In december 2024, een maand voordat DORA van kracht werd, publiceerden de Europese toezichthoudende autoriteiten (ESA’s) de resultaten van een vrijwillige test van het Informatieregister. Bijna 1.000 financiële instellingen namen deel. Van de geanalyseerde registers slaagde slechts 6,5% voor alle 116 controles op gegevenskwaliteit. De oefening werd uitgevoerd op basis van ‘best effort’, en de helft van de overige registers faalde voor minder dan vijf controles, waardoor de ESA’s voorzichtig optimistisch waren. Toch was het meest voorkomende probleem veelzeggend: 86% van de fouten kwam neer op ontbrekende verplichte informatie.

Dit biedt een nuttig perspectief voor DORA als geheel. De regels zijn inmiddels goed begrepen. Wat bepalend is voor het verloop van een toezichtcyclus, is of de gegevens, processen en bewijs van een organisatie deze regels cyclus na cyclus kunnen bijhouden.

Wat is de DORA-verordening?

De DORA-verordening, officieel Verordening (EU) 2022/2554, vormt het EU-framework voor digitale operationele weerbaarheid in de financiële sector. De EU heeft deze verordening ingevoerd om de tot dan toe versnipperde nationale regelgeving inzake risico’s op het gebied van informatie- en communicatietechnologie (ICT) te harmoniseren, waarbij inconsistente verwachtingen zijn vervangen door één rechtstreeks toepasselijke verordening die in alle lidstaten geldt.

Cyberbeveiliging alleen is echter niet voldoende. DORA gaat over het vermogen van een organisatie om ICT-verstoringen te weerstaan, erop te reageren en zich ervan te herstellen, waardoor governance, bedrijfscontinuïteit en ICT-risicobeheer worden samengebracht in één verantwoordingsstructuur, in plaats van ze als afzonderlijke aandachtspunten te behandelen. Omdat DORA een verordening is en geen richtlijn, is deze rechtstreeks van toepassing. Er hoeft niet te worden gewacht op nationale wetgeving en er is geen ruimte voor een lidstaat om de vereisten af te zwakken.

Op wie is de DORA-verordening van toepassing?

Artikel 2 bepaalt het toepassingsgebied van DORA, dat rechtstreeks een breed scala aan financiële entiteiten omvat en indirect ook derde aanbieders van ICT-diensten raakt via de verplichtingen van die entiteiten zelf.

Sommige kleinere en minder onderling verbonden entiteiten, zoals kleine en niet-verweven beleggingsondernemingen, kunnen op grond van Artikel 16 een vereenvoudigd framework voor ICT-risicobeheer toepassen. De basisprincipes blijven echter van kracht: een gedocumenteerd framework, monitoring, bedrijfscontinuïteit en bewustwordingstraining.

Onder de derde aanbieders van ICT-diensten geldt voor een kleinere groep strengere regelgeving: kritieke derde aanbieders van ICT-diensten (CTPP’s), die individueel door de ESA’s worden aangewezen en onder direct toezicht op EU-niveau staan, in plaats van via de indirecte route die alle andere aanbieders volgen.

NIS 2 heeft betrekking op een even breed scala aan entiteiten in kritieke sectoren. Voor financiële entiteiten heeft DORA echter voorrang als het sectorspecifieke handboek voor ICT-risicobeheer en incidentmelding. ICT-aanbieders vormen een apart geval: zij kunnen op zichzelf onder NIS 2 vallen, terwijl zij financiële entiteiten bedienen die onder DORA vallen.

Wat zijn de vijf pijlers van de DORA-verordening?

De vijf pijlers vormen de structuur voor alle vereisten van DORA en zijn onderling sterker met elkaar verbonden dan op het eerste gezicht lijkt: een zwakke plek in de ene pijler komt vaak tot uiting als een tekortkoming in een andere.

ICT-risicobeheer

Financiële instellingen hebben een gedocumenteerd framework nodig voor het identificeren van, het beschermen tegen, het opsporen van, het reageren op en het herstellen van ICT-risico’s, en dit framework moet in de praktijk werken, niet alleen op papier. Het bestuursorgaan draagt hiervoor de eindverantwoordelijkheid. Het framework moet ook bepalen hoe ICT-risico’s van derden worden geïdentificeerd en gemonitord.

Beheer en melding van ICT-gerelateerde incidenten

Ernstige ICT-gerelateerde incidenten moeten worden ingedeeld aan de hand van geharmoniseerde criteria en in drie fasen aan de bevoegde autoriteit worden gemeld. De eerste kennisgeving moet plaatsvinden binnen vier uur nadat een incident als ernstig is aangemerkt, en uiterlijk 24 uur nadat men ervan op de hoogte is geraakt. Binnen 72 uur na de eerste kennisgeving volgt een tussentijds rapport, en binnen een maand na het laatste tussentijdse rapport een eindrapport.

Testen van digitale operationele weerbaarheid

Financiële entiteiten moeten testen of hun ICT-systemen en weerbaarheidsmaatregelen in de praktijk standhouden. Voor de meeste entiteiten betekent dit een regelmatig testprogramma. Entiteiten die door hun bevoegde autoriteit zijn aangewezen, moeten bovendien ten minste om de drie jaar dreigingsgestuurde penetratietests (TLPT) uitvoeren op live productiesystemen en op basis van reële dreigingsinformatie.

Risicobeheer met betrekking tot derde aanbieders van ICT-diensten

Voor veel organisaties is dit de meest veeleisende pijler. Financiële instellingen hebben contracten nodig die de door DORA voorgeschreven clausules bevatten, met betrekking tot onder meer auditrechten, gegevenslocatie en exitstrategieën, evenals een voortdurende beoordeling van het concentratierisico binnen hun leveranciersbestand.

Centraal staat het Informatieregister (RoI). Op grond van Artikel 28, lid 3, moeten financiële instellingen een register bijhouden en actueel houden van alle contractuele afspraken met derde aanbieders van ICT-diensten, in het gestandaardiseerde formaat zoals vastgelegd in de technische uitvoeringsnormen, en dit ter beschikking stellen aan hun bevoegde autoriteit. Toezichthouders verzamelen het register eenmaal per jaar, met 31 december als referentiedatum en nationale indieningstermijnen in het eerste kwartaal. Voor meer informatie over de inhoud van het register en hoe dit actueel te houden, zie onze pagina over het Informatieregister.

Uitwisseling van informatie en inlichtingen

DORA biedt financiële entiteiten ook de mogelijkheid om informatie en inlichtingen over cyberdreigingen met elkaar te delen, binnen vertrouwde gemeenschappen. Deelname is vrijwillig en het doel is de sector te helpen reageren op dreigingen die zelden beperkt blijven tot één organisatie.

Sancties en gevolgen van het niet naleven van de DORA-verordening

De handhaving vindt plaats via de bevoegde nationale autoriteiten, die rechtstreeks toezicht houden op financiële instellingen en de administratieve sancties en corrigerende maatregelen kunnen opleggen die elke lidstaat heeft vastgesteld. In tegenstelling tot de Algemene Verordening Gegevensbescherming (AVG) stelt de DORA-verordening geen EU-brede maximumboete vast voor financiële instellingen: Artikel 50 laat de bedragen over aan de nationale wetgeving. De handhaving beperkt zich ook niet tot boetes. Toezichtmaatregelen, opgelegde corrigerende maatregelen en nauwkeuriger toezicht zijn allemaal mogelijk, en voor veel organisaties kunnen de reputatie- en operationele kosten van langdurige aandacht van de toezichthouder zwaarder wegen dan de boete zelf.

Kritieke derde aanbieders van ICT-diensten vallen onder een geheel apart mechanisme. Zij staan onder direct toezicht op EU-niveau, niet via een nationale autoriteit. Als een aanbieder niet meewerkt met zijn leidende toezichthouder, bijvoorbeeld door informatieverzoeken onbeantwoord te laten, onderzoeken of inspecties te belemmeren, of door geen verslag uit te brengen over de door hen genomen corrigerende maatregelen, kan de leidende toezichthouder op grond van Artikel 35 periodieke dwangsommen opleggen. Deze worden dagelijks in rekening gebracht totdat de aanbieder aan de voorschriften voldoet, met een maximum van zes maanden, en kunnen oplopen tot 1 % van de gemiddelde dagelijkse wereldwijde omzet van de aanbieder in het voorgaande boekjaar. Bij het vaststellen van het bedrag houdt de leidende toezichthouder rekening met de ernst en de duur van de niet-naleving, of deze opzettelijk of uit onachtzaamheid plaatsvond, en in hoeverre de aanbieder heeft meegewerkt.

Aanbevelingen inzake toezicht werken anders. Als een aanbieder zich hier niet aan houdt, kan de leidende toezichthouder dit openbaar maken, en als laatste redmiddel kunnen de bevoegde autoriteiten financiële entiteiten verplichten het gebruik van de diensten van die aanbieder op te schorten of te beëindigen.

Hoe implementeert u DORA-compliance in de praktijk in?

Inzicht in de regelgeving en de dagelijkse toepassing ervan zijn twee verschillende zaken. Dit is de procedure die de meeste organisaties in de praktijk moeten doorlopen:

1. Bepaal het toepassingsgebied van DORA: Stel vast welke entiteitscategorie van toepassing is en of de vereenvoudigde regeling beschikbaar is.

2. Identificeer kritieke en belangrijke functies: De overige vereisten van DORA zijn hierop afgestemd, dus als u dit in een vroeg stadium goed in kaart brengt, voorkomt u later extra werk.

3. Breng ICT-activa en afhankelijkheden in kaart: Koppel systemen, leveranciers en bedrijfsfuncties aan elkaar voordat u de risico’s voor deze onderdelen gaat beoordelen.

4. Beoordeel het framework voor ICT-risicobeheer: Vergelijk wat er gedocumenteerd is met wat de Artikelen 5 tot en met 16 voorschrijven.

5. Stel workflows voor incidentbeheer op: Maak classificatie en rapportage onderdeel van een proces, niet van een document dat iemand pas opent als er iets misgaat.

6. Stel het Informatieregister op en onderhoud dit: Behandel het als levende operationele gegevens, niet als een jaarlijkse exportoefening.

7. Zet het programma voor weerbaarheidstesten op: Bepaal het toepassingsgebied, de planning en het bewijsmateriaal voor het testen op terugkerende basis, inclusief TLPT waar van toepassing.

8. Houd toezicht op en handhaaf compliance: Herzie al het bovenstaande naarmate leveranciers, systemen en toezichtsverwachtingen veranderen.

Stap 3 en 6 nemen doorgaans de meeste tijd in beslag, vooral omdat ze afhankelijk zijn van gegevens die verspreid zijn over inkoop, IT en bedrijfseenheden. Formalize brengt het framework voor ICT-risico's, de workflows voor incidenten, testschema's, het register van derde aanbieders en de bijbehorende controles op één plek samen, naast uw ISO 27001- en NIS 2-werkzaamheden, in plaats van dat deze verspreid zijn over spreadsheets en afzonderlijke tools. Het Informatieregister blijft actueel naarmate contracten en leveranciers veranderen, in plaats van dat het bij elke rapportagecyclus helemaal opnieuw moet worden opgebouwd.

Hoe Formalize DORA-compliance ondersteunt

Formalize is ontwikkeld voor het terugkerende onderdeel van DORA: het actueel houden van gegevens en bewijs tussen cycli door, in plaats van deze telkens opnieuw op te bouwen.

• Een Informatieregister dat actueel blijft. Leveranciers, contracten, ICT-diensten en bedrijfsfuncties blijven met elkaar verbonden, fouten worden bij invoer gemarkeerd en het register kan in het officiële formaat worden geëxporteerd. Meer hierover op de pagina Informatieregister.

• Een gratis RoI Validator. Deze voert 294 controles uit op alle 15 rapporten in het officiële formaat, zonder registratie, of u nu Formalize gebruikt of niet.

• Risico’s, incidenten en tests op één plek. Elk met aangewezen verantwoordelijken, deadlines en bewijs dat wordt toegevoegd naarmate het werk vordert.

• DORA in combinatie met ISO 27001, NIS 2 en de AVG, in hetzelfde systeem in plaats van afzonderlijke tools.

Meer dan 8.000 organisaties in heel Europa maken al gebruik van de producten van Formalize.

Waar kunt u de PDF met de DORA-verordening downloaden?

Voor de verordening zelf is EUR-Lex de officiële bron. Secundaire samenvattingen zijn nuttig ter oriëntatie, maar de tekst die in het Publicatieblad is gepubliceerd, is juridisch gezien de enige die telt.

De verordening alleen geeft echter geen volledig beeld. De 13 hierboven besproken RTS- en ITS-normen vullen de operationele details aan die DORA zelf niet specificeert, en richtsnoeren van de Europese toezichthoudende autoriteiten blijven verduidelijken hoe toezichthouders verwachten dat in de praktijk aan de vereisten wordt voldaan. Bij implementatie op basis van alleen de tekst van de verordening, zonder de ondersteunende technische normen, worden juist de details over het hoofd gezien waar toezichthouders als eerste naar zullen vragen.