleen eisen aan banken en verzekeraars, maar ook aan de IT-dienstverleners die hen ondersteunen.

De regelgeving is opgebouwd rond vijf pijlers: ICT-risicobeheer, incidentbeheer en -rapportage, digitale operationele weerbaarheidstesten, beheer van ICT-derdepartijrisico’s en informatie-uitwisseling. Voor IT-dienstverleners betekent dit dat zij moeten kunnen aantonen dat hun dienstverlening voldoet aan de weerbaarheidseisen van hun financiële klanten.

DORA biedt een uniform regelgevingskader binnen de EU, wat versnippering en dubbele regels vermindert. Dit zorgt voor een gelijk speelveld tussen financiële instellingen en hun IT-leveranciers, terwijl het innovatie stimuleert door heldere kaders te scheppen voor digitale vernieuwing, zoals cloudoplossingen.

Welke IT-dienstverleners vallen direct onder DORA?

DORA strekt zich uit tot IT-dienstverleners die kritieke of belangrijke functies ondersteunen voor financiële instellingen. Dit omvat cloudproviders, softwareleveranciers en datacenters die deel uitmaken van de ICT-keten van financiële entiteiten. De wetgeving erkent dat digitale operationele weerbaarheid niet alleen afhangt van interne maatregelen, maar ook van de veiligheid en betrouwbaarheid van de gehele ICT-toeleveringsketen.

Er bestaat een onderscheid tussen directe en indirecte toepasselijkheid:

  • Directe toepasselijkheid: Kritieke ICT-dienstverleners die door Europese toezichthouders zijn aangewezen, vallen rechtstreeks onder DORA-toezicht.
  • Indirecte toepasselijkheid: IT-dienstverleners die diensten leveren aan financiële klanten, krijgen via contractuele verplichtingen te maken met DORA-eisen.

Ook wanneer jouw IT-bedrijf niet als kritiek wordt aangemerkt, zullen financiële klanten contractuele DORA-bepalingen opnemen in hun overeenkomsten. Dit maakt DORA-compliance feitelijk onvermijdelijk voor IT-dienstverleners met een financiële klantenportefeuille.

Wat zijn de belangrijkste DORA-verplichtingen voor IT-dienstverleners?

IT-dienstverleners die diensten leveren aan financiële instellingen, moeten voldoen aan specifieke verplichtingen op het gebied van ICT-risicobeheer, incidentmelding en operationele weerbaarheid. De kernverplichtingen omvatten het aantonen van adequate beveiligingsmaatregelen en het ondersteunen van de weerbaarheidseisen van financiële klanten.

De belangrijkste verplichtingen zijn:

  • ICT-risicobeheer: Een gedocumenteerd raamwerk voor het identificeren, beoordelen en beheersen van ICT-risico’s.
  • Incidentclassificatie en -melding: Procedures voor het classificeren van incidenten op basis van impact, aantal getroffen klanten, reputatieschade, downtime en dataverlies.
  • Operationele weerbaarheidstesten: Periodieke tests om aan te tonen dat beveiligingsmaatregelen daadwerkelijk effectief zijn.
  • Documentatie: Uitgebreide vastlegging van processen, maatregelen en testresultaten.

Financiële klanten zullen verwachten dat IT-dienstverleners kunnen aantonen dat zij voldoende maatregelen hebben geïmplementeerd én dat deze maatregelen daadwerkelijk werken. Een nulmeting vormt een essentiële eerste stap om te begrijpen wat DORA concreet betekent voor jouw organisatie.

Hoe bepaal je of jouw IT-bedrijf als kritieke ICT-dienstverlener wordt aangemerkt?

Europese toezichthouders hanteren specifieke criteria om te bepalen of een IT-dienstverlener als kritiek wordt beschouwd. De aanwijzing als kritieke ICT-dienstverlener heeft verstrekkende gevolgen, aangezien dit directe onderworpenheid aan Europees toezicht betekent.

De beoordelingscriteria omvatten:

  • Systeemrelevantie: De mate waarin de dienstverlening essentieel is voor de werking van de financiële sector.
  • Klantenbestand: Het aantal financiële instellingen dat afhankelijk is van de diensten.
  • Vervangbaarheid: De mogelijkheid om de dienstverlening over te dragen naar alternatieve leveranciers.
  • Aard van de diensten: Of de diensten kritieke of belangrijke functies ondersteunen.

Ook wanneer jouw organisatie niet formeel als kritiek wordt aangewezen, kunnen financiële klanten jouw dienstverlening intern als kritiek classificeren. Dit leidt tot vergelijkbare contractuele verplichtingen en verwachtingen rond DORA-compliance.

Welke contractuele eisen stelt DORA aan IT-dienstverleners?

DORA schrijft specifieke contractuele bepalingen voor die financiële instellingen moeten opnemen in overeenkomsten met hun IT-dienstverleners. Deze bepalingen zijn bedoeld om de digitale operationele weerbaarheid van de gehele keten te waarborgen.

De verplichte contractuele elementen omvatten:

  • Exit-strategieën: Duidelijke afspraken over hoe de dienstverlening kan worden beëindigd of overgedragen.
  • Auditrechten: Het recht voor financiële klanten en toezichthouders om audits uit te voeren.
  • Incidentrapportage: Verplichtingen rond het melden van ICT-gerelateerde incidenten.
  • Subuitbesteding: Bepalingen over het uitbesteden van diensten aan onderaannemers.
  • Service level agreements: Meetbare afspraken over beschikbaarheid, prestaties en beveiliging.

IT-dienstverleners moeten bij contractonderhandelingen rekening houden met deze vereisten. Het is verstandig om proactief DORA-conforme contractbepalingen voor te bereiden, zodat je financiële klanten adequaat kunt bedienen.

Wat zijn de gevolgen als IT-dienstverleners niet aan DORA voldoen?

Non-compliance met DORA kan leiden tot aanzienlijke consequenties voor IT-dienstverleners. De gevolgen variëren van contractuele risico’s tot directe toezichtmaatregelen, afhankelijk van de status als kritieke ICT-dienstverlener.

De mogelijke consequenties zijn:

  • Contractuele risico’s: Financiële klanten kunnen contracten beëindigen of verlenging weigeren bij onvoldoende DORA-compliance.
  • Toezichtmaatregelen: Kritieke ICT-dienstverleners kunnen direct worden onderworpen aan maatregelen van Europese toezichthouders.
  • Reputatieschade: Het onvermogen om compliance aan te tonen, schaadt de marktpositie bij financiële klanten.
  • Markttoegang: Zonder DORA-compliance wordt het steeds moeilijker om financiële instellingen als klant te werven of te behouden.

Organisaties die zich niet adequaat voorbereiden, riskeren onaangename verrassingen bij toekomstige audits of toezichtsinspecties. Tijdige voorbereiding voorkomt deze risico’s en biedt een concurrentievoordeel.

Hoe helpt Hoek en Blok IT bij DORA-compliance voor IT-dienstverleners?

Hoek en Blok IT ondersteunt IT-dienstverleners bij het realiseren van aantoonbare DORA-compliance. Met meer dan dertig jaar praktijkervaring in de financiële sector en bij IT-dienstverleners bieden wij pragmatische ondersteuning die aansluit bij jouw specifieke situatie.

Onze dienstverlening omvat:

  • DORA-gapanalyses: Bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid.
  • IT-audits: Beoordelen van de compliance met DORA-vereisten door geregistreerde IT-auditors.
  • Contractuele ondersteuning: Begeleiding bij het opstellen van DORA-conforme contractbepalingen.
  • Operationele weerbaarheidstesten: Ondersteuning bij het opzetten en uitvoeren van verplichte tests.
  • Monitoringstructuren: Inrichten van structuren die zichtbaarheid bieden op de effectiviteit van maatregelen.

Wil je weten wat DORA concreet betekent voor jouw IT-organisatie? Neem contact op voor een vrijblijvend gesprek over een nulmeting die inzicht geeft in jouw huidige positie en de stappen naar aantoonbare compliance.

Ga aan de slag met NIS2: begin met een nulmeting

in ,

De impact van NIS2 wordt door veel organisaties nog onderschat. Tegelijkertijd neemt de druk vanuit wetgeving, klanten en ketenpartners snel toe. Cybersecurity is allang geen puur IT-vraagstuk meer, maar een bestuurlijke verantwoordelijkheid. Organisaties die nu niet in beweging komen, lopen het risico straks achter de feiten aan te lopen. Juist daarom is het verstandig om tijdig inzicht te krijgen in waar je als organisatie staat. Een nulmeting is daarbij een logisch en effectief startpunt.

Lees meer

Welke sectoren vallen onder NIS2?

in

De NIS2-richtlijn is van toepassing op achttien sectoren die de Europese Unie als essentieel of belangrijk beschouwt voor het functioneren van de samenleving en economie. Deze sectoren zijn onderverdeeld in elf essentiële sectoren (zoals energie, gezondheidszorg en digitale infrastructuur) en zeven belangrijke sectoren (waaronder de chemische industrie en de levensmiddelensector). Of jouw organisatie onder NIS2 valt, hangt af van zowel de sector als de omvang van je bedrijf.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw sector?

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en heeft als doel de cyberweerbaarheid binnen de Europese Unie aanzienlijk te versterken. Deze vernieuwde wetgeving breidt het toepassingsgebied fors uit naar meer sectoren en organisaties, omdat cyberdreigingen steeds geavanceerder worden en de onderlinge afhankelijkheid tussen organisaties toeneemt.

De richtlijn treedt per 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die binnen de scope vallen, voor deze datum hun cyberbeveiligingsmaatregelen op orde moeten hebben. De urgentie neemt toe naarmate de deadline nadert, en veel organisaties zoeken actief naar informatie over wat zij moeten doen om aan de eisen te voldoen.

Een belangrijk verschil met de vorige richtlijn is de expliciete bestuurlijke verantwoordelijkheid. Bestuurders worden persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen. Zij moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Regelmatige scholing voor bestuur en werknemers wordt verplicht.

Welke essentiële sectoren vallen onder NIS2?

Bijlage I van de NIS2-richtlijn definieert elf essentiële sectoren die als kritiek worden beschouwd voor het functioneren van de samenleving. Deze sectoren krijgen een strenger toezichtregime vanwege hun cruciale rol in de maatschappelijke infrastructuur.

De essentiële sectoren omvatten:

  • Energie: elektriciteits-, gas- en oliebedrijven, warmteleveranciers en exploitanten van laadpalen
  • Vervoer: luchtvaart, spoorwegen, scheepvaart en wegvervoer, inclusief logistieke dienstverleners
  • Bankwezen: kredietinstellingen en financiële dienstverleners
  • Financiële marktinfrastructuur: exploitanten van handelsplatformen en centrale tegenpartijen
  • Gezondheidszorg: ziekenhuizen, laboratoria, fabrikanten van medische hulpmiddelen en farmaceutische bedrijven
  • Drinkwater: leveranciers en distributeurs van drinkwater
  • Afvalwater: organisaties die afvalwater inzamelen, lozen of behandelen
  • Digitale infrastructuur: datacenters, cloudproviders, DNS-dienstverleners en elektronische communicatienetwerken
  • ICT-dienstverlening B2B: managed service providers en managed security service providers
  • Overheid: centrale overheden en regionale overheden met kritieke functies
  • Ruimtevaart: exploitanten van grondinfrastructuur voor ruimtevaartdiensten

Deze sectoren worden als essentieel beschouwd omdat uitval of verstoring directe en ernstige gevolgen kan hebben voor de openbare veiligheid, volksgezondheid of economische stabiliteit.

Welke belangrijke sectoren moeten ook voldoen aan NIS2?

Naast de essentiële sectoren definieert Bijlage II van de NIS2-richtlijn zeven belangrijke sectoren. Organisaties in deze sectoren moeten eveneens aan de NIS2-verplichtingen voldoen, maar vallen onder een lichter toezichtregime.

De belangrijke sectoren zijn:

  • Post- en koeriersdiensten: aanbieders van postdiensten en pakketbezorging
  • Afvalbeheer: bedrijven die afval inzamelen, verwerken of recyclen
  • Chemische industrie: producenten en distributeurs van chemische stoffen
  • Levensmiddelen: groothandelaren, distributeurs en producenten van voedingsmiddelen
  • Vervaardiging: fabrikanten van medische hulpmiddelen, computers, elektronica, machines en motorvoertuigen
  • Digitale aanbieders: online marktplaatsen, zoekmachines en sociale netwerkplatforms
  • Onderzoek: onderzoeksorganisaties met kritieke onderzoeksresultaten

Het verschil in toezicht tussen essentiële en belangrijke entiteiten zit vooral in de intensiteit. Essentiële entiteiten worden proactief gecontroleerd, terwijl belangrijke entiteiten reactief worden gecontroleerd, bijvoorbeeld na een incident of melding.

Hoe weet je of jouw organisatie onder NIS2 valt?

Of jouw organisatie onder NIS2 valt, hangt af van twee criteria: de sector waarin je actief bent én de omvang van je organisatie. De richtlijn hanteert duidelijke drempelwaarden om te bepalen welke organisaties binnen het toepassingsgebied vallen.

De omvangscriteria zijn als volgt:

  • Middelgrote organisaties: minimaal 50 werknemers óf een jaaromzet van meer dan 10 miljoen euro
  • Grote organisaties: minimaal 250 werknemers óf een jaaromzet van meer dan 50 miljoen euro

Er zijn uitzonderingen waarbij kleinere organisaties toch onder NIS2 kunnen vallen. Dit geldt voor aanbieders van DNS-diensten, TLD-naamregisters en aanbieders van elektronische communicatienetwerken en vertrouwensdiensten, ongeacht hun omvang.

Om te bepalen of jouw organisatie binnen de scope valt, doorloop je de volgende stappen:

  1. Controleer of je activiteiten vallen binnen een van de achttien sectoren
  2. Beoordeel of je organisatie voldoet aan de omvangscriteria
  3. Ga na of je als uitzonderingscategorie wordt aangemerkt
  4. Bepaal of je als essentiële of belangrijke entiteit wordt geclassificeerd

Wat zijn de belangrijkste NIS2-verplichtingen per sector?

De kernverplichtingen onder NIS2 gelden voor alle sectoren, ongeacht of een organisatie als essentieel of belangrijk wordt geclassificeerd. Het verschil zit vooral in de intensiteit van toezicht en de hoogte van mogelijke sancties bij non-compliance.

De belangrijkste verplichtingen omvatten:

  • Risicobeheermaatregelen: het implementeren van passende technische en organisatorische maatregelen om cybersecurityrisico’s te beheersen
  • Incidentmelding: significante incidenten binnen 24 uur melden aan de bevoegde autoriteit, gevolgd door een gedetailleerde rapportage
  • Supply chain security: het beoordelen en beheersen van risico’s in de toeleveringsketen
  • Business continuity: het opstellen en testen van continuïteitsplannen
  • Crisismanagement: procedures voor het omgaan met cybersecurityincidenten

Het bestuur stelt het beveiligingsbeleid vast, herziet dit periodiek en borgt dat personeel op de hoogte is en handelt in overeenstemming met het beleid. Organisaties moeten voor 1 juli 2026 compliant zijn om boetes en andere sancties te voorkomen.

Hoe bereid je jouw organisatie voor op NIS2-compliance?

Een gedegen voorbereiding op NIS2 vraagt om een gestructureerde aanpak. Gezien de complexiteit van de implementatie en de naderende deadline is het verstandig om tijdig te starten. Een nulmeting vormt daarbij een belangrijke eerste stap om te beoordelen hoe goed jouw organisatie voorbereid is op de nieuwe eisen.

De volgende stappen helpen bij een pragmatische voorbereiding:

  • Gapanalyse uitvoeren: breng in kaart waar je organisatie staat ten opzichte van de NIS2-vereisten
  • Inventarisatie van IT-middelen: maak een overzicht van alle IT-middelen die nodig zijn voor je dienstverlening
  • Risicobeoordeling opstellen: identificeer en beoordeel cybersecurityrisico’s voor je organisatie
  • Beveiligingsmaatregelen implementeren: neem passende maatregelen op basis van de geïdentificeerde risico’s
  • Incidentresponsprocedures ontwikkelen: stel procedures op voor het detecteren, melden en afhandelen van incidenten
  • Documentatie op orde brengen: zorg voor aantoonbare naleving door adequate vastlegging

Betrek de volledige organisatie bij de implementatie. In de praktijk zijn vooral IT-medewerkers bezig met cybersecurity, maar organisaties die zich echt willen wapenen tegen hackers, moeten een stap extra zetten. Alle medewerkers moeten zich bewust zijn van de gevaren en weten hoe ze een hack kunnen voorkomen.

Hoe helpt Hoek en Blok IT bij NIS2-compliance voor jouw sector?

Hoek en Blok IT ondersteunt organisaties in alle NIS2-sectoren bij het bereiken van compliance. Met NOREA-gecertificeerde EDP-auditors en een pragmatische aanpak helpt het bureau bij zowel de technische als organisatorische aspecten van NIS2-implementatie.

De dienstverlening omvat:

  • NIS2-nulmeting: een scan van je IT-infrastructuur, processen en beveiligingsbeleid om de huidige status te bepalen
  • IT-audits en gapanalyses: identificatie van verbeterpunten ten opzichte van NIS2-vereisten
  • Securityassessments en penetratietests: technische toetsing van je beveiliging door ethical hackers
  • ISAE 3000/3402-verklaringen: ondersteuning bij het verkrijgen van assuranceverklaringen
  • IT Security Officer as-a-Service: doorlopende ondersteuning voor compliancebewaking en -verbetering
  • Awarenesscampagnes: vergroten van het beveiligingsbewustzijn binnen je organisatie

Wil je weten hoe jouw organisatie ervoor staat en welke stappen nodig zijn voor NIS2-compliance? Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe je pragmatisch en betaalbaar aan de slag kunt met de voorbereidingen.