DORA is jarig: Digitale weerbaarheid en praktijklessen voor de financiële sector

Het is nu precies één jaar geleden sinds de Digital Operational Resilience Act in werking is getreden, ook wel bekend als de DORA. Deze Europese wetgeving is specifiek voor de financiële sector, om organisaties werkzaam daarin beter digitaal weerbaar te maken. Eerder schreef onze collega, Risk & Compliance Manager Aschwin Geisler, daar al een interessante en informatieve blog over. Inmiddels dus een jaar later neemt hij je opnieuw mee in de wondere wereld van DORA, hoe staat het ervoor?

Eerst neem ik je even vlug mee in NIS2 en DORA, want wat hielden beide nou ook alweer in? Waar NIS2 (de Europese richtlijn die in Nederlandse wetgeving wordt omgezet en regels stelt aan cyberveilige maatregelen) gericht is op zowel technische als organisatorische cyberbeveiliging, legt DORA die afspraken contractueel vast. Meteen ook het mooie van DORA: er is geen nieuw technisch raamwerk vastgesteld, maar er wordt voortgeborduurd op NIS2. Sterker nog: bij de DORA wordt er in diverse artikelen voor de implementatie doorverwezen naar artikelen in NIS2.

De essentie van DORA is om te kijken welke personen, processen en technische toepassingen kritiek zijn voor de continuïteit van de dienstverlening van de financiële instelling.

• Wat als de klantcontacttelefoon uitvalt? Is dat erg?

• Wat als belangrijke processen niet meer werken? Heeft de klant of een wederpartij daar last van?

• Wat als een kantoorpand niet meer bereikbaar is voor klanten? Levert dat hinder op?

Laat ik me in dit artikel beperken tot de technische zaken: Hoe kan een bedrijf zich digitaal beter weerbaar maken?  

Voor mij is daarvoor de meest logische en effectieve maatregel: Beter ijzer.

Zorg ervoor dat je beschikt over betere IT-apparatuur en configuratie-instellingen, daar waar nodig. Bekijk wat de kritieke ondersteunende apparatuur of software is op technisch vlak en ga, met de risicoanalyse in de hand, de apparatuur én technische maatregelen versterken.

Bepaal vervolgens de te nemen maatregelen. Denk daarbij onder andere aan:

• Redundantie of failover in apparatuur/applicaties;

• Beperkte toegang tot de beheerlaag;

• Netwerk- en cloudbeveiliging;

• Endpoint- en identiteitsbescherming;

• Versleuteling van data;

• Monitoring en logging;

• Back-up en herstel;

• Hardening van software en systemen;

• Formeel en kort periodiek patchmanagement;

• Monitoring van afwijkingen.

 Een reactie die ik daarop vaak hoor: ‘Ja maar Aschwin, dat weten we toch allemaal? Dat is toch niets nieuws?’

Maar, met een enkele uitzondering daargelaten, zie ik dat organisaties in de financiële sector vooraleerst komen met een set aan clausules om risico’s naar de IT-dienstverlener te verleggen. Soms worden de meest akelige bepalingen ‘onder de vlag van DORA’ voorgelegd, artikelen die niet in DORA of onderliggende documenten als Regelgevende Technische Standaard (RTS) en Implementering Technische Standaard (ITS) staan. Het lijkt wel: Hoe meer verlegd, hoe minder restrisico.

Als dat gepaard gaat met het versterken van de technologische digitale infrastructuur, dan is er nog iets voor te zeggen. Maar wat ik vaak zie is het uitvoeren van een papieren exercitie, zonder voldoende technische invulling. Wat daarin opvalt is dat er niet gewerkt wordt aan een weerbaarder (cyber)security-omgeving van de organisatie, iets wat juist de basis moet zijn van de uitvoering van DORA. Er wordt nadruk gelegd op steeds meer striktere contractuele afspraken.

Ja, dat laatste staat in artikel 30 DORA, maar is louter bedoeld om de markt richting een organisatorisch en technisch weerbaarder systeem te leiden, niet om risico of aansprakelijkheid te verleggen.

Artikel 5 t/m 9 DORA, niet voor niets in de DORA vóór artikel 30 (“Contractafspraken”) vastgelegd, is daar duidelijk over:

“Financiële entiteiten zijn verplicht om een intern ICT-risicobeheer framework op te zetten en te onderhouden, waarbij zij zelf passende technische en organisatorische maatregelen treffen om hun digitale operationele weerbaarheid te waarborgen, waaronder governance, systeembeveiliging, identificatie van risico’s, preventie, en herstelcapaciteit.”

Als IT-dienstverlener kunnen wij je daar natuurlijk bij helpen; door een technisch fundament en passende dienstverlening te bieden, maar ook door het leveren van consultancy en zorgen voor een beter weerbare IT-prestatie van de financiële entiteit. Hierbij kunnen alle technische aspecten van de DORA worden geadresseerd. Dat gaat een stuk verder dan de risico’s verleggen zonder de daadwerkelijke technische weerbaarheid te verhogen.

Groot was de verwachting toen de Europese commissie aankondigde dat ze de reguleringen in de digitale sector te complex vond en tot te hoge investeringen bij bedrijven leidt. Een groep versoepelingen in het Digital Omnibus pakket werd aangekondigd. Inmiddels zijn we wijzer: het pakket (EU) 2025/836 bevat een versimpelde incidentregistratie, door harmonisatie te brengen tussen DORA, NIS2 en de AVG.

Laat ik het zo stellen: Versimpeling van incidentregistratie voor alleen al de NIS2, die in Nederland een kluwen aan sectorale loketjes heeft opgeleverd, komt geen moment te vroeg. Sectorale loketjes met ieder eigen KPI’s en formulieren maakt incidentmeldingen traag en log, juist nét wat je met deze cyberwetgeving wil voorkomen: Je geeft malafide indringers een tijdvoorsprong in plaats van snel pan-Europees te handelen. Eén centraal Europees loket voor NIS2 zou al geweldig zijn. De consolidatie van nationale loketten voor DORA en AVG (de GDPR eigenlijk) om tot één Europees DORA-/NIS2-/GDPR-loket te komen met één registratieformulier, dat is echt een hele stap vooruit.

Helaas is dit het enige concrete dat in relatie tot DORA uit deze Omnibus opvalt.

De ingewikkelde en soms nauwelijks uitvoerbare bepalingen uit artikel 30 DORA over ketenverantwoordelijkheid, blijven steken op contractuele afspraken in plaats van technische beheersmaatregelen voor de keten en de financial.

De stap naar een cyberveiliger Europa is daarmee nog steeds ‘verleggen’ in plaats van adequate technische tegenmaatregelen tegen opportune spelers in de digitale wereld implementeren.  

Een beetje profetisch: Ook zonder DORA kunnen we IT-omgevingen beter digitaal weerbaar maken. Wil je weten hoe? Ons team van specialisten staat klaar met oplossingen die passen, collega’s die ik ken, collega’s uit de praktijk, collega’s die verstand hebben van de wereld waarin jij je als financial begeeft.