Digital Operational Resilience Act (DORA)

De Digital Operational Resilience Act (DORA) is een EU-verordening die uitgebreide ICT-risicobeheervereisten vaststelt voor de financiële sector. In werking vanaf 17 januari 2025, harmoniseert DORA de digitale veerkrachtnormen binnen de EU-lidstaten, zodat financiële entiteiten ICT-gerelateerde verstoringen kunnen weerstaan en ervan kunnen herstellen.

Wie moet voldoen aan DORA?

DORA is van toepassing op meer dan 20.000 financiële entiteiten binnen de EU, waaronder:

• Banken en kredietinstellingen
• Verzekerings- en herverzekeringsondernemingen
• Beleggingsondernemingen en handelsplatformen
• Betaalinstellingen en elektronischegeldinstellingen
• Aanbieders van crypto-activa-diensten
• Kritieke ICT-dienstverleners van derden (cloudproviders, datacenters, softwareleveranciers die financiële entiteiten bedienen)

Zowel grote instellingen als kleinere financiële entiteiten moeten voldoen aan de regels, hoewel er proportionaliteitsafwegingen gelden op basis van omvang, aard van de bedrijfsvoering en risicoprofiel.

Vijf pijlers van DORA

DORA structureert de vereisten in vijf belangrijke pijlers:

1. ICT-risicobeheer: Uitgebreide kaders voor het identificeren, beheren en mitigeren van ICT-risico's, inclusief governance, risicobeoordeling en bedrijfscontinuïteit
2. Incidentrapportage: Verplichte rapportage van grote ICT-gerelateerde incidenten aan toezichthouders binnen strikte termijnen (eerste melding, tussentijdse rapporten, definitieve analyse)
3. Testen van digitale operationele veerkracht: Regelmatige testprogramma's, waaronder kwetsbaarheidsbeoordelingen, scenarioanalyses en geavanceerde dreigingsgestuurde penetratietesten (TLPT) voor kritieke entiteiten
4. Risicobeheer van derden: Streng toezicht op ICT-dienstverleners, inclusief contractuele vereisten, due diligence, monitoring en exitstrategieën
5. Informatiedeling: Vrijwillige regelingen om cyberdreigingsinformatie en best practices te delen tussen financiële entiteiten

Belangrijke vereisten

Financiële entiteiten moeten verschillende verplichte mogelijkheden implementeren:

• ICT-risicobeheerkader: Gedocumenteerd beleid, procedures en controles die zijn afgestemd op de vijf pijlers
• Governance en verantwoordingsplicht: Toezicht op bestuursniveau, duidelijke rollen en verantwoordelijkheden, en betrokkenheid van het managementorgaan
• Veerkrachttesten: Jaarlijkse testprogramma's, waaronder TLPT voor significante entiteiten elke drie jaar
• Incidentclassificatie en -rapportage: Systemen om grote incidenten te detecteren, classificeren en binnen gespecificeerde termijnen te rapporteren
• Registers van derden: Bijhouden van uitgebreide gegevens van alle ICT-dienstverleners en contractuele regelingen
• Bedrijfscontinuïteit en rampenherstel: Plannen en mogelijkheden om de bedrijfsvoering tijdens verstoringen in stand te houden

Kritieke ICT-dienstverleners van derden

DORA introduceert een uniek toezichtskader voor kritieke ICT-dienstverleners van derden (TPP's). Deze dienstverleners worden geconfronteerd met:

• Direct toezicht door regelgevende instanties: Toezicht door Europese Toezichthoudende Autoriteiten (ESA's)
• Criteria voor aanwijzing: Gebaseerd op systeemrelevantie, vervangbaarheid en diensten aan meerdere financiële entiteiten
• Versterkte verplichtingen: Vereisten voor risicobeheer, incidentrapportage en veerkrachttesten

Als u cloud-, datacenter- of kritieke softwarediensten levert aan EU-financiële entiteiten, kunt u onder het TPP-regime van DORA vallen.

Hoe ISMS Copilot helpt

ISMS Copilot biedt uitgebreide ondersteuning voor naleving van DORA:

• Richtlijnen specifiek voor het raamwerk: Stel vragen over specifieke DORA-pijlers, artikelen of vereisten
• Beleidsgeneratie: Maak ICT-risicobeheerbeleid, incidentresponsprocedures en kaders voor het beheer van derden die geschikt zijn voor audits
• Gap-analyse: Upload bestaande documentatie om hiaten ten opzichte van DORA-vereisten te identificeren
• Risicobeoordelingen: Genereer ICT-risicobeoordelingen die zijn afgestemd op DORA voor systemen en relaties met derden
• Incidentresponsplanning: Ontwikkel incidentclassificatieschema's en rapportageworkflows
• Werkruimteorganisatie: Beheer DORA-projecten gescheiden van andere nalevingsinitiatieven

De AI beschikt over directe kennis van de structuur van DORA en de regelgevende technische standaarden (RTS), zodat u specifieke artikelen of pijlers in uw prompts kunt vermelden.

Aan de slag

Om te beginnen met DORA-nalevingswerk in ISMS Copilot:

1. Maak een speciale werkruimte voor DORA-naleving
2. Vraag de AI om specifieke pijlers of vereisten uit te leggen die relevant zijn voor uw organisatietype
3. Genereer basisbeleid voor ICT-risicobeheer en incidentrespons
4. Upload bestaand ICT-beleid voor gap-analyse
5. Ontwikkel een register van derden en een risicobeoordelingsproces met behulp van AI-begeleiding

Gerelateerde bronnen

• Officiële DORA-verordeningstekst: EUR-Lex
• Begeleiding en regelgevende technische standaarden van de Europese Toezichthoudende Autoriteiten (ESA's)