DORA uitgelegd: digitale weerbaarheid voor de financiële sector
DORA is een nieuwe Europese wet speciaal voor de financiële sector. Als je bij een bank, verzekeraar of andere financiële instelling werkt, is dit artikel voor jou.
Wat is DORA?
DORA staat voor "Digital Operational Resilience Act". In het Nederlands: de wet voor digitale operationele weerbaarheid. Het is een Europese verordening die sinds januari 2025 volledig van kracht is.
De kern: DORA verplicht financiële instellingen om hun IT-systemen zo in te richten dat ze bestand zijn tegen verstoringen en cyberaanvallen.
Waarom is DORA er?
De financiële sector is steeds afhankelijker van IT. Als de systemen van een grote bank uitvallen, heeft dat gevolgen voor miljoenen mensen. Cyberaanvallen op financiële instellingen nemen toe. DORA zorgt voor uniforme Europese regels om de sector weerbaarder te maken.
Wie valt onder DORA?
DORA geldt voor bijna alle financiële partijen:
- Banken
- Verzekeraars
- Pensioenfondsen
- Beleggingsondernemingen
- Cryptodienstverleners
- Betaalinstellingen
Maar ook ICT-dienstverleners aan de financiële sector kunnen onder DORA vallen.
De vijf pijlers van DORA
DORA is opgebouwd rond vijf thema's:
1. ICT-risicobeheer
Je moet een framework hebben om ICT-risico's te identificeren, beoordelen en beheersen.
2. ICT-incidentenmanagement
Je moet incidenten kunnen detecteren, registreren, classificeren en melden.
3. Digitale weerbaarheidstesten
Je moet regelmatig testen of je systemen bestand zijn tegen aanvallen. Denk aan penetratietesten.
4. ICT third-party risk
Je moet je leveranciers beoordelen en monitoren. Als zij gehackt worden, heb jij ook een probleem.
5. Informatie-uitwisseling
Je moet deelnemen aan het delen van dreigingsinformatie met andere partijen.
Hoe verhoudt DORA zich tot andere normen?
DORA heeft overlap met andere normen:
- ISO 27001 - DORA gaat verder op bepaalde punten
- NIS2 - Sommige financiële instellingen vallen ook onder NIS2
- DNB-toezicht - De Nederlandsche Bank houdt toezicht
Met ComplyGuide hoef je geen dubbel werk te doen. De overlappende eisen worden automatisch herkend.
Hoe helpt ComplyGuide?
ComplyGuide bevat alle DORA-eisen vertaald naar concrete taken. Je kunt:
- Je ICT-risico's documenteren
- Leveranciers beoordelen
- Bewijs verzamelen voor audits van DNB
- Rapporten maken voor het management