Een DORA gap-analyse uitvoeren

Een gap-analyse legt uw huidige situatie naast de eisen van DORA en laat zien waar u nog niet voldoet. De waarde zit niet in de lijst met gaten, maar in de prioritering die eruit volgt.

Voorwerk: zonder inventarisatie geen analyse

Een gap-analyse zonder inventarisatie levert schijnzekerheid op. U beoordeelt dan eisen in het luchtledige: u weet wel dat er een exitstrategie moet zijn voor kritieke functies, maar niet welke functies dat zijn.

Zorg dus eerst dat u weet welke bedrijfsfuncties kritiek zijn en welke ICT ze draagt. Zie stap 1 en 2 van het stappenplan.

De vragen per pijler

ICT-risicobeheer

Is er een vastgesteld raamwerk, en wanneer is het voor het laatst herzien? Is er een actueel overzicht van systemen en afhankelijkheden, met een datum en een eigenaar? Zijn de hersteldoelstellingen per kritieke functie vastgelegd, en door wie? Zijn ze ooit gemeten?

Incidenten

Registreert u alle ICT-incidenten of alleen de grote? Liggen de classificatiedrempels vooraf vast en zijn ze vertaald naar uw omvang? Weet de dienstdoende collega wie er meldt en binnen hoeveel uur? Kunt u op oorzaak groeperen om patronen te zien?

Testen

Bestaat er een testprogramma of gebeurt het ad hoc? Worden kritieke systemen jaarlijks getest? Is herstel ooit echt geoefend, of alleen beschreven? Krijgen bevindingen een eigenaar en een termijn?

Derde partijen

Is het register compleet, inclusief onderaannemers bij kritieke functies en intragroepsdienstverlening? Voldoen de contracten aan de verplichte bepalingen, en weet u waar ze afwijken? Bestaat er een exitstrategie die realistisch is, en is die ooit beproefd?

Informatiedeling en bestuur

Neemt u deel aan een uitwisselingsverband, en is dat gemeld? Staat digitale weerbaarheid periodiek op de bestuursagenda, met besluiten in de notulen?

De uitkomst bruikbaar maken

Noteer per gat drie dingen: wat ontbreekt, wat het risico is als het zo blijft, en wie het oppakt met welke termijn. Een gap-analyse zonder eigenaar en termijn wordt een document dat een jaar later ongewijzigd wordt teruggevonden.

Prioriteer op risico maal moeite. De combinatie van hoog risico en weinig werk pakt u eerst; dat levert ook het vertrouwen op om aan de zware punten te beginnen. Laat u niet verleiden om te beginnen met wat het makkelijkst afgevinkt is.

Laat iemand meelezen

Alle klassieke fouten zijn van binnenuit onzichtbaar, want ze voelen op het moment zelf als een verstandige keuze. Iemand van buiten het traject die de analyse tegenleest, vindt er doorgaans binnen een uur twee. Zie de zeven meestgemaakte fouten.

Veelgestelde vragen

Kunnen we dit zelf, of hebben we hulp nodig?

Zelf kan goed, mits iemand de tijd krijgt en het mandaat heeft om gegevens op te vragen. Externe hulp loont vooral bij de vraag wat proportioneel is voor uw omvang. Zie zelf doen of een consultant.

Hoe vaak herhalen we dit?

Jaarlijks als lichte toets, en daarnaast bij wezenlijke veranderingen: een nieuwe kritieke leverancier, een grote systeemmigratie of een majeur incident.

Wat als er heel veel gaten zijn?

Dat is normaal bij een eerste analyse en het is geen reden tot paniek. Wat telt is dat u ze kent, dat ze geprioriteerd zijn en dat er een plan ligt. Een toezichthouder beoordeelt de richting, niet alleen de stand.