Navigeren door DORA: vereisten, voorbereiding en impact

De financiële sector ondergaat een aanzienlijke transformatie met de introductie van de Digital Operational Resilience Act (DORA). Deze nieuwe Europese verordening, die van toepassing is sinds 17 januari 2025, zal het cybersecuritylandschap voor financiële entiteiten herdefiniëren. Maar wat is DORA precies, hoe kunnen organisaties (zowel financiële entiteiten als hun ICT-dienstverleners) zich erop voorbereiden en wat als zij te maken krijgen met een ernstig cyberincident? 

Wat is DORA? 

Kort gezegd, DORA is een Europese verordening die zich richt op de digitale operationele weerbaarheid van de financiële sector. 

DORA is van toepassing op een breed scala aan entiteiten, waaronder kredietinstellingen, betalingsdienstaanbieders en verzekeringsmaatschappijen. Het primaire doel is ervoor te zorgen dat financiële entiteiten over de noodzakelijke ICT-gerelateerde capaciteiten beschikken om de veiligheid van hun netwerk- en informatiesystemen te handhaven. 

Welke belangrijke vereisten bepaalt DORA? 

Om aan DORA te voldoen, moeten financiële entiteiten zich richten op verschillende belangrijke gebieden: 

• ICT-risicobeheer: implementeren van robuuste beleidslijnen en principes om ICT-gerelateerde risico's in alle aspecten van de organisatie te beheren. 

• Operationele weerbaarheidstesten: regelmatig testen van ICT-systemen en uitvoeren van dreigingsgeleide penetratietesten (TLPT) voor kritieke entiteiten. 

• Beheer van ICT-risico's van derden: aannemen van een ICT-outsourcingbeleid, zorgvuldig beoordelen van concentratierisico's & en ervoor zorgen dat contracten met ICT-dienstverleners van derden voldoen aan de DORA-vereisten. 

• Incidentbeheer en -rapportage: opstellen van procedures voor het classificeren, monitoren en rapporteren van ICT-gerelateerde incidenten en cyberdreigingen aan de bevoegde autoriteiten. 

Op het punt van incidentbeheer en-rapportage gaan we hieronder verder in. 

Moeten deze DORA-entiteiten ook NIS2 naleven? 

Voor bepaalde entiteiten in de bankensector en de financiële marktinfrastructuur overlappen de toepassingsgebieden van NIS2 en DORA. Om verwarring te voorkomen, is er een 'lex specialis'-regel: bij gelijkwaardige cyberbeveiligingseisen op Europees niveau, zoals die in DORA, prevaleert de sector-specifieke wetgeving (DORA) boven de algemene (NIS2). Dit betekent dat DORA leidend is voor cyberbeveiliging binnen deze sectoren. 

Echter, deze entiteiten moeten zich wel registreren volgens de NIS2-richtlijnen, net als andere organisaties die onder NIS2 vallen.

Bijvoorbeeld, in het kader van het ‘lex specialis’-regel, zullen de regels inzake incidentbeheer- en rapportage voorrang hebben op de regels uit NIS2. Voor meer informatie over de meldingen van cyberincidenten onder NIS2, kan u onze vorige blog lezen. 

Incidentenbeheer onder DORA: wat zegt de Nationale Bank van België? 

De Nationale Bank van België (NBB) speelt een cruciale rol bij het toezicht op de implementatie van DORA. 

De NBB heeft in haar recente circulaire verduidelijkt hoe financiële entiteiten ernstige ICT-gerelateerde incidenten en significante cyberdreigingen moeten melden in het kader van de DORA-verordening.

Hier zijn de belangrijkste punten uit de circulaire: 

• OneGate-platform: alle meldingen moeten worden ingediend via het OneGate-platform van de NBB (https://www.nbb.be/OneGate, vervolgens "documentatie" en ten slotte "domein-dor"). Een speciale website is beschikbaar gesteld voor praktische informatie en veelgestelde vragen. 

• Geen alternatieve meldingen: meldingen via andere kanalen zoals telefoon of e-mail ontslaan financiële entiteiten niet van de verplichting om incidenten ook via het OneGate-platform te melden. 

• Technische onbeschikbaarheid: in geval van technische problemen met het OneGate-platform, moeten financiële entiteiten de NBB informeren via een specifiek e-mailadres of telefonisch contact opnemen met hun dossierbeheerder. Zodra het platform weer beschikbaar is, moet de melding alsnog via OneGate worden ingediend. 

• Doorgifte aan bevoegde autoriteiten: de NBB zal meldingen doorsturen naar de relevante bevoegde autoriteiten, waardoor financiële entiteiten niet verplicht zijn om afzonderlijke meldingen te doen. 

• Individuele meldingen: er moet één incidentmelding per financiële entiteit worden ingediend. Geaggregeerde meldingen voor meerdere entiteiten worden niet geaccepteerd. 

• Integratie van rapportagekaders: het DORA-rapportagekader vervangt de bestaande PSD2- en SSM-rapportagekaders voor respectievelijk betalingsdienstaanbieders en significante kredietinstellingen. 

In de circulaire benadrukt de NBB ook het belang van tijdige en kwalitatieve meldingen voor het handhaven van de operationele weerbaarheid en financiële stabiliteit. Classificatiecriteria en materialiteitsdrempels zijn vastgelegd in Verordening (EU) 2024/1772, terwijl de inhoud, termijnen en procedures voor rapportage zijn gespecificeerd in respectievelijk de Verordeningen (EU) 2025/301 en 2025/302. 

Voorbereiden op DORA 

Hoe kunnen financiële entiteiten zich voorbereiden? 

Zoals we reeds schreven in onze vorige blog, heeft de Belgische toezichthouder FSMA heeft enquêtes uitgevoerd naar de paraatheid van de financiële sector voor DORA. Hoewel veel entiteiten vooruitgang hebben geboekt op gebieden zoals ICT-risicobeoordeling en bedrijfscontinuïteitsbeheer, zijn er nog steeds lacunes in incidentrespons, testen en het beheer van ICT-risico's van derden. 

Om naleving te waarborgen, moeten financiële entiteiten: 

• Een grondige herziening uitvoeren van hun bestaande ICT-risicobeheerkaders. 

• Een alomvattend ICT-outsourcingbeleid opstellen en contracten met ICT-dienstverleners van derden herzien. 

• Hun ICT-systemen regelmatig testen en indien nodig dreigingsgeleide penetratietesten uitvoeren. 

• Robuuste procedures voor incidentbeheer en -rapportage ontwikkelen en implementeren, in overeenstemming met de circulaire van de NBB en de uitvoeringsverordening (EU) 2025/302. 

Hoe kunnen andere (niet-financiële) organisaties zich voorbereiden? 

DORA is niet alleen van toepassing op financiële entiteiten, maar kan ook indirect een aanzienlijke impact hebben op organisaties die ICT-diensten leveren aan deze entiteiten. Bovenstaande verplichtingen kunnen immers een impact hebben op dergelijke organisaties: 

• Als uw organisatie ICT-diensten levert aan verschillende financiële entiteiten, overweeg dan om een DORA addendum op te stellen.

• Het ICT-outsourcingbeleid en concentratierisico van financiële entiteiten kunnen indirect een impact op uw organisatie hebben. 

• Uw organisatie kan als "kritiek" worden aangemerkt als de ICT-diensten essentieel zijn voor de stabiliteit van de financiële sector. Deze entiteiten zullen onder toezicht staan van de Europese toezichthoudende autoriteiten. 

Hoe kan Timelex u helpen? 

Het navigeren door de complexiteit van DORA kan een uitdaging zijn. 

Bij Timelex hebben we een team van experts die u kunnen begeleiden en ondersteunen bij het DORA-traject. 

• Wij kunnen assisteren bij het uitvoeren van een gap-analyse van uw bestaande ICT-risicobeheerkaders. 

• Wij kunnen u helpen bij het ontwikkelen en implementeren van robuuste procedures voor incidentbeheer en -rapportage, in overeenstemming met de circulaire van de NBB en de uitvoeringsverordening (EU) 2025/302. 

• Wij kunnen u adviseren bij het opstellen van een ICT-outsourcingbeleid en het herzien van contracten met ICT-dienstverleners van derden. Wij kunnen een DORA addendum opstellen voor zowel financiële entiteiten als organisaties die ICT-diensten leveren aan financiële entiteiten.

• Wij kunnen training- en bewustmakingsprogramma's aan uw werknemers aanbieden over de DORA-vereisten.

DORA is een gamechanger voor de financiële sector en vereist dat entiteiten hun digitale operationele weerbaarheid versterken. Door de vereisten te begrijpen en proactieve stappen te ondernemen om aan de naleving te voldoen, kunnen financiële entiteiten een soepele overgang naar het nieuwe regelgevingslandschap garanderen.

Als u vragen heeft over DORA, aarzel dan niet om contact met ons op te nemen. Boek een videogesprek met ons in: Niels Vandezande.