Wat zijn de belangrijkste verplichtingen onder de DORA?

Financiële entiteiten moeten hun ICT-risico’s structureel beheersen. Zij moeten daarom in kaart brengen welke bedrijfsprocessen afhankelijk zijn van (externe) ICT-diensten, welke systemen en gegevens daarvoor belangrijk zijn en welke risico’s zich (kunnen) voordoen. Vervolgens moeten zij maatregelen nemen om incidenten te voorkomen, snel te ontdekken en goed af te handelen. Ook moeten zij zorgen voor werkende back-ups, herstelplannen en duidelijke verantwoordelijkheden binnen de organisatie.

Daarnaast moeten financiële entiteiten ICT-incidenten, waaronder cyberaanvallen, registreren en beoordelen. Ernstige ICT-incidenten moeten bij de verantwoordelijke toezichthouder worden gemeld. In Nederland zijn dit de Autoriteit Financiële Markten en De Nederlandsche Bank. Naast een meldplicht op grond van de DORA kunnen er ook andere meldplichten zijn, waaronder op grond van de Algemene Verordening Gegevensbescherming (AVG).

Ook moeten zij hun digitale weerbaarheid regelmatig testen. Voor bepaalde financiële entiteiten kan een uitgebreide beveiligingstest op basis van realistische dreigingen verplicht zijn

Tot slot moeten financiële entiteiten de risico’s van externe ICT-dienstverleners beheersen, zoals cloud-, software- en hostingproviders. Zij moeten alle contracten over ICT-diensten opnemen in een informatieregister en duidelijke afspraken maken over onder meer beveiliging, incidenten, continuïteit, controle en de beëindiging van de dienstverlening.