Wanneer is een incident majeur onder DORA?

Alleen incidenten die als majeur worden geclassificeerd hoeven onder DORA te worden gemeld, en die beoordeling moet u zelf kunnen onderbouwen. De criteria liggen vast, de toepassing niet: daar zit uw eigen oordeel in, en dat moet reproduceerbaar zijn.

De criteria

De beoordeling is geen algemene weging maar een rekenregel, vastgelegd in de Gedelegeerde Verordening (EU) 2024/1772. Er is één toegangsvoorwaarde en daarna een keuze uit twee.

Eerst de toegangsvoorwaarde: zijn er kritieke diensten geraakt? Is het antwoord nee, dan is het incident niet majeur, hoe vervelend het verder ook is. Is het antwoord ja, dan is het incident majeur zodra één van deze twee opgaat:

• er is geslaagde, kwaadwillende en ongeoorloofde toegang geweest tot uw netwerk- of informatiesystemen waarbij gegevensverlies kan optreden; of
• twee of meer van de overige criteria komen boven hun drempel.

Dat onderscheid is belangrijker dan het lijkt. Eén criterium ver boven de drempel maakt een incident niet majeur; twee criteria er net overheen wel. En zonder geraakte kritieke dienst telt de rest niet mee. De criteria waar het om gaat:

• Getroffen klanten en tegenpartijen. Hoeveel, en welk deel van uw totaal. Bij een kleine instelling kan een absoluut klein aantal relatief groot zijn
• Duur en uitvaltijd. Hoe lang was de dienst onbruikbaar, en viel dat in een piekmoment
• Geografische spreiding. Raakt het meerdere lidstaten
• Gegevensverlies. Verlies van beschikbaarheid, integriteit of vertrouwelijkheid
• Kritieke diensten. Raakt het een functie die u als kritiek of belangrijk heeft aangemerkt
• Economische gevolgen. Directe en indirecte kosten en verliezen

Beoordeel vooraf, niet tijdens

Het lastige aan classificeren is dat het moet gebeuren terwijl u het incident nog aan het bestrijden bent, met onvolledige informatie en een team dat andere prioriteiten heeft. Wie op dat moment nog moet bedenken wáár de grens ligt, meldt te laat.

Leg daarom vooraf vast welke drempels u hanteert, vertaald naar uw eigen omvang en dienstverlening.

• Welk aantal of percentage klanten noemen wij “veel”
• Vanaf welke uitvaltijd noemen wij een dienst onbruikbaar, en verschilt dat per dagdeel
• Welke systemen dragen onze kritieke functies, zodat dat criterium meteen te beantwoorden is
• Welk bedrag noemen wij een noemenswaardig economisch gevolg

Dan is classificeren tijdens een incident een controle in plaats van een discussie.

Registreren doet u altijd

Niet-majeure incidenten hoeft u niet te melden, maar wel te registreren. Dat heeft twee doelen: u moet kunnen aantonen dat u zicht heeft op wat er gebeurt, en u moet patronen kunnen herkennen.

Tien kleine storingen met dezelfde oorzaak zeggen meer over uw weerbaarheid dan één grote met een unieke oorzaak. En ze kunnen samen de meldgrens halen.

Terugkerende incidenten

Losse incidenten die op zichzelf niet majeur zijn, kunnen samen wel die drempel halen als ze dezelfde oorzaak hebben en zich binnen een periode herhalen. Dat is precies waarom de registratie van kleine incidenten geen administratieve formaliteit is.

Richt uw logboek zo in dat u op oorzaak kunt groeperen, niet alleen op datum. Anders ziet u het patroon niet, ook al staat alles er keurig in.

Wie beslist

Een vooraf aangewezen rol, met een plaatsvervanger buiten kantooruren. Leg vast wie dat is en op basis waarvan hij beslist. Een beoordeling die afhangt van wie er toevallig aanwezig is, houdt geen stand, en een beslisser die alleen op werkdagen bestaat evenmin.

Veelgestelde vragen

Wie bepaalt of een incident majeur is?

Een vooraf aangewezen rol met plaatsvervanger, aan de hand van de drempels die u vooraf heeft vastgelegd. De beslissing legt u vast, inclusief de onderbouwing.

Wat als we het pas achteraf majeur vinden?

Dan meldt u alsnog en legt u vast waarom de beoordeling is gewijzigd. De termijn gaat lopen vanaf het moment dat u het als majeur classificeert, met de constatering van het incident als buitengrens.

Telt een storing bij een leverancier mee?

Ja, als uw dienstverlening eronder lijdt is het voor u een ICT-incident. Daarom horen meldafspraken in het contract.

Moeten we bijna-incidenten ook registreren?

Dat vraagt DORA niet, maar het is wel nuttig. Een bijna-incident is een gratis les, en het helpt bij het herkennen van patronen voordat er echt iets misgaat.