DORA voor financiële instellingen
Sinds 17 januari 2025 moeten financiële instellingen voldoen aan de Digital Operational Resilience Act (DORA). De Europese verordening moet ervoor zorgen dat banken, verzekeraars en andere financiële organisaties beter bestand zijn tegen cyberaanvallen en ICT-verstoringen. Maar wie denkt dat DORA alleen draait om technische beveiligingsmaatregelen, heeft het volgens Kirsten, security consultant bij Nestor Security, mis. “DORA gaat veel verder dan cybersecurity alleen,” vertelt zij. “Het draait juist om governance, beleid, crisismanagement en de samenwerking met leveranciers.”Â
Digitale weerbaarheid centraal
Met DORA wil de Europese Unie de digitale weerbaarheid van de financiële sector vergroten. Organisaties moeten niet alleen maatregelen nemen om cyberaanvallen zoveel mogelijk te voorkomen, maar ook incidenten detecteren, erop reageren, herstellen en de impact beperken. De verordening vertoont overeenkomsten met de NIS2-richtlijn, die de digitale weerbaarheid van vitale en belangrijke sectoren moet versterken. Waar NIS2 een brede doelgroep heeft, richt DORA zich specifiek op de financiële sector en bevat de wet gedetailleerde eisen voor ICT-risicobeheer.
Meer dan een technisch vraagstuk
Volgens Kirsten onderschatten veel organisaties de impact van de nieuwe regelgeving. “Veel bedrijven denken dat ze alleen hun cybersecurity moeten aanscherpen, maar DORA vraagt veel meer. Het gaat ook om beleid, rapportages, oefeningen en crisismanagement.” Zo moeten organisaties beschikken over een gedocumenteerd proces voor het registreren, beoordelen en afhandelen van ICT-incidenten. In de praktijk maken incidentrespons- en herstelplannen daar vaak onderdeel van uit. Die plannen mogen bovendien niet in een la verdwijnen: organisaties moeten het regelmatig oefenen en testen. Daarbij worden niet alleen IT-medewerkers betrokken, maar ook bestuurders en andere sleutelfiguren binnen de organisatie. “Men moet de juiste mensen bij elkaar krijgen om scenario’s te oefenen. Uiteindelijk raakt zo’n incident de hele organisatie.”
Leveranciers spelen een sleutelrol
Een belangrijk onderdeel van DORA is het beheersen van risico’s bij externe ICT-leveranciers. Financiële instellingen zijn steeds afhankelijker geworden van softwareleveranciers, cloudproviders en andere IT-partners. Een storing of beveiligingsincident bij één leverancier kan daardoor grote gevolgen hebben voor meerdere organisaties tegelijk. “Alles is met elkaar verbonden. Juist daarom is leveranciersmanagement zo belangrijk geworden. Organisaties moeten daarom niet alleen hun eigen beveiliging op orde hebben, maar ook de risico’s van leveranciers in kaart brengen, contractuele afspraken maken en voorbereid zijn op uitval van een leverancier.â€
Oefenen en melden
DORA verplicht organisaties bovendien om ernstige ICT-incidenten volgens vaste procedures aan de toezichthouder te melden. Daarnaast moeten zij hun digitale weerbaarheid regelmatig testen. Voor grotere en risicovollere instellingen kunnen deze tests bestaan uit realistische aanvalsscenario’s waarbij wordt nagegaan hoe goed de organisatie bestand is tegen een gerichte cyberaanval. Organisaties die niet aan de verplichtingen voldoen, kunnen afhankelijk van de bevoegde nationale toezichthouder, te maken krijgen met handhavende maatregelen of sancties.
ISO 27001 als vertrekpunt
Voor organisaties die nog aan het begin staan van hun DORA-traject kan een bestaand informatiebeveiligingsmanagementsysteem een goede basis vormen. “ISO 27001 is een mooie eerste stap,” zegt Kirsten. “Daarmee heb je al veel beveiligingsmaatregelen en processen ingericht. ISO 27001 biedt daarmee een solide uitgangspunt, maar is op zichzelf niet voldoende om volledig aan DORA te voldoen. De verordening stelt aanvullende eisen, onder meer op het gebied van ICT-risicobeheer, leveranciersmanagement, incidentrapportage en het testen van de digitale operationele weerbaarheid.” Welke aanvullende maatregelen nodig zijn, hangt onder meer af van de grootte van de organisatie en de risico’s die zij loopt.
Een organisatiebrede verantwoordelijkheid
Hoewel IT-afdelingen een belangrijke rol spelen bij de implementatie van DORA, ligt de verantwoordelijkheid veel breder. Bestuur, compliance, riskmanagement en andere afdelingen moeten samenwerken om aan de eisen te voldoen. “Het vraagt misschien het meeste van IT, maar uiteindelijk raakt het de hele organisatie.” Juist dat maakt DORA volgens Kirsten anders dan veel organisaties vooraf verwachten: niet de techniek staat centraal, maar de manier waarop een organisatie zich voorbereidt op digitale verstoringen, daarop reageert en de continuïteit van haar dienstverlening waarborgt.
Benieuwd naar wat DORA voor u betekent? Neem contact op!