Digital Operational Resilience Act

Schrijver: Roos van Putten, Adviseur Informatiebeveiliging

Digital Operational Resilience Act

De Digital Operational Resilience Act, DORA, is een Europese verordening die is gericht op het verbeteren van de veerkrachtigheid van de financiële sector. Operationele veerkracht refereert naar het vermogen van een organisatie om door te gaan met het leveren van diensten, ook tijdens of na incidenten, zoals cyberaanvallen of technische storingen.
Het digitale dreigingsbeeld neemt toe, net als het aantal cyberaanvallen. Dit vormt de noodzaak om regelgeving te ontwikkelen over cyberbeveiliging en operationele veerkracht, specifiek voor de financiële sector. Financiële organisaties zoals banken, verzekeringsmaatschappijen en investeringsbedrijven zijn kwetsbaar voor cyberaanvallen vanwege de gevoelige gegevens die ze beheren. DORA is ontworpen om ervoor te zorgen dat deze organisaties goed voorbereid zijn op incidenten en beveiligingsmaatregelen nemen om hun systemen en gegevens te beschermen.

DORA introduceert een aantal belangrijke vereisten voor financiële organisaties om hun operationele veerkracht te waarborgen:

1. IT-risicobeheer: Organisaties moeten sterke interne processen en controles hebben voor het beheren van IT-risico’s. Dit omvat het identificeren, evalueren en beperken van risico’s die verband houden met IT en cyberbeveiliging.
2. Incidentrapportage: Financiële organisaties zijn verplicht om ernstige IT-gerelateerde incidenten te melden aan autoriteiten. Dit helpt bij het creëren van een beter begrip van de aard en frequentie van cyberdreigingen en stelt regelgevers in staat om passende maatregelen te nemen.
3. Operationele veerkracht testen: DORA vereist dat organisaties regelmatig testen uitvoeren op hun IT-systemen om hun operationele veerkracht te testen. Voorbeelden van testen zijn penetratietesten of scenario-gebaseerde (crisis)oefeningen om te controleren hoe goed een organisatie zich kan herstellen van incidenten.
4. Third party management: Veel financiële organisaties vertrouwen op externe leveranciers voor bepaalde IT-diensten. DORA stelt strikte eisen aan het beheer van deze derde partijen, allereerst middels het overeenkomen van duidelijke contractuele afspraken met betrekking tot beveiliging en risicobeheer. Daarbij zullen opdrachtgevers due diligence moeten toepassen, inclusief het periodiek monitoren van ICT-risico’s en security prestaties in de gehele toeleveringsketen.
5. Informatie-uitwisseling en samenwerking: Om een bredere reactie op cyberdreigingen te bevorderen, moedigt DORA de samenwerking en het delen van informatie tussen financiële organisaties en overheidsinstanties aan.

DORA zal aanzienlijke implicaties hebben voor hoe financiële organisaties hun IT-beveiliging en operationele processen beheren. Organisaties zullen moeten investeren in hun infrastructuur en processen om te voldoen aan de strenge eisen die DORA stelt. Dit kan betekenen dat er nieuwe systemen moeten worden geïmplementeerd, dat er personeel moet worden opgeleid en dat er nieuwe eisen aan externe partijen worden gesteld.

Daarnaast zal DORA waarschijnlijk leiden tot een grotere transparantie en consistentie in de manier waarop incidenten worden gerapporteerd en afgehandeld, wat uiteindelijk bijdraagt aan een financiële sector die beter bestand is tegen digitale dreigingen.

DORA vertegenwoordigt een belangrijke stap vooruit in de beveiliging van de Europese financiële sector tegen de groeiende dreiging van cyberaanvallen en andere IT-gerelateerde risico’s. Door duidelijke richtlijnen en eisen op te stellen voor operationele veerkracht en IT-risicobeheer, helpt DORA ervoor te zorgen dat financiële organisaties goed voorbereid zijn op de uitdagingen van het digitale tijdperk. Organisaties die proactief werken om aan DORA te voldoen, zullen niet alleen voldoen aan de wettelijke vereisten, maar zullen ook een sterker vertrouwen krijgen van hun klanten en partners, wat cruciaal is in een tijdperk waarin digitale veiligheid van het grootste belang is.

Heb jij hulp nodig bij het voldoen aan de DORA of heb je hier vragen over? Neem contact op met Eberly Haalboom, Manager IT Security Consultants, ehaalboom@dignitas.nl, 06-52044763.

Lees meer over Informatiebeveiliging

Gerelateerde berichten

• Organisatiebrede informatiebeveiliging verantwoordelijkheid
• SURFaudit
• Security awareness
• Een verhaal van groei en innovatie in IAM/IGA
• Een Gids voor de NIS2-Richtlijn