Français
English
DeutschDORA-conformiteit
Sinds 17 januari 2025 verplicht de DORA-verordening financiële entiteiten om hun ICT-risico's te beheersen, ernstige incidenten te melden en hun ICT-dienstverleners te omkaderen. Wij helpen u de tekortkomingen in kaart te brengen en weg te werken, met de meer dan 25 jaar ervaring van onze oprichter in beveiligingsgovernance, onder meer in de financiële sector.
Voor wie
- Banken, verzekerings- en herverzekeringsondernemingen, beleggingsondernemingen en beheervennootschappen.
- Betalingsinstellingen en instellingen voor elektronisch geld, aanbieders van cryptoactivadiensten.
- Kleinere entiteiten, waarvoor DORA in evenredige eisen voorziet.
- IT-dienstverleners van financiële klanten, die van die klanten de contractuele eisen van DORA opgelegd krijgen.
Wat wij doen
Gap-analyse
Evaluatie van uw kader voor ICT-risicobeheer ten opzichte van DORA en de technische normen ervan, in verhouding tot uw omvang en uw risicoprofiel.
Informatieregister
Inventaris van de contractuele regelingen met uw ICT-dienstverleners, up-to-date gehouden en klaar voor de jaarlijkse rapportering aan de toezichthouder (NBB of FSMA).
Ernstige incidenten
Procedures voor classificatie volgens de criteria van DORA en voor melding binnen de termijnen, met de steun van digitaal forensisch onderzoek.
Derde aanbieders van ICT-diensten
Risicobeoordeling voor het contract, verplichte contractbepalingen, opvolging en exitstrategieën.
Weerbaarheidstests
Een evenredig testprogramma: kwetsbaarheidsanalyses, penetratietesten, configuratiereviews en crisisoefeningen.
Opleiding van de directie
Het leidinggevend orgaan draagt de eindverantwoordelijkheid voor ICT-risico's en moet zijn kennis actueel houden: wij leiden de leden ervan op, net als het personeel.
Onze aanpak
DORA vraagt bewijzen, niet alleen beleid. Elke maatregel wordt gedocumenteerd, zodat hij aan de toezichthouder of aan een auditor kan worden voorgelegd.
Kwalificatie
Uw status onder DORA, de bevoegde autoriteit en eventuele versoepelingen op basis van uw omvang.
Gap-analyse
Nazicht van beleid, procedures, register en contracten, op basis van de beschikbare bewijzen.
Actieplan
Maatregelen geprioriteerd volgens risico en inspanning, goedgekeurd door het leidinggevend orgaan.
Uitvoering en bewijzen
Beleid, register en procedures opgesteld of bijgewerkt met uw teams, en daarna in een oefening getest.
Veelgestelde vragen
DORA of NIS2: welke is van toepassing?
Voor een financiële entiteit die onder DORA valt, gelden de DORA-regels over ICT-risicobeheer en incidentmelding, in plaats van de overeenstemmende bepalingen van NIS2. Een niet-financiële IT-dienstverlener valt zelf onder NIS2 als hij aan de criteria voldoet.
Wij zijn IT-dienstverlener van een bank: valt ons bedrijf onder DORA?
Onrechtstreeks. Uw klanten moeten de door DORA opgelegde bepalingen in hun contracten opnemen, hun dienstverleners beoordelen en ze kunnen auditen: verwacht vragenlijsten en vragen om bewijzen. Alleen dienstverleners die de Europese autoriteiten als kritiek aanwijzen, staan onder rechtstreeks toezicht.
Wat is het informatieregister?
Het is het register van alle contractuele regelingen voor ICT-diensten met derde aanbieders, in het formaat dat de Europese toezichthoudende autoriteiten vastleggen. Het moet up-to-date gehouden worden en jaarlijks aan de bevoegde autoriteit bezorgd worden.
Zijn dreigingsgestuurde penetratietests (TLPT) verplicht?
Alleen voor de entiteiten die de bevoegde autoriteit aanwijst, meestal de grootste. Alle entiteiten moeten wel een evenredig testprogramma hebben: kwetsbaarheidsanalyses, penetratietesten, reviews en oefeningen.
Is DORA van toepassing op kleine entiteiten?
Ja, op een evenredige manier. Sommige entiteiten, zoals kleine en niet-verweven beleggingsondernemingen, mogen een vereenvoudigd kader voor ICT-risicobeheer toepassen, en micro-ondernemingen genieten versoepelingen.