DORA zelf regelen of een consultant inhuren?

De kern van DORA is niet uit te besteden, want die bestaat uit kennis over uw eigen organisatie. Welke functies kritiek zijn, wat er gebeurt als een systeem uitvalt, bij wie wat draait: dat weet u, of niemand weet het.

Dat betekent niet dat externe hulp zinloos is. Het betekent dat de verdeling anders moet dan bij een gewoon implementatietraject.

Wat u zelf moet doen

• Bepalen welke bedrijfsfuncties kritiek of belangrijk zijn. Een bestuurlijk oordeel over uw eigen dienstverlening, en het oordeel dat alles daarna stuurt
• De inventarisatie van systemen en afhankelijkheden. Een externe kan de structuur aanreiken, de inhoud komt uit uw organisatie en vaak uit de hoofden van mensen
• Besluiten over risicobereidheid. Wat accepteert u bewust, en tot welke grens
• Het onderhoud daarna. Een adviseur die vertrekt laat een document achter, geen werkend proces

Waar externe hulp loont

• De vertaling van de verordening naar uw situatie. Vooral bij de vraag wat proportioneel is voor uw omvang, want daar is geen tabel voor
• Contracten. Juridische inzet bij de verplichte bepalingen en bij onderhandeling met grote aanbieders
• Testen. Onafhankelijkheid is een eis, en bij dreigingsgestuurde penetratietests gelden aanvullende eisen aan de testers
• Een second opinion op uw gap-analyse, juist omdat u uw eigen blinde vlekken niet ziet

De valkuil van volledig uitbesteden

Een compleet extern opgeleverd DORA-dossier ziet er goed uit en houdt geen stand. Niet omdat het slecht is geschreven, maar omdat niemand binnen de organisatie het kan uitleggen.

Een toezichthouder vraagt niet of het document klopt, maar waarom u tot dat oordeel bent gekomen. Dat is precies de vraag die de afwezige adviseur had moeten beantwoorden, en het is ook de vraag waar een instelling op afgerekend wordt.

Er is nog een tweede kostenpost die zelden wordt meegerekend: als niemand intern het dossier kent, begint het onderhoud volgend jaar weer bij nul, en dan huurt u opnieuw in.

De omgekeerde valkuil

Alles zelf willen doen terwijl er geen uren voor zijn. Dan ligt er na een jaar een halve inventarisatie, geen raamwerk en een register met gaten, en is de druk inmiddels opgelopen.

De eerlijke vraag is niet of u het kunt, maar of iemand er structureel tijd voor krijgt. Zonder vrijgemaakte uren wint het dagelijkse werk altijd.

Een werkbare verdeling

Eigen mensen doen de inventarisatie en de oordelen, met een externe die de structuur aanreikt en meeleest. Juridische inzet op de contracten. Externe uitvoering van de tests. En één interne eigenaar die het geheel bewaakt, ook nadat de externe weg is.

Spreek bij inhuur af dat er wordt overgedragen: niet alleen het document, maar ook waarom de keuzes zo zijn gemaakt. Dat is het verschil tussen een dossier en kennis.

Veelgestelde vragen

Kunnen templates dit vervangen?

Templates besparen het schrijfwerk, niet het denkwerk. Ze zijn het meest waard als startpunt voor het raamwerk en het beleid; de oordelen over uw functies en risico’s moet u er zelf in zetten.

Wie moet intern de eigenaar zijn?

Iemand met zicht op zowel de bedrijfsvoering als de ICT, en met mandaat om informatie op te vragen. Vaak de risicomanager. Belangrijker dan de functie is dat het één persoon is met tijd.

Wat vragen we aan een adviseur?

Vraag naar wat hij bij u achterlaat, niet naar wat hij oplevert. Een adviseur die uw mensen meeneemt in de redenering, levert meer op dan een adviseur die het dossier zelf schrijft.