{"id":26853,"date":"2023-11-28T15:35:00","date_gmt":"2023-11-28T14:35:00","guid":{"rendered":"https:\/\/www.solvinity.com\/?post_type=blog&p=26853"},"modified":"2024-01-04T13:06:09","modified_gmt":"2024-01-04T12:06:09","slug":"wat-doen-we-met-dora-en-nis2","status":"publish","type":"blog","link":"https:\/\/www.solvinity.com\/nl\/blog\/wat-doen-we-met-dora-en-nis2\/","title":{"rendered":"Wat doen we met DORA (en NIS2)?"},"content":{"rendered":"

\"De<\/a><\/p>\n\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/i> Home<\/span><\/a><\/span><\/span><\/p>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\"\"
\n Martin Maas<\/span>\n CISO<\/span>\n <\/div>\n <\/div>\n <\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t28 november 2023\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
Blogs<\/a><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Wat doen we met DORA (en NIS2)? <\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
IT-security in het ecosysteem wordt een beleidsmatige \u00e9n strategische pijler van financi\u00eble instellingen\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Digitale weerbaarheid en cybersecurity. We hebben het er bij Solvinity heel vaak over. Sterker nog, we hebben IT-security voorop staan bij alles wat we doen. De kans is heel groot dat veel financi\u00eble instellingen voor de invoering van DORA IT-security ook voorop gaan stellen. In dit artikel lees je wat deze verordening nu anders maakt dan andere en wat je kunt doen om je goed voor te bereiden.<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

DORA: wat betekent het en voor wie verplicht <\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Op 17 januari 2025 moeten bedrijven voldoen aan de Digital Operations Resilience Act (DORA)<\/a>. DORA is een aanvulling op NIS2 en GDPR met als doel dat financi\u00eble organisaties hun IT-risico\u2019s beter gaan beheersen en weerbaarder worden tegen cyberdreigingen. DORA legt een uniforme set standaarden op voor het leveren van digitale financi\u00eble diensten, stroomlijnt de bestaande cybersecurity-regels binnen de sector en verplicht financi\u00eble dienstverleners en hun partners in de keten tot uniforme rapportering.\u00a0<\/p>

De DORA is van toepassing op 21 verschillende typen bedrijven in de financi\u00eble sector, van kredietinstellingen en betalingsinstellingen tot aanbieders van cryptoactivadiensten, verzekeraars- en verzekeringstussenpersonen, pensioenfondsen beleggingsondernemingen, beleggingsinstellingen en handelsplatformen. De partners in de keten zijn bijvoorbeeld softwareleveranciers, FinTech\/InsurTech bedrijven en cloud service providers zoals Solvinity.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Jazeker \u2013 het gehele financi\u00eble ecosysteem <\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die aandacht voor de hele keten maakt deze verordening anders. DORA richt zich expliciet op dit ecosysteem, wetende dat het geheel zo sterk is als de zwakste schakel. Er is geen bank, verzekeraar, pensioenfonds of beleggingsfonds -om er maar een paar te noemen- die zijn IT-voorziening voor 100% in eigen hand heeft. Sterker nog: de gemiddelde verzekeraar (> 1000 mdw) gebruikt gemiddeld 100 verschillende softwaretoepassingen<\/a>. De FinTech markt in Nederland bestaat sinds begin 2023 uit 861 bedrijven. Daarnaast zijn er diverse cloudproviders en IT-dienstverleners die ook hun rol spelen in het faciliteren van digitale (geld- en informatie) stromen.\u00a0\u00a0<\/p>

Financi\u00eble instellingen moeten hun gehele IT-landschap in kaart hebben om de risico\u2019s inzichtelijk te krijgen. Gelukkig hebben alle deelnemers in het ecosysteem een gedeeld belang: het beschermen van hun reputatie en continu\u00efteit.\u00a0\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t
\"Organisaties moeten specifieke afspraken en risicobeheerpraktijken voor derde partijen in het financi\u00eble ecosysteem vaststellen en controleren.\"<\/div>\n\t\t\t\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Zijn het nou vijf of zes pijlers? <\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

De wetgeving omvat vijf pijlers. Maar in \u00e9\u00e9n van die pijlers, te weten \u201cICT-risicobeheer\u201d wordt expliciet \u201cGovernance\u201d benoemd, daarom wordt het soms wel de zesde pijler genoemd. Juist deze is zo belangrijk omdat hierin de verantwoordelijkheid duidelijk wordt belegd. Sterker nog, degenen die verantwoordelijk zijn voor het ICT-risicobeheer moeten daadwerkelijk deze rol op zich nemen en kunnen daarop aangesproken worden door de regelgevers. Dit houdt in dat van bestuurders het een en ander wordt verwacht en zij zich mogelijk moeten \u201cbijscholen\u201d op IT-gebied. Het maakt IT-security daadwerkelijk tot een \u201cboard issue\u201d en daarmee wordt de kloof tussen de business en security hopelijk een stukje kleiner.<\/p>

De vijf pijlers zijn:<\/p>

  1. Vereisten inzake ICT-risicobeheer (inclusief Governance)<\/strong>: Vergelijkbaar met het NIST-model<\/a>, omvat dit het opzetten van proactief risicobeheer met IT-systemen en processen om risico’s te identificeren, te minimaliseren en voorbereid te zijn op incidenten. Governance speelt een cruciale rol, waarbij leidinggevenden actief betrokken zijn en beschikken over de juiste kennis en vaardigheden.<\/li>
  2. Beheren, classificeren en rapporteren van ICT-gerelateerde incidenten:<\/strong> Deze pijler richt zich op de reactie op incidenten en het verminderen van hun impact. Organisaties moeten een gestructureerd proces hebben voor het monitoren, behandelen en documenteren van ICT-gerelateerde incidenten. Dit omvat zowel preventieve maatregelen als het leren van incidenten voor toekomstige verbeteringen.<\/li>
  3. Tests op digitale operationele veerkracht:<\/strong> Digitale systemen moeten regelmatig getest worden om hun veerkracht te waarborgen. Het omvat zowel standaard vulnerability scans als “dreigingsgestuurde penetratietests.” Belangrijke systemen moeten minstens jaarlijks worden getest, met frequente evaluaties van kwetsbaarheden en bedreigingen.<\/li>
  4. Monitoring ICT-risico van derde aanbieders<\/strong>: Organisaties moeten specifieke afspraken en risicobeheerpraktijken voor derde partijen in het financi\u00eble ecosysteem vaststellen en controleren. Onder \u2018derde aanbieders\u2019 worden onder andere leveranciers van cloudcomputing-, software- en datacenters verstaan.<\/li>
  5. Uitwisseling van informatie:<\/strong> De informatie-uitwisseling over cyberaanvallen en kwetsbaarheden tussen organisaties, autoriteiten en netwerken moet worden bevorderd. Bedrijven moeten de informatie die ze ontvangen, actief gebruiken om hun digitale veerkracht te verbeteren, wat bijdraagt aan collectieve cyberbeveiliging.<\/li><\/ol>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t
    \"Ook de zorgplicht vraagt het een en ander van organisaties zoals het monitoren van de systemen en het implementeren van passende beveiligingsmaatregelen om cyberdreigingen te voorkomen en te beperken.\"<\/div>\n\t\t\t\n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Een Security Gap Analyse voor een betere roadmap <\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Een goede voorbereiding is het halve werk. Het begint bij het vergelijken van je huidige staat van IT-maatregelen en de vereisten onder DORA. Op basis hiervan kun je je roadmap naar januari 2025 opstellen en in een goed tempo naar compliance toewerken. In samenwerking met Securify<\/a> kan Solvinity Security Gap Assessments uitvoeren op basis van CIS controls die organisaties inzicht geeft zodat zij op gestructureerde en geprioriteerde wijze hun weerbaarheid kunnen verhogen.\u00a0<\/p>

    Op het gebied van IT-security hebben we naast kennis en ervaring, certificeringen en SOC 1 en SOC\u202f2 assurance rapportages en een portfolio van aanvullende securitydiensten. Zo beschikken we als enige Nederlandse aanbieder over een SOC 2 assurance op door ons beheerde Microsoft Azure-omgevingen waarmee we financi\u00eble instellingen met hybrid cloud platformen ondersteunen bij het verhogen van hun weerbaarheid. Daarnaast leveren we met Securify als preventiespecialist een unieke op risico gebaseerde aanpak op basis van continue reality checks. Samen cre\u00ebren en implementeren we een preventie-roadmap, waarmee je jouw weerbaarheid op code-, app-, infra- en organisatieniveau vergroot.\u00a0<\/p>

    Wil je weten hoe wij jou kunnen helpen om inzicht te krijgen in jouw weerbaarheid? Neem dan contact<\/a> met ons op.\u00a0<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    NIS2 en DORA<\/h4>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t
    Hoe verhoudt deze regelgeving zich tot elkaar?<\/h6>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    De NIS2 wil <\/span>de continu\u00efteit en integriteit van <\/span>vitale sectoren waarborgen zoals financi\u00eble instellingen en de infrastructuur voor de financi\u00eble markt. <\/span>De NIS2-richtlijn bestaat kort gezegd uit een meldplicht en een zorgplicht. <\/span>NIS2 omvat naast melden van een een datalek (zoals verplicht in NIS1) ook het melden van een ransomware-aanval of misbruik van een kwetsbaarheid. Met het delen van die informatie kunnen bedrijven van elkaar leren hoe ze hun beveiliging kunnen verbeteren. Ook moeten bedrijven die <\/span>onder NIS2 vallen, sneller inbreuken rapporteren en bewijzen dat ze alle nodige voorzorgen genomen hebben. Niet alleen bij zichzelf, maar ook in de keten van IT- en andere leveranciers waar zij mee samenwerken.<\/span>\u00a0<\/span><\/p>

    Ook de zorgplicht vraagt het een en ander van organisaties zoals het monitoren van de systemen en het implementeren van passende beveiligingsmaatregelen om cyberdreigingen te voorkomen en te beperken. Denk aan toegangscontrole, incidentresponsplannen en penetratietesten.\u00a0<\/span>\u00a0<\/span><\/p>

    De DORA is een zogenaamde \u2018<\/span>lex specialis<\/span><\/i>\u2019 ten opzichte van de NIS2. De DORA schrijft gedetailleerdere regels voor dan de NIS2 en waar <\/span>DORA specifieker is, heeft DORA voorrang.\u00a0<\/span>\u00a0<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t\t
    \n\t\t\t
    \n\t\t\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Meld je aan voor de Solvinity Nieuwsbrief<\/h4>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t
    Ontvang het laatste nieuws, blogs, artikelen en events. <\/h6>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t