Het DORA-informatieregister: wat erin moet en hoe u het opbouwt

Het informatieregister is de lijst van alle contractuele afspraken over het gebruik van ICT-diensten, en het gaat periodiek naar uw toezichthouder. Van alle DORA-verplichtingen is dit de meest tastbare: geen open norm, maar een bestand dat compleet is of niet.

Juist daarom is het ook het onderdeel waar onvolledigheid het snelst zichtbaar wordt. Een toezichthouder die uw register naast uw crediteurenadministratie legt, ziet binnen een uur of u iets over het hoofd heeft gezien. En anders dan bij beleid kunt u een gat in een register niet wegschrijven.

Wat erin hoort

Het register beschrijft per contract wie de dienstverlener is, wat hij levert en hoe belangrijk dat voor u is. De kern bestaat uit:

• De dienstverlener, eenduidig identificeerbaar, in de regel met een LEI of een ander erkend identificatienummer
• De dienst zelf: wat wordt er geleverd, en onder welk contract
• De functie die hij ondersteunt, en of die functie kritiek of belangrijk is
• De locaties waar gegevens worden verwerkt en opgeslagen, en waar de dienst wordt geleverd
• De keten: welke onderaannemers zijn betrokken bij kritieke of belangrijke functies
• Begin- en einddatum van het contract, en de opzegtermijnen
• Of er een exitstrategie is en of er alternatieven bestaan
• De beoordeling: wanneer heeft u deze leverancier voor het laatst beoordeeld, en met welke uitkomst

De precieze velden en het format liggen vast in technische standaarden. Kijk daar naar voordat u begint, want achteraf een kolom toevoegen aan een register met tweehonderd regels is een middag werk dat u had kunnen voorkomen.

Hoe u het opbouwt

De volgorde die werkt loopt van uw bedrijf naar uw leveranciers, niet andersom. Begint u bij de leverancierslijst uit de crediteurenadministratie, dan krijgt u een administratieve exercitie zonder betekenis: u weet dan wel wie u betaalt, maar niet waarom het ertoe doet.

1. Breng uw bedrijfsfuncties in kaart: wat doet u, waar verdient u uw geld mee, wat merkt de klant als het stilvalt
2. Bepaal per functie of die kritiek of belangrijk is. Dit is een bestuurlijk oordeel, geen technische meting
3. Zoek per functie de systemen die hem dragen, inclusief de systemen die alleen ondersteunend lijken
4. Zoek per systeem het contract. Hier vallen de meeste gaten
5. Vul per contract de velden aan en vraag de ontbrekende gegevens op bij de leverancier
6. Leg de bron van elk gegeven vast, zodat u het volgend jaar kunt bijwerken in plaats van opnieuw uitzoeken

De vier plekken waar gaten zitten

Schaduw-ICT. Een marketingafdeling met een eigen analysetool, een HR-pakket met een koppeling naar de salarisadministratie, een clouddienst die ooit op een creditcard is afgesloten. Allemaal ICT-diensten, zelden in beeld bij de ICT-afdeling. Een praktische truc: loop de bankafschriften en de creditcardafschriften van het afgelopen jaar door op terugkerende bedragen aan softwarebedrijven.

De keten achter de eerste laag. U weet wie uw leverancier is, maar niet bij wie die zijn rekencapaciteit inkoopt. Voor kritieke functies moet u dat wel weten, en dat vraagt u op. Krijgt u het niet, dan is dat op zichzelf informatie: een leverancier die niet wil zeggen op wiens infrastructuur hij draait, is een risico dat u vastlegt.

Intragroepsdienstverlening. Levert een zustermaatschappij u een systeem, dan is dat dienstverlening in de zin van DORA. Dit wordt structureel vergeten omdat het intern voelt.

Diensten zonder factuur. Een gratis tier, een dienst die in een groter contract is meegenomen, een koppeling die een partner kosteloos levert. Geen factuur betekent niet geen afhankelijkheid.

Het oordeel “kritiek” niet ontwijken

Er is een aantrekkelijke redenering die niet werkt: als niets kritiek is, hoeft er niets zwaars geregeld te worden. Geen zware contractbepalingen, geen exitstrategie, geen jaarlijkse test.

Die redenering houdt precies één vraag stand. Zodra een toezichthouder vraagt wat er gebeurt als deze dienst een week uitvalt, en het antwoord is dat uw dienstverlening stilligt, dan was de functie kritiek en heeft u dat verkeerd beoordeeld. Dat is een zwaardere bevinding dan een ontbrekend document, want het raakt uw oordeelsvorming.

De bruikbare toets: wat merkt de klant, hoe lang is dat acceptabel, en kan het de krant halen. Twee keer ja betekent kritiek.

Van rapportage naar administratie

Het verschil tussen een register dat werkt en een register dat elk jaar opnieuw werk is, zit in hoe u het inricht. Behandel het niet als een jaarlijkse rapportage maar als een administratie die u zelf gebruikt.

Een goed gevuld register beantwoordt vragen die u los van DORA ook heeft. Bij welke leveranciers zit onze grootste concentratie? Welke contracten lopen komend jaar af? Waar staan onze gegevens? Wie moeten we bellen bij een storing, en buiten kantooruren? Wie het zo inricht, heeft er het hele jaar iets aan en levert het indienen er als bijproduct bij.

Praktisch: koppel het aan het moment waarop contracten worden afgesloten of gewijzigd. Wie een nieuw ICT-contract tekent, vult het register bij. Dan blijft het actueel zonder jaarlijkse inhaalslag.

Wie het beheert

Iemand met zicht op zowel de contracten als de systemen, met mandaat om gegevens op te vragen bij afdelingen en leveranciers. In de praktijk is dat vaak de risicomanager of de contractmanager, met de ICT-afdeling als leverancier van de technische kant.

Eén eigenaar, anders verwatert het. Een register dat van drie afdelingen samen is, is van niemand.

Veelgestelde vragen

Hoe vaak moet ik het register indienen?

Periodiek, in de regel jaarlijks, in het format dat de toezichthouders voorschrijven. Daarnaast moet het actueel zijn op het moment dat er iets wezenlijks verandert, bijvoorbeeld een nieuwe leverancier voor een kritieke functie.

Moet elke leverancier erin, ook de kleine?

Elke contractuele afspraak over het gebruik van ICT-diensten hoort erin. Het onderscheid zit niet in opname maar in diepgang: voor diensten die een kritieke of belangrijke functie ondersteunen legt u aanzienlijk meer vast.

Telt software die we zelf hebben gekocht ook mee?

Als er een doorlopende dienstcomponent aan zit, zoals onderhoud, updates, hosting of ondersteuning, dan is er sprake van een ICT-dienst. Een eenmalig gekochte licentie zonder enige dienstverlening ligt anders, maar die bestaat in de praktijk nauwelijks nog.

Wat als een leverancier zijn onderaannemers niet wil noemen?

Leg vast dat u het heeft gevraagd en niet heeft gekregen, beoordeel het risico en breng het bij het bestuur. Neem de verplichting bij de eerstvolgende contractwijziging op. Zie contractbepalingen.

Kunnen we dit in een spreadsheet bijhouden?

In het begin prima, zeker bij een beperkt aantal contracten. Het knelpunt komt bij het bijhouden en bij het aanleveren in het voorgeschreven format. Kies wat u volhoudt: een actuele spreadsheet is meer waard dan een verlaten systeem.

Wat is de relatie met ons uitbestedingsregister?

Die overlappen deels maar zijn niet hetzelfde. Uitbesteding gaat over het uitbesteden van bedrijfsprocessen, het informatieregister over het gebruik van ICT-diensten. Veel instellingen voegen ze samen in één bron met twee gezichten; dat werkt, mits de DORA-velden compleet zijn.