← Normen
Règlement (UE) 2022/2554 — DORAUnion européenne
Digitale operationele weerbaarheid voor de financiële sector
DORA is van toepassing sinds 17 januari 2025 en legt één uniforme basis voor digitale operationele weerbaarheid op aan een twintigtal categorieën Europese financiële entiteiten. Vijf pijlers: governance en beheer van ICT-risico’s, melding van ernstige ICT-gerelateerde incidenten, weerbaarheidstests, beheer van het risico van derden, uitwisseling van informatie over cyberdreigingen.
Officiële tekstVoor wie het geldt
- Europese financiële entiteiten van elke omvang
- ICT-dienstverleners die de financiële sector bedienen
- Compliance-, risico- en beveiligingsafdelingen
- Besturen, die op grond van artikel 5 persoonlijk verantwoordelijk zijn
Hoofdlijnen
- Het leidinggevend orgaan is uitdrukkelijk en persoonlijk verantwoordelijk voor het ICT-risicobeheerkader
- Het register van contractuele ICT-regelingen is de deliverable die het vaakst wordt onderschat
- TLPT (dreigingsgestuurde penetratietests) gelden alleen voor aangewezen entiteiten, maar weerbaarheidstests gelden voor iedereen
- De meldingstermijnen voor ernstige ICT-gerelateerde incidenten zijn kort en niet onderhandelbaar
- Het evenredigheidsbeginsel bestaat, maar moet worden gedocumenteerd, niet zomaar ingeroepen
Banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen, vermogensbeheerders, aanbieders van cryptoactivadiensten en — bij uitbreiding — hun aangewezen kritieke derde aanbieders van ICT-diensten.