Het informatieregister, de meest onderschatte deliverable van DORA
Geen leverancierslijst, maar een geheel van gekoppelde tabellen met tientallen velden, een detailniveau tot op contractniveau en een verplichte jaarlijkse indiening.
De aanvankelijke verwarring
De meeste organisaties benaderen artikel 28 van DORA als een documentaire formaliteit: “we hebben al een lijst van onze IT-dienstverleners”. Deze zin, die bij de start vrijwel overal te horen is, onderschat het werk met een factor drie tot vijf.
Het informatieregister is geen lijst. Het is een geheel van gekoppelde tabellen dat een sjabloon voedt dat door de Europese toezichthoudende autoriteiten is vastgesteld. Het beschrijft de entiteiten van de groep die contracten sluiten, de contractuele regelingen met hun kenmerken, de dienstverleners, geïdentificeerd aan de hand van hun identificatiecode voor juridische entiteiten, de ondersteunde functies met hun kriticiteit, de ketens van onderaanneming voor kritieke functies, en de verbanden tussen al deze objecten.
Drie valkuilen bij de afbakening
De eerste valkuil is zich te beperken tot “materiële” uitbesteding in de zin van de vroegere richtsnoeren voor banken. DORA bestrijkt alle regelingen voor ICT-diensten, ongeacht hun belang. Een softwarelicentie die als dienst wordt geleverd, een tool voor elektronische handtekeningen, een e-maildienst: alles valt eronder. De indeling naar kriticiteit komt daarna en bepaalt of de strengere eisen van artikel 30 van toepassing zijn — ze is geen voorwaarde voor opname in het register.
De tweede valkuil is het register te behandelen als een inkoopinventaris. De structurerende as is niet het contract maar de ondersteunde functie. Zonder de mapping van artikel 8 — kritieke functie, ICT-activa, derden — kan het register niet correct worden ingevuld, omdat het veld voor de koppeling aan de functie leeg blijft.
De derde valkuil is het tweede niveau te negeren. Voor kritieke functies moet de keten van onderaanneming worden getraceerd. Die informatie krijgt u alleen als het contract erom vraagt, of als de relatie het toelaat ernaar te vragen. Ze is uit geen enkel intern systeem af te leiden.
Wat de meeste tijd kost
In de projecten die wij hebben gezien, is de verdeling van de inspanning vrij stabiel: ongeveer een derde voor de volledige inventarisatie van de regelingen, een derde voor de koppeling aan de functies en een derde voor het verzamelen van ontbrekende gegevens bij de dienstverleners — identificatiecodes voor juridische entiteiten, verwerkingslocaties, onderaannemers.
Het is dat laatste derde dat verrast, omdat het afhangt van derden die geen enkele verplichting hebben om snel te antwoorden en die hetzelfde verzoek tegelijk van tientallen klanten krijgen.
De enige duurzame aanpak
Een register dat via een jaarlijkse campagne wordt opgebouwd, is binnen zes maanden verouderd. Het enige model dat standhoudt, is het te voeden via het inkoopproces: er wordt geen ICT-contract ondertekend zonder dat de velden van het register zijn ingevuld, en de koppeling aan de functie is een voorwaarde voor goedkeuring.
Dat vergt dat een bestaand proces wordt aangepast in plaats van dat er een project wordt gestart — politiek moeilijker, en op termijn oneindig veel goedkoper.