DORA begrippenlijst: 20 termen uitgelegd

DORA gebruikt een eigen vocabulaire, en een deel van de verwarring in implementatietrajecten komt voort uit begrippen die net iets anders betekenen dan ze lijken. Twintig termen, in gewone taal.

Reikwijdte

• Financiële entiteit. De verzamelnaam voor de circa twintig categorieën die onder DORA vallen, van banken tot crowdfundingplatforms
• Kritieke of belangrijke functie. Een bedrijfsfunctie waarvan uitval uw dienstverlening, uw financiële soliditeit of uw naleving wezenlijk raakt. Uw eigen oordeel, maar wel te onderbouwen
• Vereenvoudigd raamwerk. Het lichtere regime voor bepaalde kleinere entiteiten. Zie het vereenvoudigde raamwerk
• Proportionaliteit. Het uitgangspunt dat de zwaarte van uw maatregelen past bij uw omvang en risico. Geen vrijbrief om niets te doen

Risico en incidenten

• ICT-risico. Elk risico dat voortkomt uit het gebruik van netwerk- en informatiesystemen, inclusief uitval, fouten en aanvallen
• ICT-gerelateerd incident. Een gebeurtenis die de beveiliging of de werking van uw systemen raakt. Alle incidenten registreert u
• Majeur incident. Een incident dat volgens vastgestelde criteria voldoende impact heeft. Alleen deze meldt u. Zie incidentclassificatie
• Ernstige cyberdreiging. Een dreiging die u zelf nog niet heeft geraakt maar de sector wel kan raken. Melden mag, hoeft niet
• Hersteldoelstelling. Hoe snel een functie weer moet draaien en hoeveel gegevensverlies acceptabel is. Vaak aangeduid als RTO en RPO
• Herstelpunt. Het moment waarnaar u terugvalt bij een herstel. Bepaalt hoeveel werk opnieuw moet worden gedaan

Derde partijen

• ICT-dienstverlener. Elke partij die u een ICT-dienst levert, ook binnen uw eigen groep
• CTPP. Critical ICT Third-Party Provider: een dienstverlener die door de Europese toezichthouders is aangewezen als kritiek en daardoor onder rechtstreeks Europees toezicht staat
• Informatieregister. Het overzicht van al uw ICT-contracten dat u periodiek indient. Zie het informatieregister
• Onderaanneming. Het inschakelen van andere partijen door uw leverancier. Bij kritieke functies moet u die keten kennen
• Exitstrategie. Het plan om van een leverancier af te komen zonder dat de dienstverlening stilvalt. Zie exitstrategie
• Concentratierisico. Het risico dat te veel van uw kritieke functies bij één aanbieder liggen, of dat de hele sector bij dezelfde aanbieder zit

Testen en toezicht

• TLPT. Threat-Led Penetration Testing, een nagebootste aanval op uw productieomgeving op basis van actuele dreigingsinformatie. Zie TLPT
• TIBER. Het Europese kader waarop TLPT leunt, in Nederland bekend als TIBER-NL
• ESA’s. De drie Europese toezichthoudende autoriteiten: EBA voor banken, EIOPA voor verzekeraars en pensioenen, ESMA voor de effectenmarkten
• RTS en ITS. Technische standaarden die de ESA’s uitwerken en die invullen hoe u de verordening precies toepast

Drie begrippen die door elkaar lopen

Uitbesteding tegenover ICT-dienst. Uitbesteding gaat over het uitbesteden van een bedrijfsproces, een ICT-dienst over het gebruik van techniek. Ze overlappen maar zijn niet hetzelfde, en uw uitbestedingsregister dekt het informatieregister dus niet automatisch.

Incident tegenover storing. Elke storing is een incident, maar niet elk incident is een storing: ook een beveiligingsinbreuk zonder uitval is een ICT-incident.

Kritiek voor u tegenover CTPP. U kunt een leverancier kritiek vinden zonder dat hij als CTPP is aangewezen; die aanwijzing doen de Europese toezichthouders op basis van sectorbrede afhankelijkheid.

Veelgestelde vragen

Wat is het verschil tussen kritiek en belangrijk?

In de praktijk lopen de verplichtingen voor beide vrijwel gelijk op; DORA noemt ze meestal in één adem. Het onderscheid dat er echt toe doet is dat tussen wel en niet: voor functies die geen van beide zijn, gelden de zware eisen rond contracten en exit niet.

Is een CTPP hetzelfde als een kritieke leverancier van mij?

Nee, zie hierboven. Het zijn twee verschillende oordelen door twee verschillende partijen.

Waar vind ik de officiële definities?

In artikel 3 van de verordening, en in de technische standaarden die de ESA’s hebben uitgewerkt. Deze lijst is een vertaling naar gewone taal, geen vervanging.