De Digital Operational Resilience Act (DORA) van de Europese Unie bundelt de normen voor digitale beveiliging voor financiële entiteiten binnen de lidstaten. Die normen komen vooral tot uiting in de belangrijkste initiatieven van het kader, ook wel de 5 pijlers van DORA genoemd:
- ICT-risicobeheer
- Incidentrapportage
- Testen van digitale operationele weerbaarheid
- Beheer van risico’s van derden
- Informatie-uitwisseling
DORA vormt een aanvulling op de aangescherpte Network and Information Security 2-richtlijn (NIS2). Anders dan NIS2 is DORA echter een afdwingbare verordening, vergelijkbaar met de GDPR van de EU. Werkt u in de IT- of financiële sector? Dan leest u hier alles wat u moet weten over de cybersecurity-eisen van DORA.
De 5 pijlers van de DORA-verordening
Financiële instellingen staan bekend om hun complexe IT-infrastructuur. Die technologieën stellen organisaties in staat om prestaties en beveiligingsmaatregelen op nieuwe manieren te optimaliseren, maar vragen ook om robuustere oplossingen voor risicobeheer.
DORA wil die hiaten dichten met een reeks eisen die het niveau van de informatie- en communicatietechnologie (ICT) in de hele financiële sector optrekt. De filosofie en visie van DORA laten zich samenvatten in de volgende pijlers:
-
ICT-risicobeheer
IT-risicobeheer vormt de hoeksteen van het DORA-kader. Het omvat de strategieën, het beleid en de tools die nodig zijn om gegevens en assets te beschermen tegen ingrijpende ICT-uitdagingen.
Deze pijler zorgt ervoor dat financiële instellingen en diverse belanghebbenden ICT-gerelateerde kwetsbaarheden snel en nauwkeurig monitoren, beoordelen en indammen. Hij bepaalt ook hoe zij dergelijke incidenten rapporteren en erop reageren. Financiële ondernemingen en de door hen ingeschakelde externe dienstverleners moeten voorbereid zijn op regelmatige beveiligingsaudits en -beoordelingen.
IT-verantwoordelijken moeten een volwaardig kader voor ICT-risicobeheer opzetten om aan de compliance-eisen van DORA te voldoen. Dat kan betekenen dat u bestaande protocollen benut en bepaalde doelstellingen en rollen binnen de organisatie opnieuw definieert. Een gedegen actieplan bevat een proactieve en consistente aanpak van risicobeheer.
-
Rapportage van ICT-gerelateerde incidenten
Onder DORA moeten organisaties samenwerken met de bevoegde autoriteiten om grote ICT-incidenten aan te pakken.
Incidenten moeten daarnaast onmiddellijk worden geclassificeerd op basis van hun impact en de mate waarin ze het serviceniveau kunnen verstoren. Ook moeten ze bij de bevoegde autoriteiten worden gemeld volgens de strikte meldtermijnen van DORA en met de standaardsjablonen.
Gezien de extra nadruk op ICT-incidentrapportage doen IT-verantwoordelijken er goed aan hun interne beoordelings- en documentatieprocedures te versterken. Automatisering is daarvoor een uitstekend middel.
Met automatisering kunt u een vollediger en beter verbonden plan voor risicobeheer uitvoeren. Om te beginnen helpt geavanceerde monitoringsoftware organisaties om potentiële problemen voor te blijven met realtime monitoring, dreigingsdetectie en respons. Tegelijkertijd versterkt deze moderne aanpak de praktijk rond back-up en herstel.
-
Testen van digitale operationele weerbaarheid
DORA pleit ook nadrukkelijk voor het regelmatig testen van maatregelen voor digitale weerbaarheid. Van organisaties wordt met andere woorden verwacht dat ze de impact van specifieke scenario’s en ingrijpende verstoringen op hun bedrijf analyseren. Grote instellingen kunnen daarbij verplicht worden uitgebreidere en frequentere testprotocollen te volgen.
IT-teams kunnen onder meer netwerkbeveiligingstests en uiteenlopende kwetsbaarheidsbeoordelingen inplannen. Voer daarnaast regelmatig dreigingsanalyses uit om hiaten in het proces op te sporen en bestaande beveiligingsmaatregelen en herstelplannen te versterken. Financiële entiteiten moeten externe ICT-partijen bovendien opnemen in hun trainingsprogramma’s rond cyberweerbaarheid, want ook dat hoort bij de eisen.
-
Beheer van ICT-risico’s van derden
Een van de cruciale onderdelen van het DORA-kader draait om het beheer van risico’s van derden en hun compliance.
In breder perspectief geeft dit concreet invulling aan de uitgebreide verantwoordelijkheid van financiële organisaties in de lidstaten om de ICT-bepalingen en -wetgeving van de EU na te leven.
Volgens deze richtlijn moeten financiële entiteiten ervoor zorgen dat contracten met externe ICT-dienstverleners, ook die buiten de EU, de verplichtingen en rechten van beide partijen duidelijk en nauwkeurig vastleggen. Ze moeten de compliance van die partijen ook monitoren en regelmatig beoordelen.
Financiële ondernemingen mogen voor hun kernfuncties en kritieke IT-infrastructuur niet sterk leunen op één enkele leverancier. Ze moeten dus zelf het initiatief nemen om hun IT-infrastructuur te diversifiëren en strikte protocollen te ontwikkelen om over de volle breedte compliant te blijven.
Externe ICT-dienstverleners die kern- of cruciale activiteiten ondersteunen, vallen bovendien onder direct toezicht van de betrokken Europese toezichthoudende autoriteiten (ESA’s).
-
Uitwisseling van informatie en dreigingsinformatie
Instellingen worden ook aangemoedigd om deel te nemen aan initiatieven voor informatie-uitwisseling en zo het niveau in de sector gezamenlijk op te krikken. Naast het verbeteren van het rapportageproces, de documentatie en de samenwerking tussen afdelingen binnen het bedrijf, doen ICT-medewerkers er goed aan de samenwerking met autoriteiten en externe dienstverleners te benutten.
Bekijk de belangrijkste begrippen in deze video: ‘Wat zijn de 5 pijlers van de DORA-verordening?’.
Wat DORA betekent voor bedrijven
DORA wil in de eerste plaats de IT-beveiliging en operationele weerbaarheid in de financiële sector versterken.
Dit initiatief richt zich vooral op banken en kredietinstellingen, beleggingsondernemingen, verzekeraars en aanbieders van betalingsdiensten.
Daarnaast kunnen cloudproviders en analytics-bedrijven die essentiële diensten voor financiële instellingen beheren, worden aangemerkt als kritieke externe aanbieders en onder vergelijkbaar strenge bepalingen en wetgeving vallen.
Om zich op de implementatie van DORA voor te bereiden, moeten organisaties begrijpen wat de reikwijdte en eisen van DORA voor henzelf en hun zakenpartners inhouden. Het helpt ook om samen te werken met externe dienstverleners die de richtlijnen van NIS2, GDPR en DORA al naleven.
Voor ICT-leiders en -medewerkers geldt: compliance is een proces, geen project. Aangepaste ICT-protocollen moeten meebewegen, zeker wanneer er nieuwe informatie beschikbaar komt. De aanpak moet doorlopend zijn en iedereen die erbij betrokken is, moet klaarstaan voor samenwerking en regelmatige training.
Beste praktijken om DORA-compliance te bereiken
Diversifieer uw IT-infrastructuur
Een robuuste IT-infrastructuur begint bij diversificatie. Dat kan op veel manieren, maar de meeste bedrijven kijken eerst naar het moderniseren van bepaalde componenten en naar IT Automation. Monitoring en onderhoud op afstand doen wonderen voor de efficiëntie en de beveiliging in realtime.
Versterk interne kanalen voor training en samenwerking tussen afdelingen
Hiaten in de ICT beperken zich niet tot de IT-afdeling. Het bedrijf heeft een holistische aanpak nodig om kwetsbaarheden op te sporen en protocollen te versterken. Communicatiekanalen die verschillende afdelingen en bedrijfsonderdelen met elkaar verbinden, zijn belangrijk om het bewustzijn en de compliance in de hele organisatie te vergroten.
Werk samen met externe belanghebbenden
De 5 pijlers van DORA onderstrepen het belang van samenwerking al en we leggen daar hier nog een schepje bovenop. Uw organisatie moet contact onderhouden met toezichthouders om de meest accurate en actuele uitleg van DORA te krijgen. Houd leveranciers aan dezelfde normen, zeker degenen die kritieke onderdelen van uw bedrijfsvoering bedienen. Betrek hen waar mogelijk bij trainingen over ICT en DORA.
Neem GRC op in uw strategie
GRC, oftewel Governance, Risk and Compliance, helpt uw personeelsbestand om DORA-compliance gezamenlijk te realiseren. In de kern haalt het GRC-kader de traditionele muren tussen bedrijfsonderdelen weg, ruimt het losstaande processen en overbodige dubbelingen op en brengt het IT in lijn met de bedrijfsdoelen.
Het GRC-kader werkt bijzonder goed om aan sector- en overheidsregelgeving te voldoen en risico’s te beheersen. Voor succes is sterke steun uit alle geledingen nodig, en vooral van de besluitvormers. Ook het vinden van de juiste software om alle GRC-inspanningen te bundelen kan bijzondere uitdagingen opleveren.
💡Wilt u meer weten over DORA? Bekijk dan onze videogids: Wat houdt compliance met de Digital Operational Resilience Act (DORA) in?
Bereid uw organisatie voor op DORA-compliance
DORA is relatief nieuw, maar de bepalingen komen grotendeels voort uit bestaande IT-compliancenormen zoals GDPR en NIS2. Benut die bronnen dus om uw plan voor risicobeheer, uw IT-componenten en uw trainingsprogramma’s op te bouwen en te versterken. De initiatieven van DORA brengen veel nieuwe uitdagingen met zich mee, maar compliance officers en IT-professionals kunnen er ook een kans in zien om hun IT-strategie te harmoniseren en besluitvormers te bewegen tot een upgrade van de IT-infrastructuur, met zowel directe als langetermijnvoordelen en -gevolgen binnen handbereik.
