De drie blokken die de meeste tijd kostten.
Bij vier van de zes financiële instellingen waar wij in 2024-2025 DORA-readiness uitvoerden, zaten dezelfde drie domeinen op het kritieke pad: ICT-risk-management framework, third-party risk, en de incident-reporting-keten naar DNB. Niet de threat-led penetration testing, dat is een éénmalige doorlopende verplichting waar de markt zich snel op aanpaste.
1. ICT-risk-management framework, van papier naar operatie.
De meeste organisaties hadden al een ISO 27001- of NIST-gebaseerd framework. DORA vraagt aanvullend om een expliciete koppeling tussen ICT-risico’s en business-services. Die mapping ontbrak vaak: men wist welke systemen er waren, maar niet welke business-functie zou stilvallen bij uitval. Dat is het werk dat tién procent van het hele DORA-traject bleek te zijn.
2. Third-party risk, de register-discussie.
Het ICT third-party providers register klinkt eenvoudig. In de praktijk: wat tel je als “kritiek” provider? Een SaaS voor de mail-archivering? Een hyperscaler voor de productie-database? De norm geeft criteria, maar de classificatie blijft een beleidskeuze. Bij één klant duurde de inventarisatie-fase alleen al drie maanden.
3. Incident-reporting, de keten naar DNB.
De DORA-rapportage-template lijkt op het ENISA-NIS2-template, maar verschilt op detail. Belangrijker: de keten van detectie (SOC) → classificatie (Chief Information Security Officer (CISO)-office) → rapportage (compliance) → verzending (DNB-portal) liep niet op alle organisaties soepel. Drills hielpen.
Wat ik anders zou adviseren.
- Begin met de business-service-mapping, niet met het framework. Het framework bestaat al. De mapping niet.
- Concentreer third-party-classificatie op één meeting met procurement + risk + IT. Beslis daar; verfijn later.
- Doe minstens twee incident-drills vóór de deadline. Niet om het rapport te schrijven, maar om de keten te testen.