Het vereenvoudigde DORA-raamwerk voor kleinere entiteiten

Voor bepaalde kleinere financiële entiteiten kent DORA een vereenvoudigd raamwerk voor ICT-risicobeheer. De verplichtingen zijn lichter en minder formeel, maar het doel blijft hetzelfde: u weet wat u heeft, u beschermt het, u merkt het als er iets misgaat en u kunt herstellen.

Wat er lichter wordt

Het verschil zit vooral in de mate van uitwerking en in de documentatielast. Waar een grote instelling een uitgebreid raamwerk optuigt met afzonderlijke functies, formele rollen en periodieke herzieningen op meerdere niveaus, mag het bij u compacter: één samenhangend document, minder formele rollen, minder zware toetsing.

Ook het testprogramma is beperkter. De zware dreigingsgestuurde penetratietest geldt sowieso alleen voor aangewezen entiteiten, en daar hoort u dan niet bij.

Wat er niet lichter wordt

• U moet weten welke bedrijfsfuncties u heeft en welke ICT ze draagt
• U moet uw gegevens beschermen: toegang, back-up, herstel
• U moet incidenten registreren en majeure incidenten melden; zie incidentclassificatie
• U moet een informatieregister bijhouden van uw ICT-contracten
• Het bestuur blijft verantwoordelijk; zie wat DORA van het bestuur vraagt

Met andere woorden: de onderwerpen blijven, de uitwerking wordt lichter.

Wie er gebruik van mag maken

Dat hangt af van uw categorie en omvang. Het gaat om specifiek benoemde groepen, niet om een algemene mkb-drempel. Ga er daarom niet van uit dat u eronder valt omdat u klein bent; toets het voor uw eigen vergunningcategorie en leg de beoordeling vast. Zie de reikwijdte.

Het praktische risico van dit regime

Het vereenvoudigde raamwerk wordt soms gelezen als “wij hoeven bijna niets”. Dat is een misverstand dat pas opvalt als er iets misgaat.

De proportionaliteit zit in de zwaarte van de maatregelen, niet in de vraag of u eraan begint. Een kleine instelling die niet weet waar haar gegevens staan, voldoet ook onder het lichte regime niet. En een klein incident is voor een kleine instelling relatief snel majeur, omdat de criteria mede naar uw eigen omvang kijken.

Hoe een licht raamwerk eruitziet

In de praktijk komt het neer op één document van beperkte omvang met daarin: uw bedrijfsfuncties en welke kritiek zijn, de systemen en leveranciers daarachter, uw maatregelen voor toegang en back-up, uw incidentproces met de meldroute, uw hersteldoelstellingen, en wie waarvoor verantwoordelijk is.

Plus een jaarkalender: wanneer herziet u het, wanneer test u, wanneer werkt u het register bij. Dat laatste is wat het verschil maakt tussen een licht raamwerk en een dun raamwerk.

Veelgestelde vragen

Moet ik kiezen voor het vereenvoudigde raamwerk?

Het is geen keuze die u zelf maakt, het volgt uit uw categorie en omvang. Twijfelt u, leg uw beoordeling dan vast met de onderbouwing.

Wat als we groeien?

Dan groeien de eisen mee. Neem dat mee in uw planning: de overgang van het lichte naar het volledige raamwerk kost tijd, en die heeft u niet als u er pas aan begint wanneer u de drempel al gepasseerd bent.

Mogen we dan ook minder testen?

Minder zwaar, niet minder vaak. Kritieke systemen test u nog steeds periodiek; de vorm mag eenvoudiger zijn, bijvoorbeeld een herstelproef in plaats van een uitgebreide penetratietest.