Digitale weerbaarheid in de financiële sector
Kort label: DORA
Wat betekent dit?
DORA behandelt digitale operationele weerbaarheid van gedekte financiële entiteiten, met eisen voor systemen, incidenten, tests en technologieleveranciers.
Waarom dit belangrijk is
Een financiële organisatie en haar leverancier kunnen verschillende verantwoordelijkheden hebben onder regels en contract.
Wat u kunt doen
Bepaal uw rol, systemen en leverancierscontracten. Houd beveiligingsgebeurtenissen apart van het register van contracten en dienstverleners.
Diensten die kunnen helpen
Device Shield en Web App Shield leveren beveiligingsfuncties en loggegevens, maar vervangen geen volledig DORA-programma.
Officiële bron — DORA art. 9–11
1. Om ICT-systemen op passende wijze te beschermen en met het oog op de organisatie van responsmaatregelen monitoren en controleren financiële entiteiten voortdurend de beveiliging en werking van de ICT-systemen en -instrumenten en beperken zij de effecten van ICT-risico op ICT-systemen door de inzet van passende ICT-beveiligingsinstrumenten, -beleidslijnen en -procedures.
— Verordening (EU) 2022/2554 (DORA), Art. 9(1)
1. Financiële entiteiten beschikken over mechanismen om overeenkomstig artikel 17 afwijkende activiteiten zo spoedig mogelijk te detecteren, met inbegrip van kwesties op het gebied van ICT-netwerkprestaties en ICT-gerelateerde incidenten, en om potentiële zwakke fysieke punten (“single points of failure”) te identificeren.
— Verordening (EU) 2022/2554 (DORA), Art. 10(1)
1. Binnen het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer en op basis van de in artikel 8 gestelde identificatievereisten voeren financiële entiteiten een alomvattend ICT-bedrijfscontinuïteitsbeleid dat kan worden aangenomen als een specifiek beleid en een integrerend onderdeel vormt van het ruimere bedrijfsbrede beleid inzake bedrijfscontinuïteit van de financiële entiteit.
— Verordening (EU) 2022/2554 (DORA), Art. 11(1)
Gedekte financiële entiteiten beschermen ICT-systemen, herkennen ongebruikelijke activiteit en organiseren respons en herstel. Leverancierscontracten en toezicht op kritieke aanbieders zijn aparte vragen.
Lees het artikel op EUR-Lex → · Officiële tekst, geciteerd uit het Publicatieblad van de EU
Afkortingen die hier worden gebruikt: NIS2, GDPR, DORA, CRA
- NIS2 — Network and Information Systems Directive 2
- Een Europese richtlijn met cyberbeveiligingsvereisten voor organisaties die onder het toepassingsgebied vallen.
- GDPR — General Data Protection Regulation
- De Algemene verordening gegevensbescherming (AVG). GDPR is de Engelse afkorting en RGPD de Franse.
- DORA — Digital Operational Resilience Act
- Europese regels over digitale operationele weerbaarheid in de financiële sector.
- CRA — Cyber Resilience Act
- Europese cyberbeveiligingsregels voor producten met digitale elementen, waaronder bepaalde software en verbonden toestellen.