DORAkenmerken

DORA kenmerken verwijst naar de belangrijkste kenmerken van de Digital Operational Resilience Act (DORA), een EU-verordening die de operationele veerkracht van de financiële sector moet versterken tegen ICT- en cyberrisico’s. De verordening beoogt een samenhangend kader te bieden voorICT-risicobeheer, meldplicht en toetsen, met als doel continuïteit van kritieke diensten te waarborgen.

Een kernelement is bestuur en ICT-risicobeheer. Financiële instellingen moeten een duidelijk governance- en risicobeheerkader opzetten, inclusief een ICT-risicobeleid, verantwoordelijkheidstoewijzing op bestuursniveau en een duidelijke risicobereidheid. Dit omvat ook incidentrespons en vestiging van procedures voor detectie, meldingen en herstel.

Incidentmelding is een centraal kenmerk. Organisaties zijn verplicht om significante ICT-incidenten binnen gestelde termijnen aan de bevoegde autoriteiten te melden en relevante informatie te delen. Zo ontstaat betere coördinatie en een snellere respons op collectieve dreigingen.

Derdenrisicobeheer en toeleveringsketen vallen onder DORA. Het gaat om due diligence, contractuele verplichtingen en continu toezicht op kritieke ICT-diensten leveranciers, inclusief bewaking van afhankelijkheden uit derde landen en passende mitigaties.

Digital resilience testing is verplicht. Grote en systemisch relevante entiteiten moeten periodiek testen uitvoeren, zoals threat-led testing, penetratietesten en herstel- en continuïteitsprocedures, om kwetsbaarheden tijdig te identificeren en te verhelpen.

Informatie-uitwisseling en samenwerking worden gestimuleerd. De verordening moedigt beveiligings- en dreigingsinformatie-uitwisseling aan tussen partijen en relevante autoriteiten om de collectieve veerkracht te vergroten.

Toezicht en handhaving. Nationale toezichthouders en Europese autoriteiten controleren naleving en kunnen sancties opleggen bij tekortkomingen, met aandacht voor consistentie en harmonisatie binnen de interne markt.