DORA · Verordening (EU) 2022/2554
DORA-compliance voor financiële entiteiten.
DORA stelt eisen aan ICT-risicobeheer, incidentmelding, weerbaarheidstesten en ICT-risico’s bij derden voor financiële entiteiten. Met Basenorm organiseer je ze op je ISO 27001-ISMS, in één EU-native platform.
Gehost in Nederland. Je data blijft in de EU.In het kort
- Soort
- EU-verordeningRechtstreeks van toepassing in elke lidstaat
- Van toepassing
- 17 januari 2025Met technische standaarden van de Europese toezichthouders
- Geldt voor
- Financiële entiteitenZoals banken, verzekeraars, beleggingsondernemingen en betaalinstellingen
- Derden
- ICT-dienstverlenersKritieke aanbieders vallen onder EU-toezicht
01 / Wat DORA vraagt
Wat DORA
van je vraagt.
DORA brengt digitale operationele weerbaarheid samen in één kader voor de financiële sector. Proportionaliteit geldt: de eisen hangen af van de omvang en het risicoprofiel van de entiteit.
- 1ICT-risicobeheer
Een vastgelegd kader voor ICT-risicobeheer, waarvoor het bestuursorgaan verantwoordelijk is.
- 2Melding van ICT-incidenten
ICT-gerelateerde incidenten classificeren en ernstige incidenten melden bij de toezichthouder.
- 3Weerbaarheidstesten
Je digitale operationele weerbaarheid testen; sommige entiteiten voeren dreigingsgestuurde penetratietesten uit.
- 4ICT-risico’s bij derden
Risico’s van ICT-dienstverleners beheersen, met contractuele eisen en exitstrategieën.
- 5Informatieregister
Een register bijhouden van alle contractuele afspraken met ICT-dienstverleners.
- 6Informatie delen
Optioneel informatie over cyberdreigingen delen met andere financiële entiteiten.
De gedetailleerde eisen volgen uit de technische regulerings- en uitvoeringsnormen.
02 / Met je ISMS
DORA op wat je al hebt.
| Onderwerp | Je ISO 27001-ISMS | Wat DORA toevoegt |
|---|---|---|
| ICT-risicobeheer | Risicobeoordeling, -behandeling en Annex A-maatregelen | Een formeel kader voor ICT-risicobeheer onder verantwoordelijkheid van het bestuursorgaan |
| Incidenten | Maatregelen voor incidentbeheer | Classificatiecriteria en melding van ernstige ICT-incidenten |
| Testen | Beheer van technische kwetsbaarheden en interne audit | Een testprogramma voor weerbaarheid, en waar nodig dreigingsgestuurde penetratietesten |
| Derden | Maatregelen voor leveranciersrelaties | Contractuele bepalingen, exitstrategieën en het informatieregister |
ISO 27001 geeft je een stevige basis voor DORA. Of je maatregelen aan DORA voldoen, beoordeel je per entiteit en per eis.
03 / In de praktijk
VERORDENING (EU) 2022/2554DORA in
de praktijk.
DORA is een verordening en geldt daarom rechtstreeks in elke lidstaat. Technische standaarden van de Europese toezichthouders werken de details uit.
Lees meer over ISO 27001In werking. De verordening is in werking getreden.
Van toepassing. Vanaf deze datum moeten financiële entiteiten aan de eisen voldoen.
Technische standaarden. Gedetailleerde regels, bijvoorbeeld over de classificatie van incidenten en het informatieregister.
Bron: Verordening (EU) 2022/2554 en de bijbehorende technische standaarden.
04 / In Basenorm
Hoe Basenorm je helpt.
Unified Control Library
Zie welke van je ISO 27001-maatregelen ook meetellen voor DORA.
02Governance Graph
Verbind ICT-diensten, dienstverleners, risico’s, maatregelen en eigenaren.
03AskNorman
Vraag wat er nog openstaat voor DORA, in Basenorm of via MCP vanuit ChatGPT, Claude of Perplexity. Je controleert zelf de onderbouwing.
05 / De vragen
Vragen over
DORA.
Valt onze organisatie onder DORA?
DORA geldt voor financiële entiteiten in de EU, zoals banken, verzekeraars, beleggingsondernemingen en betaal- en elektronischgeldinstellingen, en voor ICT-dienstverleners die als kritiek zijn aangewezen. Voor kleinere entiteiten geldt proportionaliteit.
Hoe verhoudt DORA zich tot NIS2?
Voor financiële entiteiten is DORA de sectorspecifieke wet voor digitale operationele weerbaarheid. Waar DORA van toepassing is, gaat zij voor op de overeenkomstige NIS2-eisen.
Is ISO 27001 genoeg voor DORA?
Niet op zichzelf. Het dekt veel van het ICT-risicobeheer, maar DORA voegt eisen toe zoals incidentclassificatie, weerbaarheidstesten en het informatieregister.
Wat is het informatieregister?
Een register van alle contractuele afspraken met ICT-dienstverleners, dat financiële entiteiten bijhouden en aan hun toezichthouder verstrekken.
Test Basenorm onze weerbaarheid?
Nee. Basenorm helpt je je maatregelen, bewijs en derden te organiseren. Testen gebeurt door je eigen team of door gespecialiseerde testers.
Plan een demo
Organiseer DORA op je ISO 27001.
In een demo bekijken we je ICT-risicobeheer, je derden en wat DORA toevoegt.
- Welke ISO 27001-maatregelen je kunt hergebruiken voor DORA.
- Hoe je ICT-dienstverleners en het register beheert.
- Hoe je incidenten en testen organiseert.
Gehost in Nederland. Je data blijft in de EU.