DORA voor banken, betaalinstellingen en elektronischgeldinstellingen

Voor banken en betaalinstellingen is DORA deels een bevestiging van wat de toezichthouder al vroeg, en deels iets nieuws. Nieuw is vooral dat digitale weerbaarheid een zelfstandig onderwerp van toezicht wordt, met concrete opleverproducten in plaats van open normen.

Wat er al lag

Banken werken al jaren onder eisen rond beheerste bedrijfsvoering, uitbestedingsbeleid en operationeel risico. Veel van wat DORA vraagt sluit daarop aan: een risicoraamwerk, incidentregistratie, continuïteitsplannen en afspraken met leveranciers. Wie dat op orde heeft, begint niet bij nul.

Het verschil zit in de scherpte. Waar eerdere regelgeving vroeg om “passende maatregelen”, noemt DORA termijnen, verplichte contractbepalingen en een register dat u indient. Dat maakt het makkelijker te toetsen, en dus ook makkelijker om op af te rekenen.

De betaalketen in kaart

Een betaalinstelling leunt op schemes, processors, acquirers en soms op een bank voor de afwikkeling. Die keten moet in het informatieregister, inclusief de onderaannemers achter uw directe leverancier.

Dat is in deze sector lastiger dan elders, omdat een deel van de keten niet uw contractpartij is maar wel bepalend voor uw dienstverlening. Leg in elk geval vast welke partijen dat zijn en wat er gebeurt als ze uitvallen, ook als u geen contract met ze heeft.

Het kernsysteem

Bij veel kleinere banken en betaalinstellingen draait het kernsysteem bij een externe partij, zonder reëel alternatief op korte termijn. De exitstrategie wordt dan een oefening in eerlijk opschrijven wat wel en niet kan.

Dat is toegestaan, mits u het bewust vaststelt en compenserende maatregelen treft: eigen back-ups buiten de leverancier, escrow-afspraken, een langere overgangsperiode, of een uitgewerkt scenario waarin u tijdelijk op een lager serviceniveau draait.

Drie meldplichten, één proces

Een betaalstoring kan tegelijk een DORA-melding, een melding onder de betaalregelgeving en een AVG-melding opleveren. Drie partijen, drie criteria, drie termijnen.

Richt daarom één incidentproces in met drie uitgangen. Wie drie losse processen bouwt, mist er bij een echte storing minstens één, en dat is precies het moment waarop de toezichthouder meekijkt. Zie incidentmelding.

Dreigingsgestuurd testen

Grotere instellingen deden dit vaak al via TIBER-NL. Voor hen verandert de methodiek weinig, maar de verplichting wordt hard en de uitkomsten krijgen een formelere plek in het toezicht. Zie TLPT.

Kleinere instellingen worden hier doorgaans niet voor aangewezen en volstaan met het reguliere testprogramma. Wel loont het om de gedachte over te nemen: test tegen wat er echt op u af komt, niet tegen een checklist.

Waar te beginnen

De volgorde die in de praktijk het beste werkt: eerst de inventarisatie van bedrijfsfuncties en de ICT die ze ondersteunt, dan het informatieregister, dan de contracten. Die drie leveren samen het bewijs dat de toezichthouder als eerste zal opvragen. Zie het stappenplan.

Veelgestelde vragen

Vervangt DORA het uitbestedingsbeleid?

Nee, het komt erbovenop en maakt het concreter. Uw bestaande beleid blijft gelden; DORA schrijft voor welke afspraken in elk geval in een ICT-contract horen en welke extra eisen gelden bij kritieke of belangrijke functies.

Geldt DORA ook voor een kleine betaalinstelling?

Ja. De eisen zijn wel proportioneel en voor bepaalde kleinere entiteiten bestaat een lichter regime; zie het vereenvoudigde raamwerk.

Moeten wij onze schemes in het register opnemen?

Voor zover er een contractuele relatie is en zij een ICT-dienst leveren die een kritieke functie ondersteunt: ja. Is er geen contract, leg de afhankelijkheid dan in elk geval vast in uw risicoanalyse en continuïteitsplan.