Wat DORA van het bestuur vraagt

DORA legt de eindverantwoordelijkheid voor digitale weerbaarheid uitdrukkelijk bij het leidinggevend orgaan. Niet bij de ICT-afdeling, niet bij de risicomanager: bij het bestuur. Dat is de belangrijkste bestuurlijke verandering die de verordening meebrengt.

Welke besluiten bij het bestuur liggen

• Vaststellen en jaarlijks herzien van het raamwerk voor ICT-risicobeheer
• Goedkeuren van het beleid voor het gebruik van ICT-diensten van derden
• Vaststellen welke bedrijfsfuncties kritiek of belangrijk zijn
• Goedkeuren van de risicobereidheid: welke ICT-risico’s accepteert u bewust
• Vaststellen van het continuïteits- en herstelbeleid, inclusief de hersteldoelstellingen
• Kennisnemen van majeure incidenten en van de uitkomsten van tests en audits
• Middelen vrijmaken, inclusief opleiding en capaciteit

Het oordeel over criticaliteit is daarvan de belangrijkste, want het stuurt alles daarna: welke contracten de zware eisen krijgen, welke systemen jaarlijks getest worden, waar een exitstrategie moet liggen.

Kennis op peil houden

DORA verwacht dat bestuurders hun kennis over ICT-risico actueel houden. Dat hoeft geen technische opleiding te zijn; het gaat erom dat u de juiste vragen kunt stellen en een antwoord op waarde kunt schatten.

Een vaste set vragen werkt daarvoor beter dan een cursus:

• Welke functies zijn kritiek, en waarom precies die
• Bij wie draaien ze, en wie zit daarachter
• Hoe lang kunnen we zonder, en wanneer hebben we dat voor het laatst gemeten
• Wat kwam er uit de laatste test, en wat is ermee gebeurd
• Wie belt de toezichthouder als het misgaat, en binnen hoeveel uur

Een bestuur dat deze vijf vragen kan stellen en de antwoorden kan beoordelen, voldoet in de praktijk aan de kenniseis.

Van agendapunt naar besluit

Het verschil tussen een bestuur dat dit serieus neemt en een bestuur dat het afvinkt, is zichtbaar in de notulen. Een bespreking zonder besluit, zonder eigenaar en zonder termijn levert geen bewijs op.

Een toezichthouder die vraagt hoe u tot uw oordeel over kritieke functies bent gekomen, wil dat kunnen teruglezen. “Besproken in de vergadering van maart” is geen antwoord; “vastgesteld op basis van deze analyse, met dit besluit” wel.

Praktische inrichting

Wat in de praktijk werkt: een vast kwartaalpunt op de agenda, met een korte rapportage die altijd dezelfde vorm heeft. Openstaande bevindingen, incidenten sinds de vorige keer, wijzigingen in kritieke leveranciers, en de stand van het testprogramma.

Eén bestuurder krijgt het onderwerp in portefeuille. Niet om het alleen te doen, maar om te zorgen dat het niet van iedereen en dus van niemand is.

Aansprakelijkheid

DORA kent niet de expliciete persoonlijke bestuurdersaansprakelijkheid die NIS2 introduceert. Maar de verantwoordelijkheid is wel duidelijk belegd, en de gewone regels over behoorlijke taakvervulling gelden onverkort. Zie hoe dat bij NIS2 is geregeld voor de vergelijking.

Veelgestelde vragen

Kan het bestuur dit delegeren?

De uitvoering wel, de verantwoordelijkheid niet. U mag een functionaris aanwijzen die het werk doet en rapporteert, maar de besluiten en het toezicht blijven bij het bestuur.

Hoe vaak moet dit op de agenda?

Ten minste jaarlijks voor het raamwerk, en daarnaast bij majeure incidenten, testuitkomsten en wijzigingen in kritieke leveranciers. In de praktijk komt dat neer op een vast kwartaalpunt.

Wat als wij geen ICT-kennis in het bestuur hebben?

Dan organiseert u die: via opleiding, via een adviseur die bij de bespreking aanschuift, of via werving. Het ontbreken van kennis is geen geldige reden om de verantwoordelijkheid niet te dragen.

Moet de hele raad dit weten of volstaat één portefeuillehouder?

Eén portefeuillehouder zorgt dat het gebeurt, maar de verantwoordelijkheid is collectief. Elke bestuurder moet de vijf vragen hierboven kunnen stellen en het antwoord kunnen wegen.