Digital Operational Resilience Act (DORA) uitgelegd

Als u werkzaam bent in digitale operaties, moet u op de hoogte zijn van de Digital Operational Resilience Act (DORA). Deze wet helpt financiële instellingen en belangrijke dienstverleners zich voor te bereiden op cyberaanvallen of systeemstoringen. Wat betekent dit voor uw bedrijf? DORA zorgt ervoor dat uw operationele processen stabiel en soepel blijven verlopen tijdens de uitdagingen waarmee een digitale omgeving te maken krijgt.

In dit artikel worden de kernpunten van DORA uitgelegd, van de doelstellingen en nalevingsvereisten tot de gevolgen voor bedrijven binnen en buiten de EU. Of u nu binnen de EU actief bent of met klanten in de EU werkt: inzicht in DORA is cruciaal om weerbaar te blijven in een wereld die steeds verder digitaliseert. We bespreken ook welke invloed DORA heeft op server-side tracking en hoe Stape omgaat met deze nieuwe verordening.

Stape voldoet volledig aan DORA en waarborgt gegevensbescherming en betrouwbaarheid van de dienstverlening op het hoogste niveau.

De DORA-verordening is een toonaangevende EU-wetgeving. Deze is ontworpen om de IT-beveiliging en operationele weerbaarheid van Europese financiële instellingen te versterken. De verordening trad in werking op 16 januari 2023. Naleving van DORA wordt verplicht op 17 januari 2025. DORA wordt erkend als een doeltreffend instrument om digitale risico's in de financiële sector te beheersen.

NIS2 en DORA zijn twee belangrijke kaders voor cyberbeveiliging en digitale weerbaarheid. Het eerste, NIS2, richt zich op het faciliteren van beveiligingsmaatregelen voor essentiële diensten in de EU. Het tweede, de Digital Operational Resilience Act, is bedoeld om de operationele veerkracht van de  financiële instellingen te versterken. Samen spelen ze een cruciale rol bij de bescherming van de Europese digitale infrastructuur tegen opkomende cyberdreigingen.

In september 2023 verduidelijkte de Europese Commissie de relatie tussen deze twee kaders in haar NIS2-richtlijn:

• De NIS2-richtlijn richt zich op kritieke sectoren zoals energie, vervoer, watervoorziening, gezondheidszorg en digitale infrastructuur. Het doel is deze vitale diensten te beschermen door strengere cyberbeveiligingseisen in te voeren en de respons op incidenten te verbeteren.
• DORA daarentegen is specifiek opgesteld voor de financiële sector en heeft betrekking op instellingen zoals banken, verzekeringsmaatschappijen en beleggingsondernemingen. De verordening stelt uitgebreide vereisten vast voor het beheer van risico's op het gebied van informatie- en communicatietechnologie (ICT), zodat financiële instellingen bestand zijn tegen, kunnen reageren op en kunnen herstellen van ICT-gerelateerde verstoringen.

Als gevolg hiervan moeten financiële instellingen en ICT-dienstverleners binnen de EU uiterlijk op 17 januari 2025 aan de vereisten van DORA voldoen. Elke EU-lidstaat is verantwoordelijk voor het toezicht op de naleving, en aangewezen toezichthoudende autoriteiten zijn bevoegd om specifieke beveiligingsmaatregelen op te leggen en reeds bekende kwetsbaarheden aan te pakken.

Het niet naleven van de verordening kan leiden tot zware sancties. Voor door de Europese Commissie als "kritiek" aangewezen ICT-dienstverleners kan niet-naleving leiden tot boetes van maximaal 1% van hun gemiddelde dagelijkse wereldwijde omzet in het voorgaande boekjaar.

De financiële sector heeft, zowel wereldwijd als binnen Europa, te maken met een sterke toename van cyberaanvallen, die deel uitmaken van een bredere stijging van wereldwijde cyberdreigingen.

Europa heeft de Digital Operational Resilience Act ingevoerd om dit aan te pakken. Het doel is een uniform systeem voor cyberweerbaarheid op te bouwen en de financiële stabiliteit in de hele EU te waarborgen. DORA stimuleert een proactieve aanpak die organisaties helpt de impact van cyberdreigingen op hun ICT-systemen te beperken.

DORA richt zich op het harmoniseren van regelgeving in heel Europa. In het verleden hanteerden individuele landen verschillende benaderingen met uiteenlopende regels en toezicht. Door dit gebrek aan samenhang weg te nemen, introduceert DORA een consistente aanpak die aansluit bij Europa's streven naar grotere wetgevende en economische synchronisatie.

Voor financiële instellingen en andere betrokken entiteiten biedt DORA het extra voordeel van duidelijkere wettelijke verplichtingen inzake cyberbeveiliging en weerbaarheid. Deze duidelijkheid reikt over landsgrenzen heen, biedt consistente richtlijnen en vermindert de onzekerheid omtrent cyberdreigingen.

Laten we, om de naleving van DORA beter te begrijpen, de doelstellingen van DORA nader bekijken.

DORA heeft twee hoofddoelstellingen:

1. 1.
   Het invoeren van alomvattend ICT-risicobeheer voor de financiële sector, met inbegrip van normen voor risicobeoordelingen, rapportage van incidenten en weerbaarheidstests.
2. 2.
   Het harmoniseren van de regelgeving voor ICT-risicobeheer in alle EU-lidstaten, het creëren van een gelijk speelveld en het verminderen van nalevingsuitdagingen voor financiële entiteiten die in meerdere EU-landen actief zijn.

Vóór DORA bemoeilijkte gefragmenteerde nationale regelgeving de naleving voor grensoverschrijdend opererende financiële instellingen. DORA pakt dit aan door uniforme regelgevingsnormen te introduceren, verwarring te minimaliseren en de beveiliging in de financiële sector van de EU te versterken.

De DORA-wetgeving is van toepassing op meer dan 22.000 financiële instellingen en ICT-dienstverleners die binnen de EU actief zijn, evenals op de ondersteunende ICT-infrastructuur buiten de EU. Dit heeft invloed op verschillende financiële instellingen en systemen, waaronder:

• Banken
• Verzekeringsmaatschappijen
• Beleggingsondernemingen
• Betalingsverwerkers
• Aandelenbeurzen
• Marktinfrastructuurentiteiten
• Kredietbeoordelaars
• Aanbieders van cryptoactivadiensten

Bovendien is DORA van toepassing op kritieke externe ICT-dienstverleners die deze instellingen ondersteunen. Organisaties moeten afhankelijkheden van externe ICT-dienstverleners in kaart brengen en diversifiëren om overmatige afhankelijkheid van één leverancier of een beperkte groep leveranciers te voorkomen.

De belangrijkste vereisten van DORA zijn als volgt:

Volgens artikel 6 verplicht DORA tot het opzetten van een robuust, alomvattend en goed gedocumenteerd kader voor ICT-risicobeheer dat integraal deel uitmaakt van het algemene risicobeheersysteem van de instelling. Belangrijke onderdelen hiervan zijn:

• Risico-identificatie en -beoordeling. Regelmatige evaluatie en documentatie van ICT-risico's, inclusief risico's die voortvloeien uit afhankelijkheden van derden.
• Beschermings- en preventiemaatregelen: er moeten strategieën, beleidsregels en hulpmiddelen worden geïmplementeerd om systemen en gegevens te beveiligen, zoals wachtwoordloze toegangsoplossingen om phishingrisico's te beperken.
• Detectiemechanismen. Het inzetten van technologieën om afwijkingen en potentiële beveiligingsincidenten snel te identificeren.
• Respons- en herstelplanning. Het ontwikkelen van plannen voor bedrijfscontinuïteit en crisisbeheersing.
• Training en verbetering. Het continu verbeteren van systemen op basis van eerdere incidenten en testresultaten.

DORA vereist ook de aanstelling van een verantwoordelijke partij voor het toezicht op het ICT-risicobeheer, wat zorgt voor duidelijke verantwoordingsplicht en effectief bestuur.

Incidentbeheer en -rapportage vormen een centraal onderdeel van DORA. Instellingen moeten systemen inrichten om ICT-gerelateerde incidenten te registreren en te categoriseren. Op grond van artikel 19 moeten organisaties het volgende indienen:

• Een eerste rapport binnen een vastgestelde termijn na de identificatie van een ernstig incident.
• Een tussenrapport als de status van het incident aanzienlijk verandert.
• Een eindrapport na voltooiing van de oorzakenanalyse en de beoordeling van de impact van het incident.

Daarnaast zijn organisaties op grond van de artikelen 18–20 verplicht om:

• ICT-incidenten te classificeren op basis van vooraf gedefinieerde impactniveaus.
• Gestandaardiseerde sjablonen te gebruiken voor de melding van incidenten aan toezichthoudende autoriteiten.
• Eindgebruikers en klanten onverwijld te informeren over ernstige incidenten en de genomen maatregelen om de impact te beperken.
• Ervoor te zorgen dat rapporten vóór het einde van de werkdag worden ingediend, of binnen vier uur na aanvang van de volgende werkdag als het incident kort voor het einde van de werkdag plaatsvindt.

Volgens artikel 25 verplicht DORA tot het regelmatig testen van systemen voor ICT-risicobeheer om de doeltreffendheid ervan te waarborgen. Deze testprocedures omvatten:

• Kwetsbaarheidsbeoordelingen. Regelmatige scans om zwakke plekken in systemen en applicaties op te sporen.
• Evaluatie van netwerk- en infrastructuurbeveiliging. Het testen van de netwerkbeveiliging.
• Beveiligingstests van applicaties. Het beoordelen van software die wordt gebruikt voor kritieke bedrijfsfuncties.
• Scenariogebaseerd testen. Het simuleren van verschillende cyberdreigingsscenario's om het reactievermogen te evalueren.
• Op dreigingen gebaseerde penetratietests (TLPT). Geavanceerde tests voor kritieke financiële instellingen, die minimaal eens in de drie jaar moeten worden uitgevoerd.

Daarnaast vereist artikel 26 dat organisaties penetratietests uitvoeren voor ICT-processen die kritieke functies ondersteunen, met inbegrip van uitbestede diensten.

DORA erkent het belang van ICT-dienstverleners en introduceert daarom strenge vereisten voor het beheer van risico's van derden, waaronder:

• Due diligence. Het evalueren van ICT-leveranciers voordat er contracten worden afgesloten.
• Contractuele garanties. Het opnemen van bepalingen over beveiliging, incidentrapportage en auditrechten in overeenkomsten.
• Doorlopende monitoring. Regelmatige beoordeling van de prestaties en beveiligingsmaatregelen van externe leveranciers.
• Exitstrategieën. Het ontwikkelen van plannen om, indien nodig, over te stappen van de ene leverancier naar de andere.

DORA stelt ook toezichtskaders vast voor kritieke externe ICT-dienstverleners, waardoor toezichthoudende instanties van de EU de naleving rechtstreeks kunnen controleren.

5. Delen van informatie

DORA moedigt samenwerking tussen betrouwbare financiële organisaties aan om:

• Het bewustzijn over ICT-gerelateerde risico's te vergroten.
• De verspreiding van ICT-dreigingsvectoren te minimaliseren.
• Defensieve strategieën, mitigatietechnieken en dreigingsinformatie uit te wisselen.

Voorbereiden op DORA-naleving

Het naleven van DORA lijkt wellicht complex, maar met een gestructureerde aanpak is het goed beheersbaar. Evalueer uw cyberbeveiligingspraktijken en risicobeheerplan om verbeterpunten te signaleren. Regelmatige training voor alle medewerkers, inclusief het leiderschap, is essentieel om een sterk en voorbereid team op te bouwen.

Controleer contracten met ICT-dienstverleners om er zeker van te zijn dat ze aan de DORA-normen voldoen. Maak een complete inventaris van alle overeenkomsten, inclusief die met clouddiensten en softwareleveranciers, om afhankelijkheden in kaart te brengen en risico's te beperken. Door deze strategische stappen te zetten, kan uw organisatie de operationele weerbaarheid versterken en aansluiten bij de DORA-vereisten.

Door deze maatregelen te volgen, kunnen organisaties voldoen aan de hoge standaarden van DORA op het gebied van ICT-risicobeheer en operationele weerbaarheid.

De DORA-verordening introduceert uniforme Europese weerbaarheidsnormen, waarvan ook Britse bedrijven op de hoogte moeten zijn.

Onder Brits toezicht staande ondernemingen moeten operationele risico's op een verantwoorde en effectieve manier beheren en ervoor zorgen dat hun zaken zijn ingericht met robuuste risicobeheersystemen. De regels van de Financial Conduct Authority (FCA) beschrijven deze verplichting, die bepalingen omvat over leiding en governance, risicobeheer, interne controles, bedrijfscontinuïteit, noodplanning en uitbestedingspraktijken.

Deze bestaande vereisten worden nu uitgebreid met nieuwe bepalingen gericht op operationele veerkracht. Het DORA-cyberbeveiligingskader versterkt deze maatregelen verder en zorgt ervoor dat ondernemingen ICT-risico's alomvattend aanpakken en zich beschermen tegen digitale bedreigingen. Het geactualiseerde regime introduceert vereisten voor bepaalde typen ondernemingen en stelt voor deze uit te breiden naar dienstverleners die niet door de FCA worden gereguleerd.

Brits regime voor operationele veerkracht

Het Britse regime voor operationele veerkracht hanteert een bredere benadering van operationele risico's dan de Europese DORA. Het legt de nadruk op het vermogen van een onderneming om verstoringen te doorstaan—niet alleen verstoringen die voortvloeien uit digitale of ICT-incidenten.

Het kader is van toepassing op banken, verzekeraars en grote beleggingsondernemingen. Als zij aan specifieke criteria voldoen, kunnen vermogensbeheerders er ook onder vallen.

In tegenstelling tot DORA houdt het Britse kader rekening met een breder scala aan risico's en hanteert het een meer alomvattende benadering van veerkracht.

Het Britse kader heeft betrekking op minder organisaties dan DORA, maar hanteert een bredere kijk op veerkracht. Het kijkt verder dan digitale risico's en richt zich op het helpen van bedrijven bij het omgaan met verstoringen van welke aard dan ook.

Wat is DORA-naleving? Is het gewoon een nieuwe regelgeving of een kans om opnieuw na te denken over hoe bedrijven veerkracht en cyberbeveiliging aanpakken? Voor velen is het een nieuwe start—een kans om versnipperde systemen te vervangen door een uniforme aanpak die vertrouwen en stabiliteit opbouwt in de digitale wereld.

DORA-naleving daagt bedrijven uit om een proactieve mentaliteit aan te nemen, ICT-risico's aan te pakken en veerkracht te waarborgen in de gehele toeleveringsketen, inclusief externe dienstverleners. DORA stimuleert organisaties om hun bedrijfsvoering weerbaarder te maken tegen cyberdreigingen en af te stemmen op de Europese visie voor een veilige en onderling verbonden economie.

De werkelijke waarde van DORA-naleving hangt af van hoe bedrijven reageren. Zullen zij het zien als een uitdaging of als een kans om hun veerkracht te versterken en een concurrentievoordeel te behalen? De tijd zal het leren.

Server-side tracking helpt bedrijven te voldoen aan regelgeving zoals DORA door de gegevensbeveiliging en betrouwbaarheid te verbeteren. Stape stelt alles in het werk om aan de DORA-normen te voldoen zodra deze van kracht worden. 

Stape voldoet aan ISO 27001, HIPAA en AVG om gegevens te beschermen en privacy te waarborgen. We zetten ons in om up-to-date te blijven met nieuwe regelgeving en veilige, betrouwbare trackingoplossingen te bieden. Stape is een veilige en betrouwbare partner voor elk bedrijf dat zijn gegevens wil beschermen en tegelijkertijd het maximale uit zijn trackingconfiguratie wil halen.

Wat zijn de technische normen van DORA?

DORA stelt verplichte technische normen vast die financiële instellingen en hun belangrijkste externe ICT-dienstverleners uiterlijk op 17 januari 2025 in hun systemen moeten integreren.

DORA beschrijft de technische vereisten op vier kerngebieden:

• ICT-risicobeheer en governance. Het is noodzakelijk om robuuste kaders op te zetten voor het beheer van technologiegerelateerde risico's.
• Incidentrespons en -rapportage. Het is noodzakelijk om te zorgen voor effectieve processen voor het afhandelen en rapporteren van ICT-incidenten.
• Testen van digitale operationele veerkracht. Regelmatig testen is noodzakelijk om de veerkracht van ICT-systemen te beoordelen.
• Beheer van risico's van derden. Het is noodzakelijk om het toezicht op externe technologieleveranciers te versterken.

Hoewel DORA het delen van informatie aanmoedigt om collectieve veerkracht te bevorderen, blijft dit vrijwillig.

De vereisten worden proportioneel toegepast, waarbij kleinere entiteiten minder verplichtingen hebben dan grotere financiële instellingen. Hoewel specifieke technische reguleringsnormen (RTS) en technische uitvoeringsnormen (ITS) nog in ontwikkeling zijn, stelt de wetgeving al duidelijke verwachtingen voor naleving.

Zijn er sancties voor het niet naleven van DORA?

Zodra de DORA-normen zijn afgerond en de deadline van januari 2025 aanbreekt, zullen de aangewezen toezichthouders in elke EU-lidstaat, aangeduid als "bevoegde autoriteiten", deze handhaven. Deze autoriteiten krijgen de bevoegdheid om van financiële entiteiten te eisen dat zij specifieke beveiligingsmaatregelen treffen om kwetsbaarheden aan te pakken en zo te voldoen aan de DORA-nalevingsvereisten. Zij bepalen ook de sancties bij niet-naleving. Dergelijke sancties omvatten administratieve en in sommige gevallen strafrechtelijke sancties naar het oordeel van elk afzonderlijk land.

De Europese Commissie classificeert ICT-aanbieders als "kritiek", en het toezicht wordt rechtstreeks uitgevoerd door hoofdtoezichthouders van de Europese toezichthoudende autoriteiten (ESA's). Net als bevoegde autoriteiten kunnen deze hoofdtoezichthouders beveiligingsverbeteringen verplichten, herstelmaatregelen afdwingen en sancties opleggen voor niet-naleving. 

Waarin verschilt DORA van andere cyberbeveiligingsregelgeving?

DORA is een van de vele belangrijke cyberbeveiligingsregelingen die de komende jaren van kracht worden. De NIS2-richtlijn, die in oktober 2024 van toepassing wordt, stelt eveneens digitale beveiligingseisen voor Europese bedrijven en organisaties vast.

Naleving van de Europese DORA is ontworpen om de operationele veerkracht en cyberbeveiligingspraktijken binnen de financiële sector in alle lidstaten te standaardiseren. DORA is specifiek afgestemd op de financiële sector en zorgt ervoor dat er wordt ingespeeld op diens behoeften. NIS2 heeft een breder bereik en omvat alle kritieke sectoren, zoals energie, gezondheidszorg en transport.

De juridische benadering van DORA verschilt van die van NIS2. DORA is een verordening die uniform van toepassing is in alle EU-lidstaten, terwijl NIS2, als richtlijn, moet worden omgezet in de nationale wetgeving van elke lidstaat.

Hoewel beide gericht zijn op het verbeteren van IT-beveiliging, heeft DORA voorrang in de financiële sector en fungeert het als het primaire regelgevingskader.

Kunnen niet-EU-bedrijven die met EU-instellingen werken door DORA worden beïnvloed?

De Europese DORA-wetgeving heeft een aanzienlijke impact op financiële organisaties buiten de EU, met name op organisaties die diensten verlenen aan of actief zijn op de EU-markt.

Deze entiteiten moeten voldoen aan de DORA-normen om toegang tot de markt te behouden en te kunnen blijven samenwerken met in de EU gevestigde klanten. Dit brengt hogere nalevingskosten, operationele aanpassingen en mogelijke strategiewijzigingen met zich mee.

DORA heeft ook gevolgen voor niet-EU-organisaties doordat zij worden opgenomen in de toeleveringsketens van financiële instellingen in de EU, waardoor strikte vereisten in het gehele ecosysteem worden afgedwongen.

Hierdoor reikt de invloed van DORA verder dan de EU. Het vormt de wereldwijde financiële sector en benadrukt het belang van operationele veerkracht wereldwijd.

Stape is volledig DORA-compliant, wat garandeert dat we aan de hoogste normen voor gegevensbescherming en servicebetrouwbaarheid voldoen. We begrijpen het belang van DORA en de rol ervan bij het waarborgen van de integriteit van digitale diensten in de hele EU. U vindt gedetailleerde informatie over onze naleving in ons Trust Center, waar we onze toewijding aan operationele veerkracht en de bescherming van gebruikersgegevens laten zien.

In een wereld waarin cyberdreigingen frequenter en intenser worden, moeten we er alles aan doen om een sterk schild daartegen op te bouwen. Regelgeving zoals DORA helpt bedrijven zich voor te bereiden op de risico's en hier adequaat mee om te gaan. Het doel van DORA is om systemen veilig te houden, klantgegevens te beschermen en te blijven functioneren in instabiele tijden. 

• De NIS2-richtlijn
• De Digital Operational Resilience Act (DORA) - Verordening (EU) 2022/2554
• Digital Operational Resilience Act (DORA)
• Digital Operational Resilience Act (DORA)
• Wat is de Digital Operational Resilience Act (DORA)?