IT-risico en cyberbeveiliging in financiële dienstverlening: wat DORA vereist

Wie DORA eigenlijk dekt

De reikwijdte van DORA is breder dan de meeste bedrijven aanvankelijk aannemen. Banken en beleggingsondernemingen zijn de voor de hand liggende doelwitten, maar de regelgeving heeft betrekking op meer dan twintig verschillende categorieën financiële entiteiten. Betaalinstellingen, instellingen voor elektronisch geld, verzekerings- en herverzekeringsondernemingen, verzekeringstussenpersonen, aanbieders van crypto-activadiensten, kredietbeoordelaars en transactieregisters vallen allemaal binnen het toepassingsgebied. Dat geldt ook voor externe ICT-dienstverleners zelf, wanneer deze door de Europese toezichthoudende autoriteiten als cruciaal worden aangemerkt.

Als uw organisatie diensten levert aan financiële entiteiten, heeft u mogelijk DORA-verplichtingen, zelfs als u geen gereguleerde financiële onderneming bent. Cloudproviders, softwareleveranciers en data-analyseproviders die financiële bedrijven in de reikwijdte bedienen, zijn onderworpen aan toezicht onder het ICT-risicoraamwerk voor derden. De ESA's wijzen Critical Third Party Providers (CTPP's) aan, die vervolgens onder direct toezicht staan ​​van toezichthouders op EU-niveau.

Britse bedrijven die binnen de EU actief zijn of diensten verlenen aan financiële entiteiten in de EU, moeten controleren of hun EU-activiteiten of -regelingen deze binnen het bereik van DORA brengen. Het Britse raamwerk voor operationele veerkracht (de FCA- en PRA-regels die in maart 2022 van kracht werden) bestrijkt in eigen land soortgelijke terreinen, maar is een afzonderlijk regime.

De vijf pijlers: wat elke pijler vraagt

DORA organiseert zijn vereisten in vijf gebieden. Begrijpen wat elk ervan in de praktijk vraagt, is iets anders dan het lezen van de kopbeschrijving.

ICT-risicobeheer. Bedrijven moeten een raamwerk voor ICT-risicobeheer handhaven dat identificatie, bescherming, detectie, reactie en herstel omvat, dat wordt beoordeeld na grote incidenten, na wijzigingen in uw ICT-omgeving, en ten minste jaarlijks. Het raamwerk moet alle ICT-middelen bestrijken, worden goedgekeurd door het leidinggevend orgaan en worden getest.

Incidentbeheer en rapportage. Bedrijven moeten ICT-gerelateerde incidenten classificeren volgens de criteria van DORA (met betrekking tot de impact op de klant, de duur, de geografische spreiding en gegevensverlies) en grote incidenten melden aan de bevoegde autoriteiten. De eerste kennisgeving is vereist binnen vier uur na classificatie, met een gedetailleerd rapport binnen 72 uur. Het eindrapport wordt binnen een maand verwacht. Deze tijdlijnen staan ​​los van, en zijn soms strenger dan, de GDPR-vereisten voor melding van inbreuken.

Digitale operationele veerkracht testen. Alle entiteiten die binnen het toepassingsgebied vallen, moeten jaarlijks basistests uitvoeren, inclusief kwetsbaarheidsbeoordelingen en netwerkbeveiligingstests. Belangrijke entiteiten worden geconfronteerd met een aanvullende vereiste: elke drie jaar een Threat-Led Penetration Testing (TLPT). TLPT is een gestructureerde rode teamoefening die wordt uitgevoerd tegen live productiesystemen met behulp van echte dreigingsinformatie. Het is aanzienlijk veeleisender dan een standaard penetratietest.

ICT-risicobeheer van derden. Alle afspraken met externe ICT-dienstverleners moeten worden gedocumenteerd, met schriftelijke contracten die voldoen aan de contractuele vereisten van DORA. Bedrijven moeten een informatieregister bijhouden dat alle ICT-regelingen bestrijkt, en niet alleen de cruciale. Dit register moet op verzoek aan de bevoegde autoriteiten worden overgelegd.

Informatie delen. Bedrijven kunnen informatie over cyberdreigingen delen met andere financiële entiteiten. Dit is eerder tolerant dan verplicht, maar toezichthouders verwachten betrokkenheid bij informatie-uitwisselingsgemeenschappen die relevant zijn voor uw sector.

ICT-risico van derden: waar de meeste bedrijven tekortschieten

In pijler vier zitten de grootste leemten in de naleving. De meeste financiële bedrijven beschikken over een vorm van leveranciersrisicobeheer, dat doorgaans inkoopcontroles, contractuele aansprakelijkheidsclausules en periodieke, op vragenlijsten gebaseerde beoordelingen omvat. De eisen van DORA gaan verder op alle drie de dimensies.

De Register van informatie Deze eis zorgt ervoor dat de meeste bedrijven onvoorbereid zijn. DORA vereist een volledige inventaris van alle ICT-afspraken met derden, inclusief onderaannemers die door uw directe leveranciers worden gebruikt voor het leveren van diensten aan u. De meeste organisaties kunnen rekening houden met hun eerstelijnsleveranciers. Het volgen van de afhankelijkheid van niveau twee en drie is moeilijker, en DORA verwacht dit voor kritieke regelingen.

De contractuele eisen zijn specifiek. In DORA Artikel 30 wordt vastgelegd wat ICT-contracten moeten bevatten: beschrijving van diensten, datalocaties, meldingsplichten van incidenten door de aanbieder, deelnamerechten aan audits en penetratietesten, en bepalingen met betrekking tot de bedrijfscontinuïteit. Als uw bestaande contracten met cloudproviders en softwareleveranciers van vóór januari 2025 dateren, zullen over veel daarvan opnieuw moeten worden onderhandeld.

Concentratierisico wordt direct aangepakt. DORA vereist dat bedrijven concentratierisico's identificeren en aanpakken die voortkomen uit de afhankelijkheid van één enkele ICT-provider of een klein aantal providers voor kritieke functies. Als uw betalingsverwerking, kernbankplatform en noodherstel allemaal bij dezelfde cloudprovider plaatsvinden, is dat een concentratierisico dat u moet hebben beoordeeld en gedocumenteerd.

Veerkrachttesten: wat TLPT eigenlijk inhoudt

Standaard jaarlijkse tests onder DORA omvatten kwetsbaarheidsbeoordelingen, op scenario's gebaseerde analyses en netwerkbeveiligingstests. Dit zijn vereisten voor tafelinzetten. TLPT is de veeleisendere verplichting die van toepassing is op belangrijke entiteiten, gedefinieerd als entiteiten met aanzienlijk systeemrelevant op basis van omvang, onderlinge verbondenheid of grensoverschrijdende activiteiten.

TLPT verschilt op drie punten van een standaard penetratietest. Ten eerste is het gebaseerd op echte dreigingsinformatie over de specifieke technieken en instrumenten die worden gebruikt tegen financiële bedrijven in uw regio en sector. Ten tweede test het live productiesystemen, geen testomgevingen. Ten derde vereist het voorafgaande coördinatie met uw bevoegde autoriteit voordat de test begint.

De tests moeten worden uitgevoerd door gecertificeerde aanbieders. In de EU worden de certificeringsvereisten voor leveranciers vastgesteld door TIBER-EU, het Europese raamwerk voor op dreigingsinformatie gebaseerde ethische red-teaming. Als uw organisatie al heeft deelgenomen aan TIBER-NL (Nederlandse implementatie) of TIBER-GB assessments, tellen deze oefeningen mee voor de TLPT-vereiste van DORA, onder voorbehoud van bevestiging door uw bevoegde autoriteit.

Drie dingen om nu prioriteit te geven

Als uw DORA-programma nog in uitvoering is, zullen deze drie gebieden bepalen hoe uw volgende toezichtgesprek zal verlopen.

De handhaving van DORA ligt in handen van de nationale bevoegde autoriteiten (DNB en AFM in Nederland, de FCA en PRA in het VK voor hun gelijkwaardige kaders). DNB heeft haar toezichtprioriteiten voor 2025 en 2026 gepubliceerd, waarbij de DORA-implementatie expliciet wordt vermeld. Bedrijven die een gestructureerd programma met gedocumenteerd bewijs kunnen aantonen, bevinden zich in een aanzienlijk sterkere positie dan bedrijven die de regelgeving in de eerste plaats als een papierwerk beschouwen.

Het DORA-reglement is gepubliceerd op EUR-Lex (Verordening 2022/2554). De Europese Bankautoriteit publiceert de technische reguleringsnormen, technische uitvoeringsnormen en richtlijnen met betrekking tot ICT-risicobeheer, classificatie van incidenten en toezicht door derden op eba.europa.eu.