Wat er in 2025 veranderde
De Digital Operational Resilience Act geldt sinds januari 2025 voor financiële entiteiten in de EU en bepaalt hoe zij ICT-risico moeten beheersen, inclusief het risico van externe aanbieders. Ze moeten een register bijhouden van elke ICT-aanbieder, elke aanbieder vóór het contract beoordelen, specifieke bepalingen in elk contract opnemen en strengere regels toepassen als de aanbieder een kritieke of belangrijke functie ondersteunt. De vragenlijst die u ontvangt is de beoordeling; het contractaddendum dat erop volgt bevat de bepalingen.
Wat een DORA-vragenlijst vraagt
Naast de gebruikelijke beveiligingsvragen kunt u secties verwachten die u misschien nog niet eerder zag:
- Uw ICT-risicobeheer: hoe u identificeert, beschermt, detecteert, reageert en herstelt, en wie op managementniveau verantwoordelijk is.
- Incidentrapportage: uw classificatie, uw meldtermijnen en of u de eigen rapportage van de klant aan zijn toezichthouder kunt ondersteunen.
- Weerbaarheidstests: welke tests u uitvoert, hoe vaak, en of u zou meedoen aan de dreigingsgestuurde penetratietests van de klant.
- Bedrijfscontinuïteit en exit: hersteldoelstellingen, geteste continuïteitsplannen, en hoe de klant uw dienst zou verlaten of ervan zou migreren, met welke hulp en binnen welke termijn.
- Onderaanneming: wie uw eigen aanbieders zijn, waar ze zitten en hoe u de klant informeert voordat u ze wijzigt.
- Locatie: waar gegevens worden verwerkt en opgeslagen, en van waaruit de dienst wordt geleverd.
- Audit- en toegangsrechten: of de klant, zijn auditors en zijn toezichthouder u mogen controleren, en hoe.
Antwoorden als leverancier
De meeste rijen worden beantwoord uit dezelfde bibliotheek als elke andere beveiligingsvragenlijst. De DORA-specifieke rijen vragen om een besluit, niet alleen om een feit: welke meldtermijn u toezegt, welke exithulp u biedt, of u auditrechten accepteert en onder welke voorwaarden, en hoeveel tijd van tevoren u een wijziging van een subverwerker meldt. Beslis dit eenmalig, samen met wie uw contracten tekent, leg het vast en beantwoord elke DORA-vragenlijst met dezelfde tekst. Een leverancier die deze rijen bij alle klanten consistent beantwoordt, heeft het in de contractfase makkelijker, omdat het addendum dan overeenkomt met de vragenlijst.
Bewijs waar ze om zullen vragen
Een assurancerapport over uw beheersmaatregelen (ISAE 3000, ISAE 3402 of SOC 2 Type II) verkort de beoordeling aanzienlijk en maakt vaak het verschil tussen een vragenlijst en een audit op locatie. Resultaten van continuïteitstests, het incidentresponsplan en de lijst van subverwerkers worden bijna altijd gevraagd. Houd ze actueel, met datums; DORA-beoordelaars controleren datums. Responsemate bewaart het bewijs naast de antwoorden, elk met een vervaldatum, en stelt de rijen van de vragenlijst op uit de besluiten die u eenmalig heeft vastgelegd. Hoe bestanden en bewijs actueel blijven.
Veelgestelde vragen
Geldt DORA voor softwareaanbieders?
Niet rechtstreeks, tenzij u bent aangewezen als kritieke externe ICT-aanbieder. Maar DORA geldt wel voor uw financiële klanten en schrijft hun in detail voor wat ze over u moeten weten en wat er in hun contract met u moet staan. De vragenlijst en het contractaddendum zijn hun manier om te voldoen.
Wat is een kritieke of belangrijke functie onder DORA?
Een functie waarvan uitval de prestaties, verplichtingen of vergunning van de financiële entiteit wezenlijk zou aantasten. Ondersteunt uw dienst er een, reken dan op de langste vragenlijst, exitplannen, auditrechten en een vermelding met uw gegevens in het register.