DORA

Kort gezegd

Sinds 17 januari 2025, de Verordening digitale operationele veerkracht (DORA, Verordening (EU) 2022/2554) vereist dat EU-financiële entiteiten kunnen aantonen dat zij ICT-incidenten kunnen weerstaan, erop kunnen reageren en ervan kunnen herstellen.

DORA vraagt je niet om een specifieke tool te kopen. Het vraagt je om maatregelen te hebben en dat aan te tonen. Stoïk Protect helpt bij beide: de tools dekken verschillende technische vereisten af en leveren het bewijs (rapporten, historiek, voltooiingspercentages) dat auditors en toezichthouders verwachten.

Dit artikel laat zien bij welke DORA-vereisten elke Stoïk Protect-tool helpt, en wat jouw verantwoordelijkheid blijft.

Stoïk Protect heeft een speciale NIS2 beoordeling in het Naleving tabblad. Er is nog geen DORA-beoordeling in het product. DORA en NIS2 overlappen sterk op technische maatregelen, en voor financiële entiteiten vervangt DORA de equivalente NIS2-vereisten (NIS2, art. 4). Daarom is de NIS2-beoordeling nog steeds een nuttig startpunt voor een gap-analyse.

Wie valt onder DORA?

DORA is van toepassing op de meeste gereguleerde financiële entiteiten: banken, betaal- en elektronischgeldinstellingen, beleggingsondernemingen, vermogensbeheerders, verzekeraars en herverzekeraars, aanbieders van cryptoactivadiensten, en andere.

Sommige entiteiten zijn vrijgesteld. De belangrijkste vrijstelling geldt voor verzekerings- en herverzekeringstussenpersonen die micro-, kleine of middelgrote ondernemingen zijn (art. 2(3)). Kleinere entiteiten binnen de werkingssfeer kunnen ook een vereenvoudigd kader voor ICT-risicobeheer toepassen (art. 16).

Als je niet zeker weet of DORA op jou van toepassing is, vraag het dan aan je compliance officer of je toezichthouder (ACPR of AMF in Frankrijk).

Hoe Stoïk Protect aansluit op DORA

DORA heeft vijf pijlers. Stoïk Protect draagt bij aan vier daarvan.

1. ICT-risicobeheer (hoofdstuk II, artikelen 5 tot en met 16)

Deze pijler vraagt je om je activa te kennen, kwetsbaarheden te vinden, je systemen te beschermen, afwijkingen te detecteren en je mensen op te leiden.

Stoïk Protect-tool	DORA-vereiste waarbij het helpt	Bewijs dat je kunt tonen
tabblad Externe scan	Inventaris van ICT-activa die aan internet zijn blootgesteld (art. 8(1), 8(4)). Doorlopende identificatie van kwetsbaarheden en cyberdreigingen (art. 8(2)). Monitoring van ICT-systemen (art. 9(1)).	Gedateerde scanrapporten en een historiek van kwetsbaarheden en hun oplossingen
Active Directory-scan	Toegang beperkt tot wat elke rol nodig heeft (art. 9(4)(c)). Sterke authenticatie (art. 9(4)(d)). Detectie van bevoorrechte, slapende of verkeerd geconfigureerde accounts.	AD-configuratierapport en een geprioriteerde lijst van bevindingen met opvolging van herstelmaatregelen
Cloudscan (AWS, Azure, GCP)	Beveiliging en veerkracht van systemen, en voorkomen van ongeoorloofde toegang en datalekken (art. 9(2), 9(3)). Detectie van verkeerd geconfigureerde instellingen aan jouw kant van de cloud, waarvoor jij volledig verantwoordelijk blijft (art. 28(1)).	Cloud-posturerapport per omgeving
Monitoring van inloggegevens	Bescherming tegen ongeoorloofde toegang (art. 9(3)(b)). Detectie van gecompromitteerde accounts voordat ze worden gebruikt (art. 10(1)).	Lijst van gedetecteerde gelekte inloggegevens en geroteerde wachtwoorden
Email Security	Beveiliging van gegevensoverdrachtkanalen (art. 9(3)(a)). Verminderd risico op ongeoorloofde toegang en fraude (art. 9(3)(b)).	Statistieken over geblokkeerde dreigingen
MDR	24/7 detectie van afwijkende activiteit op eindpunten (art. 10(1)). Voldoende middelen om afwijkingen en cyberaanvallen te monitoren (art. 10(3)). Snelle indamming (art. 11(2)).	Activiteitsrapporten, afgehandelde waarschuwingen, reactietijden
XDR	Meerdere controlagen, waarschuwingsdrempels en automatische waarschuwingen (art. 10(2)), voor VPN-, firewall- en cloudgegevens.	Detectieregels en waarschuwinghistoriek
Training	Verplichte bewustwording van ICT-beveiliging voor al het personeel (art. 13(6)). Regelmatige training van het bestuursorgaan (art. 5(4)).	Voltooiingspercentages en cursuscertificaten
Phishingsimulatie	Bewustmakingsprogramma's (art. 13(6)). Leren van waargenomen dreigingen (art. 13(1)).	Klik-, inzend- en meldingspercentages per campagne, met trends in de loop van de tijd

2. Beheer en melding van ICT-incidenten (hoofdstuk III, artikelen 17 tot en met 23)

Stoïk-dienst	DORA-vereiste waarbij het helpt	Bewijs dat je kunt tonen
MDR / XDR	Incidenten detecteren en loggen (art. 17(2), 17(3)). Vroege detectie is belangrijk omdat de meldtermijnen van DORA beginnen op het moment dat het incident wordt geclassificeerd.	Historiek van waarschuwingen en incidenten
Knop Phishing melden	Een eenvoudige manier voor medewerkers om verdachte e-mails te melden, wat je incidentdetectieproces voedt (art. 17(3)).	Gemelde e-mails en hoe ze zijn afgehandeld
Stoïk CERT (24/7 incidentrespons, inbegrepen bij Stoïk-verzekering)	Respons en herstel (art. 11). Evaluatie na incident en analyse van de grondoorzaak (art. 13(2)). Technische input voor rapporten over grote incidenten (art. 19(4)): eerste melding, tussentijds rapport en eindrapport.	Incidentrapport met tijdlijn, indicatoren van compromittering, grondoorzaak en genomen maatregelen

3. Testen van digitale operationele veerkracht (hoofdstuk IV, artikelen 24 tot en met 27)

DORA vereist een testprogramma, dat minstens één keer per jaar wordt herzien, en dat expliciet omvat kwetsbaarheidsbeoordelingen en scans (art. 25(1)).

• External Scan, Active Directory Scan en Cloud Scan geven je terugkerende kwetsbaarheidsbeoordelingen die dit programma voeden (art. 24(6), 25(1)).

• Phishingsimulaties zijn een vorm van op scenario's gebaseerde social-engineeringtests (art. 25(1)).

Threat-led penetration testing (TLPT, art. 26 en 27) is alleen verplicht voor financiële entiteiten die door hun toezichthouder zijn aangewezen. Stoïk Protect biedt dit niet aan.

4. ICT-risico van derde partijen (hoofdstuk V, artikelen 28 tot en met 44)

Je blijft volledig verantwoordelijk voor je DORA-verplichtingen wanneer je een cloudprovider gebruikt (art. 28(1)). Cloudscan helpt je het deel van dat risico te beheersen dat afhangt van hoe jij je omgeving hebt geconfigureerd.

Het niet vervangt het informatie-register of de verplichte contractclausules met je ICT-dienstverleners niet (art. 28(3), art. 30).

5. Informatiedeling (artikel 45)

Deze pijler is optioneel onder DORA. Stoïk Protect dekt deze niet rechtstreeks.

Wat jouw verantwoordelijkheid blijft

Stoïk Protect geeft je tools en bewijs. Je organisatie blijft verantwoordelijk voor het volgende:

• Governance. Je bestuursorgaan draagt de eindverantwoordelijkheid voor ICT-risico en moet het kader goedkeuren (art. 5(2)).

• Officiële melding. Je meldt grote incidenten aan je toezichthouder (art. 19). De Stoïk CERT helpt je de technische inhoud voor te bereiden.

• Back-ups en bedrijfscontinuïteit. Je beleid voor back-up, herstel en bedrijfscontinuïteit of disaster recovery, en de tests daarvan (art. 11, 12).

• Register van ICT-dienstverleners en contracten (art. 28(3), 30).

• Versleutelingsbeleid (art. 9(4)).

• TLPT, als je toezichthouder je daarvoor heeft aangewezen (art. 26, 27).

Aan de slag

1. Open Stoïk Protect en controleer welke tools al actief zijn voor jouw organisatie.

2. Activeer de tools die passen bij je tekortkomingen. External Scan, Active Directory Scan, Training en Phishing simulation zijn de snelste successen voor DORA-bewijs.

3. Vul het NIS2-beoordeling in het Naleving tabblad in voor een gestructureerd overzicht van je technische maatregelen.

4. Exporteer de rapporten van elke tool en voeg ze toe aan je DORA-documentatie.

Dit artikel is algemene richtlijn, geen juridisch advies. Verwijzingen zijn naar de EU-teksten: Verordening (EU) 2022/2554 (DORA) en de gedelegeerde verordeningen (EU) 2024/1774 en (EU) 2025/301. De exacte reikwijdte van elke dienst hangt af van je contract. Vraag voor je specifieke verplichtingen advies aan je compliance officer of je toezichthouder.