Hoe bereid je je voor op DORA?

DORA-voorbereiding vraagt om een gestructureerde aanpak van ICT-risicomanagement, incidentmelding, weerbaarheidstesten en leveranciersbeheer. De Digital Operational Resilience Act is sinds 17 januari 2025 van toepassing op financiële instellingen en hun kritieke ICT-dienstverleners. Een effectieve voorbereiding begint met een gap-analyse, gevolgd door het inrichten van governance, het opstellen van beleidsdocumentatie en het herzien van leverancierscontracten. Dit artikel beantwoordt de belangrijkste vragen over DORA-compliance.

Wat is DORA en voor wie geldt deze wetgeving?

DORA (Digital Operational Resilience Act) is een Europese verordening die financiële instellingen verplicht hun digitale operationele weerbaarheid te versterken. De wetgeving beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken. Als verordening is DORA rechtstreeks van toepassing in alle EU-lidstaten, zonder omzetting in nationale wetgeving.

De wetgeving geldt voor een breed scala aan organisaties binnen de financiële sector:

• Banken en kredietinstellingen
• Verzekeraars en herverzekeraars
• Beleggingsondernemingen en fondsbeheerders
• Betalingsinstellingen en elektronische geldinstellingen
• Pensioenfondsen
• Kritieke ICT-dienstverleners aan deze instellingen

Belangrijk is dat DORA ook van toepassing is op kritieke derde dienstverleners die IT-diensten leveren aan financiële instellingen. Dit omvat cloudcomputingproviders, softwareleveranciers en datacenters. Deze organisaties moeten eveneens voldoen aan DORA-vereisten wanneer zij diensten verlenen aan de financiële sector. Veel organisaties worden indirect geraakt via ketens, moedermaatschappijen of dienstverlening, wat regelmatig leidt tot vragen over de exacte scope.

Welke eisen stelt DORA aan ICT-risicomanagement?

DORA stelt zes hoofdvereisten aan financiële instellingen voor digitale operationele weerbaarheid. Organisaties moeten een IT-risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit kader vormt de basis voor alle andere DORA-verplichtingen.

De zes pijlers van DORA zijn:

• Governance: inrichting van een IT-risicobeheerkader met duidelijke verantwoordelijkheden op bestuursniveau
• ICT-risicobeheer: regelmatige risicobeoordelingen om systemen en data veilig te houden
• ICT-gerelateerde incidenten: snelle opsporing en melding van IT-incidenten
• Testen van digitale weerbaarheid: regelmatige tests om de operationele veerkracht te toetsen
• Beheer van ICT-risico’s bij derde partijen: strikt beheer van IT-dienstverleners
• Informatie-uitwisseling: actief delen van cyberdreigingsinformatie binnen de sector

DORA vraagt nadrukkelijk om aantoonbaarheid, niet alleen beleid. Organisaties moeten kunnen laten zien dat zij daadwerkelijk in control zijn. Bestuurlijke verantwoordelijkheid en de inrichting van een secondlinefunctie zijn hierbij cruciaal. Veel organisaties denken DORA op orde te hebben, maar worstelen juist met de details en het leveren van bewijs.

Hoe meld je een ICT-incident volgens DORA?

DORA verplicht financiële instellingen om ernstige ICT-incidenten te melden bij de toezichthouder. De meldingsplicht omvat een gefaseerd rapportageproces met specifieke tijdlijnen. Snelle detectie en rapportage zijn essentieel om schade te beperken en reputatieschade te voorkomen.

Het meldingsproces kent drie fasen:

• Initiële melding: binnen vier uur na classificatie als ernstig incident
• Tussentijdse rapportage: binnen 72 uur met aanvullende informatie over impact en herstelmaatregelen
• Eindrapport: binnen één maand na het incident met een volledige analyse en leerpunten

De classificatie van incidenten gebeurt op basis van criteria zoals het aantal getroffen klanten, de duur van de verstoring, de geografische spreiding en de financiële impact. Een incident wordt als ernstig beschouwd wanneer het meerdere van deze criteria overschrijdt.

De DORA-meldingsplicht verschilt van de AVG-meldingsplicht voor datalekken. Bij de AVG gaat het specifiek om persoonsgegevens, terwijl DORA breder kijkt naar operationele verstoringen van ICT-systemen. In de praktijk kan één incident beide meldingsplichten activeren, waardoor organisaties parallelle procedures moeten volgen.

Welke testen zijn verplicht onder DORA?

DORA verplicht financiële instellingen tot regelmatige weerbaarheidstesten van hun ICT-systemen en -processen. Deze testen moeten minimaal jaarlijks plaatsvinden en omvatten vulnerability assessments, penetratietesten en scenariotesten. De resultaten vormen input voor het verbeteren van de digitale weerbaarheid.

Het testprogramma moet minimaal bevatten:

• Vulnerabilityscans en -assessments
• Penetratietesten op kritieke systemen
• Scenariotesten voor incidentrespons
• Business continuity- en disaster recovery-tests

Voor grotere, systeemrelevante financiële instellingen geldt een aanvullende verplichting: threat-led penetration testing (TLPT). Deze geavanceerde tests simuleren realistische cyberaanvallen op basis van actuele dreigingsinformatie. TLPT moet minimaal elke drie jaar worden uitgevoerd door gekwalificeerde, onafhankelijke testers.

Alle testresultaten moeten worden gedocumenteerd, inclusief gevonden kwetsbaarheden en genomen herstelmaatregelen. De toezichthouder kan deze documentatie opvragen om te beoordelen of de organisatie voldoende weerbaar is tegen digitale dreigingen.

Hoe beheer je risico’s bij uitbesteding aan ICT-leveranciers?

Derdenbeheer onder DORA vereist dat financiële instellingen strikt beheer voeren over hun ICT-dienstverleners. Organisaties moeten risico’s die zijn verbonden aan de uitbesteding van kritieke IT-functies beoordelen en beheersen. Dit geldt ook wanneer zij afhankelijk zijn van externe partijen voor essentiële diensten.

De verplichtingen rondom leveranciersbeheer omvatten:

• Register van uitbestedingsovereenkomsten: een actueel overzicht van alle ICT-dienstverleners en de aard van de dienstverlening
• Due diligence: grondige beoordeling van leveranciers voorafgaand aan contractering
• Contractuele bepalingen: specifieke afspraken over beveiliging, beschikbaarheid, auditmogelijkheden en exitstrategieën
• Doorlopend toezicht: monitoring van leveranciersprestaties en naleving van afspraken

Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. Contracten moeten expliciet vastleggen hoe de leverancier bijdraagt aan de digitale weerbaarheid en welke rapportageverplichtingen gelden.

Europese toezichthouders kunnen bepaalde ICT-dienstverleners aanwijzen als kritiek voor de financiële sector. Deze kritieke dienstverleners komen onder direct toezicht te staan en moeten aan aanvullende eisen voldoen. Dit heeft directe gevolgen voor de contractuele relatie met afnemers.

Wat zijn de eerste stappen om DORA-compliant te worden?

Een effectieve DORA-voorbereiding begint met een nulmeting of gap-analyse. Deze analyse brengt in kaart waar de organisatie staat ten opzichte van de DORA-vereisten en welke verbeteringen nodig zijn. Dit vormt de basis voor een realistisch implementatieplan.

De praktische roadmap voor DORA-compliance omvat:

• Gap-analyse uitvoeren: vaststellen welke vereisten al zijn ingevuld en waar hiaten bestaan
• Governancestructuur inrichten: verantwoordelijkheden beleggen op bestuursniveau en secondlinefuncties inrichten
• Beleidsdocumentatie opstellen: ICT-risicobeleid, incidentmanagementprocedures en testplannen formaliseren
• Contracten herzien: bestaande leveranciersovereenkomsten toetsen aan DORA-vereisten en waar nodig aanpassen
• Testprogramma opzetten: een jaarlijkse planning voor vulnerability assessments en penetratietesten opstellen
• Aantoonbaarheid organiseren: documentatie en bewijsvoering structureel inrichten

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. De betrokkenheid van bestuur en compliancefuncties is essentieel voor een succesvolle implementatie. Assurance, bijvoorbeeld via een ISAE 3000-verklaring, kan een effectieve manier zijn om naleving aantoonbaar te maken richting toezichthouders en ketenpartners.

Hoe helpt Hoek en Blok IT bij DORA-voorbereiding?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie met een pragmatische en betaalbare aanpak. De combinatie van technische expertise en auditervaring zorgt voor concrete resultaten zonder onnodige administratieve lasten.

De dienstverlening voor DORA-compliance omvat:

• Gap-analyses en nulmetingen: grondige beoordeling van de huidige situatie ten opzichte van DORA-vereisten
• Penetratietesten en securityassessments: uitvoering van verplichte weerbaarheidstesten door NOREA-gecertificeerde professionals
• Ondersteuning bij incidentmanagement: het opzetten van procedures voor detectie, classificatie en melding van ICT-incidenten
• IT Security Officer as a Service: doorlopende ondersteuning bij compliance en risicobeheersing
• ISAE 3000- en ISAE 3402-verklaringen: assurancerapportages voor aantoonbare naleving

Neem contact op voor een vrijblijvend gesprek over de DORA-voorbereiding van uw organisatie. Samen bepalen we welke stappen prioriteit hebben en hoe u efficiënt kunt voldoen aan de vereisten.