Wie houdt toezicht op DORA in Nederland?
In Nederland houden De Nederlandsche Bank en de Autoriteit Financiële Markten toezicht op DORA, elk voor de instellingen die al onder hun toezicht vallen. Op Europees niveau werken EBA, EIOPA en ESMA de technische standaarden uit en houden zij rechtstreeks toezicht op de kritieke ICT-dienstverleners.
Er komt geen apart DORA-toezicht
DORA krijgt geen eigen toezichthouder en geen eigen inspectieronde. Het wordt onderdeel van het toezicht dat er al is: uw vaste toezichthouder neemt digitale weerbaarheid mee in het reguliere gesprek, in themaonderzoeken en in de gegevens die u periodiek aanlevert.
Dat heeft twee praktische gevolgen. Ten eerste komt het sowieso aan de orde, u hoeft er niet op te wachten. Ten tweede wordt het beoordeeld in samenhang met de rest: een instelling met een zwak ICT-raamwerk en zwakke beheersing elders krijgt een ander gesprek dan een instelling waar de rest op orde is.
Wat de toezichthouder van u ontvangt
- Het informatieregister, periodiek en in een voorgeschreven format
- Meldingen van majeure incidenten, in drie stappen; zie incidentmelding
- Op verzoek: uw raamwerk, beleid, testresultaten en de opvolging daarvan
- Voor aangewezen instellingen: de uitkomsten van dreigingsgestuurde penetratietests
- Een melding als u deelneemt aan een verband voor informatiedeling
Het register is daarvan het meest bepalend, omdat het het enige is dat u actief indient zonder dat erom wordt gevraagd. Het is daarmee ook uw visitekaartje: een onvolledig register zet de toon voor het hele gesprek.
Waar een toezichthouder naar kijkt
In de praktijk komen dezelfde vragen terug, en ze gaan zelden over de tekst van uw documenten.
- Hoe bent u tot uw criticaliteitsoordeel gekomen, en wie heeft dat vastgesteld
- Waar zit uw grootste concentratie aan leveranciers, en wat doet u daaraan
- Wat kwam er uit uw laatste test, en wat is ermee gebeurd
- Hoe lang duurde uw laatste herstelproef werkelijk, vergeleken met uw doelstelling
- Welke incidenten heeft u het afgelopen jaar gehad, en welke patronen ziet u
De rode draad: niet of er documenten zijn, maar of ze leven en of iemand erop stuurt.
Toezicht op de leveranciers
Nieuw is dat de Europese toezichthouders een ICT-dienstverlener kunnen aanwijzen als kritiek. Zo’n aanbieder krijgt een hoofdtoezichthouder die onderzoek kan doen, informatie kan opvragen en aanbevelingen kan opleggen. Volgt de aanbieder die niet op, dan kan dat doorwerken naar zijn financiële klanten.
Voor u als instelling verandert dat de verhouding met grote leveranciers ten goede: u staat er niet meer alleen voor. Zie derdepartijrisico.
Wat als u niet voldoet
De toezichthouder gebruikt de instrumenten die hij voor uw sector al heeft: een normoverdragend gesprek, een aanwijzing, een last onder dwangsom of een bestuurlijke boete. In de praktijk begint het vrijwel altijd met een gesprek en een termijn.
Wat de uitkomst vooral bepaalt is niet of u een gat heeft, maar of u het zelf al kende. Een instelling die haar tekortkomingen in kaart heeft met een plan en een termijn, krijgt een ander gesprek dan een instelling die verrast wordt.
Veelgestelde vragen
Krijg ik een DORA-audit?
Niet als apart traject. Digitale weerbaarheid komt terug in het reguliere toezicht en in themaonderzoeken. Een verzoek om documentatie kan op elk moment komen.
Moet ik me ergens registreren voor DORA?
Nee, anders dan bij NIS2 kent DORA geen aparte registratieplicht. U bent al bekend bij uw toezichthouder. Wat u wel periodiek indient, is het informatieregister.
Wie is mijn toezichthouder als ik onder beide val?
DNB en de AFM hebben ieder hun domein, met prudentieel toezicht bij DNB en gedragstoezicht bij de AFM. Voor DORA volgt het de bestaande verdeling; twijfelt u, vraag het na bij uw vaste contactpersoon.
Wat doen de Europese autoriteiten precies?
Zij werken de technische standaarden uit die invullen hoe u de verordening toepast, en zij houden rechtstreeks toezicht op de kritieke ICT-dienstverleners. Richting u als instelling loopt het toezicht via uw nationale toezichthouder.
Reacties