Welke documenten heeft u nodig voor DORA?

DORA vraagt geen certificaat maar wel bewijs, en dat bewijs bestaat uit documenten. Hieronder staat wat een toezichthouder in de praktijk opvraagt, gegroepeerd naar waar het over gaat, met per groep waar het misgaat.

Sturend: wat u wilt

• Raamwerk voor ICT-risicobeheer. Het overkoepelende document: hoe u risico’s identificeert, beschermt, detecteert en herstelt. Vastgesteld door het bestuur, met datum
• Risicobereidheid. Welke ICT-risico’s accepteert u bewust en tot welke grens
• Beleid voor ICT-diensten van derden. Hoe u leveranciers selecteert, beoordeelt en beheerst
• Informatiebeveiligingsbeleid. Toegang, versleuteling, wijzigingsbeheer, netwerkscheiding

Waar het misgaat: beleid dat is geschreven voordat de inventarisatie bestond. Dat is herkenbaar aan algemeenheden die op elke organisatie zouden passen.

Vastleggend: wat u heeft

• Overzicht van bedrijfsfuncties met het oordeel kritiek, belangrijk of overig, en de onderbouwing
• Inventarisatie van systemen en gegevens per functie, inclusief afhankelijkheden
• Het informatieregister van al uw ICT-contracten
• Contractmatrix: welk contract voldoet aan welke verplichte bepaling, en waar wijkt u af

Waar het misgaat: documenten zonder datum en zonder eigenaar. Dan is niet vast te stellen of ze nog gelden, en dat maakt ze als bewijs waardeloos.

Werkend: wat u doet

• Incidentprocedure met classificatiedrempels, meldroute en termijnen
• Incidentenlogboek, inclusief de niet-majeure incidenten
• Continuïteits- en herstelplannen per kritieke functie, met hersteldoelstellingen
• Exitstrategieën voor kritieke functies
• Testprogramma en testrapporten, met het bevindingenregister en de opvolging

Waar het misgaat: plannen die nooit zijn beproefd. Een herstelplan zonder gemeten hersteltijd is een aanname, en dat merkt een toezichthouder aan de vraag “wanneer heeft u dit voor het laatst gedaan”.

Aantonend: dat het leeft

• Bestuursnotulen waarin het raamwerk is vastgesteld en incidenten en tests zijn besproken, mét besluiten
• Opleidingsoverzicht van bestuurders en sleutelfunctionarissen
• Verzonden meldingen aan de toezichthouder, met de drie rapportagemomenten
• Bevindingenregister met eigenaren, termijnen en de stand van zaken

Waar het misgaat: notulen waarin iets “is besproken” zonder dat er iets is besloten. Dat levert geen bewijs op dat het bestuur stuurt.

Eén advies over de vorm

Maak er niet vijftien losse documenten van als vijf volstaan. Een toezichthouder beoordeelt of het klopt en of het leeft, niet of het dik is.

Wat wel moet: elk document heeft een eigenaar, een datum en een herzieningsmoment. En ze verwijzen naar elkaar in plaats van elkaar te herhalen, want herhaling is de snelste weg naar documenten die elkaar tegenspreken.

Veelgestelde vragen

Kunnen we onze ISO 27001-documenten hergebruiken?

Voor een groot deel wel. Beleid, risicoanalyse, wijzigingsbeheer en incidentafhandeling zijn grotendeels overdraagbaar. Wat u moet toevoegen zit in het register, de meldketen en het testprogramma. Zie de vergelijking.

Moeten deze documenten in het Nederlands?

Er is geen taaleis in de verordening. Uw toezichthouder moet ze wel kunnen lezen en uw eigen mensen moeten ermee kunnen werken; dat is in de praktijk de doorslaggevende overweging.

Hoe lang bewaren we dit?

Zo lang dat u de ontwikkeling kunt laten zien. Voor incidentrapportages en testresultaten betekent dat meerdere jaren, want de vraag “wat is er sindsdien verbeterd” kunt u anders niet beantwoorden.

Moet alles in één systeem?

Nee, maar er moet wel één plek zijn waar staat wat er is en waar het ligt. Een documentregister van één pagina lost dat op.