Wat zijn de principes van DORA?
De Digital Operational Resilience Act (DORA) rust op vijf kernprincipes die samen de digitale weerbaarheid van financiële instellingen waarborgen: ICT-risicomanagement, incidentrapportage, testen van digitale weerbaarheid, beheer van ICT-risico’s bij derden en informatie-uitwisseling. Deze Europese verordening is per 17 januari 2025 van toepassing en verplicht organisaties in de financiële sector hun netwerk- en informatiesystemen beter te beveiligen tegen cyberaanvallen en operationele verstoringen.
Wat is DORA en waarom is het belangrijk voor jouw organisatie?
DORA is een Europese verordening die financiële instellingen en hun IT-dienstverleners verplicht hun digitale operationele weerbaarheid te versterken. De wet beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken. Organisaties hadden sinds januari 2023 de tijd om zich voor te bereiden op volledige compliance per januari 2025.
De wetgeving is ontstaan als reactie op de toenemende cyberdreigingen en de groeiende digitale afhankelijkheid in de financiële sector. DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie en concurrentie stimuleert terwijl risico’s worden beperkt.
Onder DORA vallen diverse financiële instellingen, waaronder:
- Banken en kredietinstellingen
- Verzekeraars en herverzekeraars
- Beleggingsondernemingen en fondsbeheerders
- Betaaldienstverleners en elektronische geldinstellingen
- Kritieke IT-dienstverleners aan deze instellingen
De verordening creëert een uniform beschermingsniveau binnen de Europese financiële sector. Dit vermindert versnippering en dubbele regels door heldere, uniforme eisen in heel Europa te stellen.
Wat zijn de 5 kernprincipes van DORA?
DORA is opgebouwd rond vijf pijlers die samen een robuust kader vormen voor digitale weerbaarheid. Elk principe adresseert een specifiek aspect van ICT-risicobeheer en operationele continuïteit binnen financiële organisaties.
1. ICT-risicomanagement
Snelle opsporing en melding van IT-incidenten is verplicht om schade te beperken en reputatieschade te voorkomen. Ernstige incidenten moeten binnen vastgestelde termijnen aan toezichthouders worden gemeld.
3. Testen van digitale operationele weerbaarheid
Strikt beheer van IT-dienstverleners is vereist om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen.
5. Informatie-uitwisseling
Alle financiële instellingen moeten jaarlijks basistesten uitvoeren op hun kritieke ICT-systemen. Dit omvat kwetsbaarheidsscans, scenariotesten en tests van back-up- en herstelprocedures.
Geavanceerde testen (TLPT)
Grote en systeemrelevante instellingen moeten daarnaast threat-led penetration testing (TLPT) uitvoeren. Deze geavanceerde ethische hacktests simuleren realistische aanvalsscenario’s en moeten minimaal elke drie jaar plaatsvinden. TLPT-testen mogen alleen worden uitgevoerd door gekwalificeerde testers die voldoen aan specifieke eisen.
De testen moeten alle kritieke functies en systemen dekken, inclusief systemen die door externe dienstverleners worden beheerd.
Wat betekent DORA voor uitbesteding aan IT-leveranciers?
DORA stelt strikte eisen aan het beheer van ICT-risico’s bij derde partijen. Financiële instellingen blijven volledig verantwoordelijk voor hun digitale weerbaarheid, ook wanneer zij IT-diensten uitbesteden aan externe leveranciers.
De belangrijkste vereisten zijn:
- Register van uitbestedingen: een actueel overzicht van alle contractuele afspraken met IT-dienstverleners
- Due diligence: grondige beoordeling van leveranciers vóór het aangaan van contracten
- Contractuele waarborgen: overeenkomsten moeten specifieke bepalingen bevatten over beveiliging, audits en exitstrategieën
- Doorlopende monitoring: continue bewaking van de prestaties en risico’s van leveranciers
Kritieke ICT-dienstverleners, zoals cloudproviders en datacenters, komen onder direct toezicht van Europese toezichthouders te staan. Dit betekent dat ook deze leveranciers aan DORA-vereisten moeten voldoen wanneer zij diensten verlenen aan financiële instellingen.
Externe leveranciers moeten contractueel voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. Dit vereist aanpassing van bestaande contracten en een structurele aanpak van leveranciersbeheer.
Hoe helpt Hoek en Blok IT bij DORA-compliance?
Hoek en Blok IT ondersteunt organisaties bij elke stap van DORA-implementatie met een pragmatische, resultaatgerichte aanpak. De dienstverlening omvat:
- DORA-baselineassessment: een gestructureerd proces waarbij de scope gezamenlijk wordt bepaald, de effectiviteit van maatregelen wordt getoetst via interviews en documentatie-inspectie, en een helder rapport wordt opgeleverd met verbeterpunten én sterke punten
- IT-audits en assurancerapportages: ISAE 3000- en ISAE 3402-verklaringen, SOC 2-rapportages en ISO 27001-begeleiding door NOREA-gecertificeerde EDP-auditors
- Securityassessments en penetratietests: ethical hacking en TLPT-testen conform DORA-vereisten
- IT Security Officer as a Service: doorlopende ondersteuning bij ICT-risicomanagement en compliance
- Begeleiding bij ICT-risicobeheerkader: op maat gemaakte frameworks die voldoen aan DORA-normen en aansluiten bij jouw organisatie
De aanpak is gericht op het direct bieden van inzicht in verbetermogelijkheden, zonder lange doorlooptijden. Neem contact op voor een vrijblijvend adviesgesprek over jouw DORA-compliancetraject.
