Je ontkomt er thuis of in de winkel niet aan, we worden dagelijks geconfronteerd met het feit dat de financiële sector onmiskenbaar digitaal getransformeerd is. En daarmee is de sector sterk afhankelijk geworden van technologische infrastructuur. Met die evolutie is de noodzaak toegenomen om de digitale operationele weerbaarheid te versterken.
Hier komt de Digital Operational Resilience Act (DORA) in beeld, een Europese wetgeving die is ontworpen om de financiële sector te beschermen tegen digitale dreigingen en operationele verstoringen.
Achtergrond van DORA
De aanleiding voor DORA ligt in de groeiende bezorgdheid over cyberdreigingen en de toenemende complexiteit van digitale systemen binnen de financiële sector. Incidenten zoals cyberaanvallen, systeemstoringen en gegevenslekken hebben aangetoond dat operationele verstoringen verstrekkende gevolgen kunnen hebben, niet alleen voor individuele instellingen maar ook voor de financiële stabiliteit als geheel.
De Europese Unie heeft erkend dat een gefragmenteerde aanpak van digitale risico’s niet voldoende is. Verschillende lidstaten hadden tot voor kort hun eigen regels en normen, wat leidde tot inconsistenties en hiaten in de bescherming. DORA is ontwikkeld om een geharmoniseerd regelgevingskader te bieden dat consistent is over alle EU-lidstaten, met als doel een veerkrachtiger financiële sector te creëren die beter bestand is tegen digitale risico’s.
Wetgeving en verplichtingen
DORA stelt een reeks wettelijke verplichtingen vast voor financiële entiteiten en ICT-dienstverleners die aan deze sector verbonden zijn. De wetgeving omvat verschillende kerngebieden:
- ICT-risicobeheer: Financiële instellingen moeten robuuste ICT-risicobeheerraamwerken implementeren. Dit omvat het identificeren, monitoren en beperken van ICT-gerelateerde risico’s, met inbegrip van cyberdreigingen.
- Incidentrapportage: Er worden gestandaardiseerde procedures geïntroduceerd voor het melden van significante ICT-gerelateerde incidenten aan de bevoegde autoriteiten. Dit bevordert een snellere reactie en betere coördinatie bij het aanpakken van incidenten.
- Tests van digitale operationele veerkracht: Instellingen zijn verplicht om regelmatig hun digitale weerbaarheid te testen, bijvoorbeeld door penetratietesten en andere evaluatiemethoden, om kwetsbaarheden proactief te identificeren en aan te pakken.
- Beheer van derde partijen: DORA legt ook nadruk op het beheer van risico’s die voortvloeien uit externe ICT-dienstverleners. Financiële instellingen moeten due diligence uitvoeren en toezicht houden op hun externe partners om ervoor te zorgen dat zij voldoen aan de vereiste normen voor digitale weerbaarheid.
- Informatie-uitwisseling: De wetgeving moedigt aan tot meer samenwerking en informatie-uitwisseling tussen financiële entiteiten over cyberdreigingen en kwetsbaarheden, wat bijdraagt aan een collectieve versterking van de sector.
Wanneer wordt DORA actief?
DORA is in feite al op 16 januari 2023 in werking getreden, maar de meeste bepalingen worden pas vanaf 17 januari 2025 van toepassing. Deze uitsteltermijn is bedoeld om financiële instellingen de gelegenheid te geven zich voor te bereiden op de nieuwe regels.
Toekomstperspectief
Voor leidinggevenden in de financiële sector betekent DORA een significante verschuiving in hoe digitale risico’s worden beheerd. Het zal absoluut een toename van verantwoordelijkheden betekenen. IT managers en Ciso’s zullen nauw moeten samenwerken met andere afdelingen binnen de organisatie om een robuust cybersecurity-programma op te zetten en te onderhouden. Daarnaast zullen ze moeten zorgen voor een adequate communicatie over cybersecurityrisico’s naar de raad van bestuur en andere belanghebbenden.
Het naleven van deze wetgeving vereist niet alleen technische aanpassingen maar ook organisatorische veranderingen. Het creëren van een cultuur van bewustzijn en het bevorderen van proactieve risicobeheerpraktijken zal binnen alle lagen van de organisatie van groot belang worden.
Het is ook te verwachten dat toezichthouders streng zullen toezien op de naleving van DORA, met mogelijke sancties voor niet-naleving. Door zo’n streng toezicht zal DORA waarschijnlijk bijdragen aan een stabieler en veiliger financieel systeem.
Op lange termijn kan DORA dienen als katalysator voor innovatie in cyberbeveiliging en risicobeheer. Door duidelijke normen en verwachtingen vast te stellen, stimuleert de wetgeving financiële instellingen om te investeren in geavanceerde beveiligingstechnologieën en -processen. Bovendien kan de verhoogde nadruk op samenwerking leiden tot gedeelde inzichten en best practices, waardoor de algehele weerbaarheid van de sector wordt versterkt.
