DORA Nalevingsgids voor Financiële Entiteiten

Wat is DORA?

De Digital Operational Resilience Act (Verordening (EU) 2022/2554) is een EU-verordening die standaardiseert hoe financiële entiteiten ICT-risico's (Informatie- en Communicatietechnologie) beheren. DORA is gepubliceerd op 27 december 2022 en is van toepassing vanaf 17 januari 2025.

DORA zorgt ervoor dat banken, verzekeraars, beleggingsondernemingen en hun kritieke technologieleveranciers bestand zijn tegen, kunnen reageren op en kunnen herstellen van ICT-gerelateerde verstoringen en cyberdreigingen.

Wie moet voldoen aan DORA?

Financiële entiteiten (Artikel 2)

DORA is van toepassing op een breed scala aan financiële instellingen, waaronder:

• Kredietinstellingen (banken)

• Betalingsinstellingen en elektronischgeldinstellingen

• Beleggingsondernemingen en aanbieders van cryptoactivadiensten

• Verzekerings- en herverzekeringsondernemingen

• Pensioenfondsen

• Handelsplatforms en centrale tegenpartijen

• Kredietbeoordelingsbureaus

Derde ICT-dienstverleners

Kritieke ICT-dienstverleners (cloudplatforms, datacenters, beheerde beveiligingsdiensten) die door EU-autoriteiten zijn aangewezen, moeten ook voldoen aan het toezichtskader van DORA (Artikelen 28-30).

De vijf pijlers van DORA

1. ICT-risicobeheer (Artikelen 6-16)

U moet een uitgebreid kader voor ICT-risicobeheer opzetten dat het volgende omvat:

• Governance: Toezicht door het bestuur en management op ICT-risico's

• Bescherming: Beveiligingsbeleid, toegangscontroles, versleuteling

• Detectie: Continue monitoring en dreigingsinformatie

• Respons en herstel: Incidentbeheer en bedrijfscontinuïteitsplannen

• Leren: Evaluaties na incidenten en verbetercycli

Uw kader moet gedocumenteerd zijn, regelmatig worden geëvalueerd en proportioneel zijn aan de omvang en het risicoprofiel van uw organisatie.

2. Rapportage van incidenten (Artikelen 17-23)

DORA introduceert strikte tijdlijnen voor het rapporteren van ICT-gerelateerde incidenten aan bevoegde autoriteiten:

• Initiële melding: Binnen 4 uur na classificatie als ernstig incident

• Tussentijds rapport: Binnen 72 uur met een analyse van de hoofdoorzaak

• Eindrapport: Binnen één maand, inclusief herstelmaatregelen

3. Testen van digitale operationele veerkracht (Artikelen 24-27)

U moet uw ICT-systemen en veerkrachtcapaciteiten regelmatig testen:

• Algemeen testen: Kwetsbaarheidsbeoordelingen, penetratietesten, op scenario's gebaseerde tests

• Geavanceerd testen: Dreigingsgestuurde penetratietesten (TLPT) voor entiteiten die door autoriteiten zijn aangewezen

De testfrequentie en -omvang hangen af van uw risicoprofiel, waarbij TLPT ten minste elke drie jaar vereist is voor aangewezen entiteiten.

4. Beheer van ICT-risico's door derden (Artikelen 28-30)

DORA verplicht uitgebreid toezicht op derde ICT-dienstverleners, waaronder:

• Precontractuele beoordeling: Due diligence naar de capaciteiten en risico's van de leverancier

• Contractuele vereisten: Serviceniveaus, auditrechten, exitstrategieën, controles op uitbesteding

• Doorlopende monitoring: Prestaties bijhouden, nalevingsverificatie, beheer van concentratierisico's

• Exitstrategieën: Plannen om diensten zonder onderbreking over te dragen

5. Delen van informatie (Artikel 45)

Financiële entiteiten kunnen deelnemen aan regelingen om informatie over cyberdreigingen en best practices te delen. Deze regelingen moeten de vertrouwelijkheid beschermen en voldoen aan de wetgeving inzake gegevensbescherming.

Stappenplan voor implementatie

Stap 1: Bepaal uw reikwijdte

Bevestig of uw organisatie onder DORA valt. Bekijk Artikel 2 om de toepasselijke entiteitstypen te identificeren en raadpleeg uw nationale bevoegde autoriteit bij twijfel.

Stap 2: Voer een gap-analyse uit

Beoordeel uw huidige praktijken voor ICT-risicobeheer, incidentrespons, testen en toezicht op derden aan de hand van de DORA-vereisten. Identificeer hiaten in beleid, processen, documentatie en controles.

Stap 3: Bouw of update uw ICT-risicobebeerkader

Ontwikkel uitgebreid beleid en procedures die alle vijf pijlers bestrijken. Zorg dat governance op directie- en bestuursniveau aanwezig is en wijs duidelijke rollen en verantwoordelijkheden toe.

Stap 4: Stel incidentrapportageprocessen vast

Definieer rriteria voor incidentclassificatie, rapportageworkflows en escalatiepaden. Integreer deze met uw bestaande incidentbeheersystemen en train teams over de strikte tijdlijnen van DORA.

Stap 5: Plan uw testprogramma

Plan regelmatige veerkrachtests (kwetsbaarheidsscans, penetratietests, scenario-oefeningen). Als u bent aangewezen voor TLPT, schakel dan gekwalificeerde testers in en coördineer met de autoriteiten.

Stap 6: Beoordeel afspraken met derden

Maak een inventaris van alle derde ICT-dienstverleners. Herzie contracten om ervoor te zorgen dat ze DORA-conforme clausules bevatten (auditrechten, exit-bepalingen, transparantie over uitbesteding). Beoordeel het concentratierisico en ontwikkel mitigatiestrategieën.

Stap 7: Documenteer alles

DORA vereist uitgebreide documentatie: risicoregisters, incidentlogboeken, testrapporten, contracten en bestuursnotulen. Houd dossiers bij die klaar zijn voor audits om naleving aan te tonen.

Stap 8: Train uw teams

Zorg ervoor dat IT-, beveiligings-, risico-, compliance- en managementteams de DORA-vereisten en hun verantwoordelijkheden begrijpen. Voer regelmatig trainingen en simulaties uit.

DORA en andere kaders

DORA vult andere regelgeving en standaarden aan en overlapt hiermee:

• NIS2-richtlijn: DORA richt zich op ICT-veerkracht voor financiële entiteiten, terwijl NIS2 betrekking heeft op kritieke infrastructuur in verschillende sectoren. Financiële entiteiten die onder beide vallen, moeten de naleving coördineren.

• ISO 27001: De pijler ICT-risicobeheer van DORA sluit aan bij de ISO 27001-controles. Een ISO 27001-gecertificeerd ISMS kan DORA-naleving ondersteunen, maar dekt niet alle vereisten (bijv. tijdlijnen voor incidentrapportage).

• AVG (GDPR): De incidentrapportage en het toezicht op derden onder DORA moeten de AVG-regels inzake gegevensbescherming en meldingen van datalekken respecteren.

Koppel DORA-vereisten aan uw bestaande kaders om dubbel werk te voorkomen en eerdere inspanningen te benutten.

Veelvoorkomende uitdagingen

Strakke tijdlijnen voor incidentrapportage

De termijn van 4 uur voor de initiële melding is ambitieus. Automatiseer detectie en classificatie waar mogelijk en zorg voor 24/7 incidentresponscapaciteiten.

Heronderhandeling van contracten met derden

Veel bestaande contracten missen DORA-conforme clausules. Begin vroegtijdig met heronderhandelingen en geef prioriteit aan kritieke leveranciers.

TLPT-coördinatie

Geavanceerd testen vereist coördinatie met toezichthouders en gekwalificeerde testers. Plan ruim van tevoren als u bent aangewezen voor TLPT.

Beheer van concentratierisico's

Het identificeren en beperken van overmatige afhankelijkheid van specifieke leveranciers of technologieën vereist diepgaand inzicht in de toeleveringsketen. Voer een grondige analyse van afhankelijkheden uit.

Sancties bij niet-naleving

Nationale bevoegde autoriteiten handhaven DORA met sancties voor overtredingen, waaronder:

• Boetes tot 2% van de totale wereldwijde jaaromzet

• Publieke waarschuwingen en reputatieschade

• Schorsing van activiteiten of intrekking van de vergunning in ernstige gevallen

Sancties zijn proportioneel aan de ernst en de duur van de niet-naleving.

Versnel DORA-naleving met ISMS Copilot

ISMS Copilot is een AI-assistent die speciaal is gebouwd voor nalevingskaders zoals DORA. Het helpt u met:

• Gap-analyses uitvoeren: Upload uw bestaande beleid of risicobeoordelingen en vraag Copilot om hiaten te identificeren ten opzichte van de vijf pijlers van DORA.

• Conform beleid genereren: Gebruik vooraf ingestelde prompts om ICT-risicobeheerbeleid, incidentclassificatieprocedures en risicokaders voor derden te creëren die in lijn zijn met DORA-artikelen 6, 17 en 28.

• Mapping naar andere kaders: Vraag hoe DORA-vereisten zich verhouden tot ISO 27001, NIS2 of NIST CSF om naleving van meerdere kaders te stroomlijnen.

• Voorbereiden op audits: Genereer checklists, bewijslijsten en mappings van controles voor inspecties door toezichthouders.

Voorbeeldvragen voor ISMS Copilot:

• "Is DORA van toepassing op mijn betalingsinstelling?"

• "Genereer een ICT-risicobeheerbeleid voor DORA Artikel 6."

• "Wat zijn de tijdlijnen voor incidentrapportage onder DORA Artikel 19?"

• "Maak een sjabloon voor risicobeoordeling van derden voor DORA Artikel 30."

ISMS Copilot maakt gebruik van praktijkervaring in consultancy en officiële regelgevende teksten om nauwkeurige, audit-ready begeleiding te bieden — zonder de hallucinaties die gebruikelijk zijn bij algemene AI-tools.

Verken de bibliotheek met DORA-nalevingsprompts voor kant-en-klare sjablonen, of leer hoe ISMS Copilot risicomanagers ondersteunt met DORA en NIS2.

Aanvullende bronnen

• Officiële DORA-verordening (EU) 2022/2554

• Overzicht DORA-verordening en inhoudsopgave

• Bibliotheek met DORA-nalevingsprompts

• ISMS Copilot voor risicomanagers in gereguleerde sectoren (DORA/NIS2)