DORA-compliance met AWS: zo voldoet u aan de Digital Operational Resilience Act

In deze gids bespreken we hoe DORA-compliance met AWS (Amazon Web Services) precies werkt en hoe u die het beste bereikt, met name voor financiële instellingen in de Europese Unie (EU) die nauw samenwerken met aanbieders van informatie- en communicatietechnologie (ICT).

Let op: we hebben deze gids zo beknopt mogelijk gehouden en geven alleen een overzicht van hoe u DORA-compliance met AWS bereikt. Wilt u er dieper op ingaan? Lees dan de AWS User Guide to the Digital Operational Resilience Act (DORA).

💡Leert u liever visueel? Bekijk dan onze video Alles wat u moet weten over DORA-compliance met AWS

Wat is DORA (Digital Operational Resilience Act)?

DORA, oftewel de Digital Operational Resilience Act, is een wettelijk kader dat is ingevoerd als Verordening 2022/2554. Het doel is om strategieën voor operationele en cyberweerbaarheid te versterken, vooral bij financiële instellingen.

De verordening stelt strenge eisen aan externe ICT-organisaties om zichzelf en hun eindgebruikers te beschermen tegen threat actors, en dan vooral om veelvoorkomende cyberaanvallen en veranderende dreigingen te weerstaan, erop te reageren en er snel van te herstellen. Daar hoort ook bij dat er kapitaal wordt gereserveerd om mogelijke verliezen op te vangen. We hebben daarnaast de gids “Wat is DORA-compliance (Digital Operational Resilience Act)?” gepubliceerd.

Waarom is dit belangrijk? Kijk naar een aantal cijfers uit de Global Cybersecurity Outlook 2025 van het World Economic Forum:

• 49% van de organisaties in de publieke sector geeft aan onvoldoende middelen te hebben om hun cybersecurity-doelen te halen – een zorgwekkende stijging ten opzichte van slechts 33% in 2024.
• 35% van de kleine organisaties vindt de eigen strategie voor cyberweerbaarheid ontoereikend – een vertienvoudiging, nee, een verzevenvoudiging sinds 2022.
• 15% van de Europese en Noord-Amerikaanse respondenten heeft er weinig vertrouwen in dat hun land geavanceerde cyberaanvallen aankan.
• Eén op de drie CEO’s noemt het verlies van intellectueel eigendom als grootste zorg of dat nu komt door externe threat actors of door insider threats.

Financiële instellingen moesten uiterlijk 17 januari 2025 aan DORA voldoen. Financiële entiteiten en hun externe ICT-partijen (Registers of information – RoI) moeten rapporteren aan de bevoegde autoriteiten, zodat duidelijk wordt wat hun huidige compliance-niveau is en hoe ze dat kunnen verbeteren of behouden. Voldoet u niet aan de eisen, dan kan dat leiden tot zware financiële boetes en juridische gevolgen. (Een volledig overzicht van DORA-updates vindt u op de officiële website).

Wilt u meer weten over DORA? Bekijk dan onze videogids: Wat is DORA-compliance (Digital Operational Resilience Act)?

AWS-diensten en compliance-diensten voor DORA

Als reactie hierop publiceerde Amazon een brief over AWS-beveiliging voor de financiële sector. AWS helpt organisaties aan deze regelgeving te voldoen met een breed pakket aan tools voor beveiliging, compliance en weerbaarheid, waaronder threat-led penetration testing (TLPT) – zie penetratietests – en rapportage van ICT-incidenten.

Daar gaan we verderop dieper op in bij “Hoe AWS DORA-compliance ondersteunt”.

De DORA-eisen begrijpen

We hebben al een uitgebreidere gids geschreven over de 5 pijlers van de DORA-verordening, maar hier volgt een samenvatting:

1. ICT-risicobeheer: organisaties moeten een robuust kader voor ICT-risicobeheer opzetten met strategieën, beleidsregels en tools om alle ICT-assets te beveiligen, waaronder software, hardware en servers.
2. Incidentrapportage: organisaties moeten alle grote ICT-gerelateerde incidenten melden bij de relevante autoriteiten. Financiële entiteiten moeten daarnaast een gedetailleerd logboek van alle cyberincidenten bijhouden.
3. Weerbaarheidstests: organisaties moeten de degelijkheid van hun ICT-systemen regelmatig testen om de bedrijfscontinuïteit te waarborgen en de operationele efficiëntie op peil te houden.
4. Beheer van risico’s van derden: financiële entiteiten moeten erop toezien dat hun RoI’s voldoen aan de DORA-eisen.
5. Informatie-uitwisseling: organisaties worden aangemoedigd om samen te werken en cybersecuritystrategieën te delen om de collectieve weerbaarheid te vergroten.

Zo helpt AWS financiële instellingen aan DORA te voldoen

AWS werkt volgens het shared responsibility model. Dat betekent dat AWS de beveiliging van de eigen cloudinfrastructuur beheert, terwijl klanten zelf verantwoordelijk zijn voor de beveiliging van hun data in de cloud.

Dat sluit nauw aan op de DORA-eisen, maar het betekent ook dat elke financiële instelling en haar RoI zelf de nodige aanpassingen moet doen. AWS-klanten wordt aangeraden contact op te nemen met hun accountteam om hun specifieke DORA-eisen te bespreken.

• TLPT: AWS kan klanten ondersteunen bij hun TLPT-verplichtingen voor DORA. Alle gevoelige informatie wordt op need-to-know-basis gedeeld met de relevante autoriteiten.
• Rapportage van ICT-incidenten: door het shared responsibility model heeft AWS geen volledig zicht op de data die in een klantaccount wordt geüpload. Toch kan AWS klanten helpen om gevoelige informatie en de rapportage ervan veilig te beheren.

Goed om te weten: AWS werkt de DORA-eisen nog verder uit met de Europese toezichthoudende autoriteiten (ESA’s), omdat sommige bepalingen om nadere toelichting vragen. Zo heeft het managementteam van AWS gevraagd om meer duidelijkheid over de definitie van “ICT-onderaannemer”, om misverstanden en onterechte sancties voor duizenden onderaannemers te voorkomen.

Toch biedt AWS verschillende richtinggevende documenten ter voorbereiding op DORA, bijvoorbeeld over het opbouwen van een kader voor de resilience lifecycle.

💡AWS beschikt over diverse internationaal erkende certificeringen op het gebied van beveiliging en compliance, waaronder ISO 27001, SOC 2 en andere verklaringen. Daarnaast biedt AWS richtlijnen en documentatie waarmee klanten in hun eigen omgeving aan de GDPR-verplichtingen kunnen voldoen.

AWS-tools en -diensten voor DORA-compliance

Wie zoekt naar diensten rond “Digital Operational Resilience Act AWS” komt uit bij het volgende:

Risicobeheer en weerbaarheid

• AWS Security Hub biedt één centrale plek voor het beheer van beveiliging en compliance en helpt organisaties beveiligingsproblemen in realtime op te sporen.
• AWS Config houdt configuratiewijzigingen aan AWS-resources doorlopend bij.
• AWS Backup maakt geautomatiseerd back-upbeleid mogelijk en vergroot zo de weerbaarheid tegen dataverlies.

Incidentrapportage en monitoring

• AWS CloudTrail legt AWS API-aanroepen vast en helpt u ongeautoriseerde toegang en wijzigingen in cloudomgevingen te volgen.
• Amazon GuardDuty gebruikt machinaal leren om cloudactiviteiten te analyseren en verdacht gedrag te detecteren.
• AWS Audit Manager beoordeelt uw compliance-situatie door het verzamelen van bewijsmateriaal te automatiseren en audits te stroomlijnen.

Weerbaarheidstests

• AWS Fault Injection Simulator (AWS FIS) zet gecontroleerde chaos engineering-experimenten op, zodat u kunt testen hoe uw applicaties reageren op storingen.
• AWS Resilience Hub helpt organisaties zwakke plekken te vinden in hun plannen voor back-up en disaster recovery en werkt samen met AWS FIS voor chaos-experimenten.

Beheer van risico’s van derden

• AWS Marketplace helpt u DORA-compliance met AWS te bereiken door een selectie van gecontroleerde beveiligingsoplossingen van derden aan te bieden.
• AWS Control Tower helpt u beste praktijken op beveiligingsgebied te handhaven terwijl u AWS op grote schaal gebruikt.

DORA-compliance implementeren op AWS

Met deze aanbevolen stappen voert u de DORA-eisen door in AWS.

⚠️ Houd er rekening mee dat er nog geen exacte regels zijn, omdat AWS de DORA-eisen nog verder uitwerkt. De onderstaande stappen zijn uitsluitend aanbevelingen. Neem contact op met uw AWS-accountmanager voor specifiekere instructies.

1. Beoordeel uw huidige beveiligingsbeleid: voer een uitgebreide gap-analyse uit om zwakke plekken in de beveiliging en tekortkomingen in de regelgeving op te sporen. Het is verstandig om uw bestaande beveiligingsmaatregelen af te zetten tegen de DORA-eisen.
2. Voer waar nodig beveiligingsmaatregelen door: AWS biedt meerdere diensten waarmee u beveiligingsmaatregelen kunt afdwingen, zoals AWS Key Management Service en AWS Identity and Access Management. Om de beveiliging verder aan te scherpen, raden we aan MFA (Multi-Factor Authentication) in te voeren en beleid voor toegang volgens het minste voorrecht af te dwingen.
3. Richt monitoring en rapportage van incidenten in: gebruik AWS CloudTrail en Amazon GuardDuty om uw AWS-omgeving doorlopend te monitoren. Door incidentrapportage te automatiseren, voldoet u aan de strikte rapportagetermijnen van DORA.
4. Voer regelmatig weerbaarheidstests uit: overweeg regelmatige penetratietests, oefeningen voor disaster recovery en geautomatiseerde failover-mechanismen, zodat uw organisatie ook bij een cyberaanval of systeemstoring operationeel blijft.
5. Beheer risico’s van derden: met AWS Control Tower standaardiseert u de werkwijze over meerdere AWS-accounts, terwijl AWS Audit Manager audits van derden optimaliseert en stroomlijnt.
6. Automatiseer compliance-monitoring: het is sterk aan te raden automatisering in te zetten om de last van handmatige compliance-controles te verlichten en ervoor te zorgen dat uw beveiligingsmaatregelen effectief blijven. Overweeg AWS Config en AWS Audit Manager te gebruiken om regelgeving automatisch af te dwingen.

Uitdagingen bij DORA-compliance met AWS en hoe u ze oplost

Multicloud- en hybride omgevingen beheren

De meeste financiële entiteiten gebruiken tegenwoordig een combinatie van cloudproviders, on-premises infrastructuur en hybride cloudoplossingen. Dat maakt ICT-risicobeheer lastig. Om dat op te lossen, raden we aan uniform beveiligingsbeleid en standaard governance-kaders op alle platformen te hanteren.

End-to-end weerbaarheidstests in AWS voor DORA

Weerbaarheidstests moeten alle onderdelen van uw volledige ICT-omgeving bestrijken, maar die tests uitvoeren over meerdere systemen kan complex zijn. Ontwikkel daarom een gestructureerd beveiligingskader om verstoringen effectief te simuleren. Daarnaast kunt u AWS Resilience Hub inzetten voor een uniforme aanpak van weerbaarheidstests.

Risico’s van derden beheersen

Een groot deel van de DORA-eisen gaat over externe dienstverleners. Door die versnippering van partijen is het lastig om aan DORA te voldoen. We raden aan AWS Audit Manager en AWS Marketplace te gebruiken om de compliance van derden te controleren. Voer daarnaast grondige risicobeoordelingen van leveranciers uit om risico’s effectief te beperken.

Compliance automatiseren zonder de controle te verliezen

Automatisering kan compliance stroomlijnen, maar er bestaat altijd een risico dat beveiligingsgaten of verkeerde configuraties over het hoofd worden gezien – zeker als uw bedrijf te sterk leunt op geautomatiseerde tools. Kies daarom voor een gelaagde aanpak waarin u geautomatiseerde compliance-controles combineert met handmatige beveiligingsaudits. Ook AWS Config en AWS Security Hub bewijzen hier hun nut.

DORA-compliance met AWS waarborgen

Financiële instellingen die in de EU actief zijn, moeten aan DORA voldoen. Omdat de verordening relatief nieuw is, bestaat er nog onduidelijkheid over wat dit betekent voor gebruikers van AWS. Amazon Web Services beschikt over een stevig pakket tools waarmee u efficiënt aan deze bepalingen kunt voldoen, maar het blijft raadzaam om met uw vaste accountteam te overleggen wat u precies moet doen om een veilige en compliant cloud-omgeving op te bouwen.