Wat kost het om aan DORA te voldoen?

Er bestaat geen prijskaartje voor DORA, want de kosten hangen bijna volledig af van wat u al heeft liggen. Een instelling met een werkend informatiebeveiligingssysteem is vooral bezig met aanvullen en aantonen. Een instelling die bij nul begint, bouwt eerst het fundament, en dat fundament is het duurste deel.

Elk bedrag dat u ergens leest zonder de variabelen erbij, is een slag in de lucht. Wat wel kan: de posten langslopen, per post uw eigen uren en externe inzet schatten, en weten welke drie factoren het verschil maken tussen een bescheiden en een fors traject.

De posten

Inventarisatie

Bedrijfsfuncties, systemen en afhankelijkheden in kaart brengen. Bijna altijd de grootste post in uren, en bijna altijd onderschat, omdat het werk onzichtbaar is: er komt geen document uit dat er indrukwekkend uitziet.

Het is ook de post die het meest varieert. Heeft u een actuele systeeminventarisatie, dan is het aanvullen. Bestaat die niet, dan begint alles daar, en praat u over weken tot maanden interne inzet.

Documentatie

Raamwerk, beleid, procedures en plannen opstellen of herzien. Redelijk voorspelbaar in omvang, zeker als u templates gebruikt. De kosten zitten minder in het schrijven dan in het afstemmen en laten vaststellen.

Contracten

Herzien en heronderhandelen, met juridische inzet. Het aantal kritieke leveranciers bepaalt hier alles. Tien contracten is overzichtelijk, vijftig met onderaannemers is een project op zich.

Let op: de kosten zitten hier niet in het opstellen maar in het wachten en het afstemmen. Elke wijziging gaat langs de juridische afdeling aan de andere kant, en die werkt op hun tempo.

Techniek

Wat er ontbreekt aan logging, back-up, herstel, toegangsbeheer of netwerkscheiding. Deze post is nul als u al een volwassen omgeving heeft, en fors als er structureel achterstand is. DORA schrijft geen producten voor, dus u kiest zelf de oplossing en het prijsniveau.

Testen

Van kwetsbaarhedenscans tot herstelproeven. Een herstelproef kost vooral interne tijd. Externe penetratietests zijn een bekende post. En voor aangewezen entiteiten komt de dreigingsgestuurde penetratietest erbij, die in een andere ordegrootte zit: externe dreigingsinformatie, gespecialiseerde testers en een doorlooptijd van maanden.

Beheer

Het jaarlijkse onderhoud: register bijwerken, raamwerk herzien, testen, rapporteren, bestuur informeren. Structurele uren, geen projectkosten.

Wat de kosten drijft

Drie dingen bepalen het verschil tussen een bescheiden en een fors traject.

De lengte van uw keten. Dit is de belangrijkste factor en tegelijk de minst zichtbare. Vijf leveranciers is overzichtelijk. Vijftig leveranciers met onderaannemers raakt zowel het register als de contracten als de exitstrategieën, en die drie vermenigvuldigen elkaar.

Hoeveel er al ligt. Een actuele inventarisatie scheelt weken. Een bestaand ISMS scheelt het grootste deel van de documentatie. Een contractadministratie die op orde is, scheelt zoekwerk.

Of u bent aangewezen voor TLPT. Dat is geen aanvulling op uw testprogramma maar een eigen traject. Bent u niet aangewezen, dan valt deze post volledig weg.

Waar instellingen zich op verkijken

Het beheer na jaar één. Het eerste jaar wordt meestal redelijk ingeschat, het onderhoud daarna niet. Het register is geen eenmalig product: contracten wijzigen, leveranciers wisselen onderaannemers, functies verschuiven. Reken op structurele uren, niet op een project dat afloopt.

De wachttijd bij contracten. Niet het opstellen kost tijd, maar het wachten op goedkeuringsrondes elders. Dat kost geen geld maar wel doorlooptijd, en doorlooptijd kost uiteindelijk ook geld omdat uw eigen mensen erop wachten.

Het opnieuw schrijven van beleid. Wie begint bij het beleid en pas daarna de inventarisatie doet, schrijft het twee keer. Dat is de duurste vermijdbare fout in het hele traject.

De interne uren. Externe facturen zijn zichtbaar, interne uren niet. Toch zit daar bij de meeste instellingen het zwaartepunt, vooral in stap 1 en 2 van het stappenplan.

Wat de kosten drukt

• Begin bij de inventarisatie, niet bij het beleid. Beleid dat op verkeerde aannames staat, schrijft u twee keer
• Gebruik het DORA-addendum van uw grote leveranciers als vertrekpunt in plaats van uw eigen tekst. Zij hebben het al laten toetsen
• Maak het register meteen bruikbaar voor uzelf, dan is het onderhoud geen extra last maar bestaand werk
• Hergebruik wat u onder ISO 27001 al heeft in plaats van parallelle documentatie op te tuigen
• Start de leveranciersgesprekken vroeg, parallel aan uw eigen werk; dat verkort de doorlooptijd en dus de interne inzet
• Doe de oordelen zelf en huur in op de vertaling en de toetsing; zie zelf doen of een consultant

Een manier om zelf te schatten

Zet de zeven posten hierboven in een tabel. Schat per post uw eigen uren en de externe inzet, en doe dat apart voor jaar één en voor de jaren daarna. Vermenigvuldig de interne uren met een realistisch tarief, ook al is het eigen personeel: anders ontstaat het beeld dat het gratis is.

Kijk daarna waar de grootste post zit en of die te verkleinen is. In negen van de tien gevallen is dat de inventarisatie of de contracten, en beide zijn te verkleinen door eerder te beginnen in plaats van door meer mensen in te zetten.

Veelgestelde vragen

Kunnen jullie een bedrag noemen?

Niet verantwoord. De spreiding tussen een kleine instelling met een volwassen ICT-omgeving en een middelgrote met een lange leveranciersketen is zo groot dat een gemiddelde niets zegt. Gebruik de posten hierboven om uw eigen schatting te maken.

Is het goedkoper om het uit te besteden?

Zelden helemaal, want de kennis over uw eigen functies en systemen zit bij u. Een extern opgeleverd dossier dat niemand intern kan uitleggen, kost later meer dan het bespaarde.

Zijn er terugkerende kosten na het eerste jaar?

Ja, en die worden het vaakst vergeten. Reken op jaarlijkse uren voor het register, de herziening van het raamwerk, het testprogramma en de rapportage aan het bestuur.

Wat kost het als we niets doen?

Dat is de verkeerde vergelijking, want niets doen is geen optie: DORA geldt. De reële vergelijking is tussen nu gestructureerd beginnen of later onder tijdsdruk repareren met een toezichthouder die meekijkt, en dat tweede is altijd duurder.