DORA voor ICT-leveranciers van de financiële sector

Bent u geen financiële instelling maar levert u er wel ICT aan, dan raakt DORA u langs twee wegen. De eerste is contractueel en geldt voor iedereen. De tweede geldt alleen voor de grootste aanbieders en betekent rechtstreeks Europees toezicht.

Weg één: uw contracten veranderen

Uw klanten moeten bepaalde afspraken met u vastleggen. Die staan niet ter discussie: als u ze weigert, kan uw klant de dienst niet meer afnemen zonder een bevinding van de toezichthouder te riskeren.

In de praktijk zijn grote aanbieders hun standaardvoorwaarden daarom gaan aanpassen, omdat de hele Europese financiële sector dezelfde bepalingen vraagt. Voor kleinere leveranciers betekent het dat ze per klant een addendum krijgen voorgelegd, vaak met verschillende formuleringen voor dezelfde eis.

Wat er in elk geval in komt te staan, vindt u in de verplichte contractbepalingen. De zwaarste eisen gelden voor diensten die een kritieke of belangrijke functie ondersteunen.

Weg twee: aanwijzing als kritieke dienstverlener

De Europese toezichthouders kunnen een ICT-dienstverlener aanwijzen als kritiek. Dat gebeurt op basis van onder meer hoeveel financiële entiteiten van u afhankelijk zijn, hoe systeemrelevant die entiteiten zijn en hoe vervangbaar u bent.

Wordt u aangewezen, dan krijgt u een hoofdtoezichthouder die onderzoek kan doen, informatie kan opvragen en aanbevelingen kan opleggen. Dat is een wezenlijk andere verhouding dan alleen contractuele afspraken met klanten, en het raakt uw eigen bedrijfsvoering.

Wat u nu al kunt doen

• Zorg dat u per klant weet welke functie u ondersteunt en of die kritiek is
• Leg vast waar gegevens worden verwerkt en opgeslagen, en onder welke voorwaarden dat verandert
• Regel een meldproces richting klanten bij incidenten, met termijnen die hen helpen hun eigen meldplicht te halen
• Maak inzichtelijk welke onderaannemers u inschakelt voor kritieke functies, en leg vast hoe u klanten informeert bij wijziging
• Bereid u voor op audits: uw klanten en hun toezichthouders krijgen toegangsrechten
• Werk een exit-ondersteuning uit: in welk formaat levert u gegevens terug, en hoe lang duurt dat

Maak er een voordeel van

De leveranciers die hier het beste uitkomen, zijn degenen die het initiatief nemen. Een eigen DORA-addendum dat u aan klanten aanbiedt, scheelt hen werk en u eindeloze onderhandelingen over vijftien varianten van dezelfde clausule.

Hetzelfde geldt voor een standaard informatiepakket: uw locaties, uw onderaannemers, uw serviceniveaus, uw incidentproces en uw certificeringen in één document. Dat is precies wat uw klanten voor hun register nodig hebben, en u levert het één keer in plaats van vijftig keer.

Een ISO 27001-certificaat helpt daarbij aanzienlijk. Het levert een groot deel van het bewijs dat uw klanten van u vragen, en het scheelt u tijd in elk aanbestedingstraject. Zie DORA naast NIS2 en ISO 27001.

Veelgestelde vragen

Moet ik als leverancier zelf aan DORA voldoen?

Alleen als u als kritieke dienstverlener bent aangewezen. Anders bereiken de eisen u via de contracten van uw klanten, en dat is in de praktijk al ingrijpend genoeg.

Mag ik auditrechten weigeren?

U mag onderhandelen over de uitvoering, bijvoorbeeld over frequentie en over gepoolde audits, maar een volledige weigering maakt u ongeschikt als leverancier voor diensten die kritieke functies ondersteunen.

Moet ik incidenten melden aan mijn klanten?

Als het contract dat voorschrijft, en dat zal het doen. Bedenk dat uw klant een termijn heeft van 24 uur vanaf het moment dat hij het incident opmerkt; uw meldtermijn moet daarbinnen passen.

Wat als meerdere klanten verschillende clausules eisen?

Bied uw eigen addendum aan dat de verplichte punten dekt. Dat is voor beide partijen sneller, en het voorkomt dat u tientallen varianten moet beheren.