Dank aan Aida Kaloci en Axel Desmet van het Innovatieteam van Cresco voor hun deelname aan ons webinar, DORA compliance after January: What's next?.

DORA is reeds van kracht, en hoewel de handhaving na april 2025 kan toenemen, dienen ondernemingen nu in actie te komen. Het beoordelen, onderhandelen en afstemmen van contracten is essentieel om naleving te waarborgen en financiële en operationele risico's te vermijden.

Hier zijn de belangrijkste conclusies van deze informatieve sessie. U kunt ook het webinar hier bekijken.

De toenemende cyberdreiging en het ontstaan van DORA

In 2024 bereikten cyberaanvallen wereldwijd recordhoogtes, met een stijging van 75% in het derde kwartaal ten opzichte van dezelfde periode in 2023.  

Tegelijkertijd zien we een golf van nieuwe wet- en regelgeving, waaronder DORA (de Digital Operational Resilience Act), een regelgevend kader dat gericht is op het versterken van de operationele veerkracht van financiële entiteiten in de hele EU.
‍

Op wie is DORA van toepassing?

DORA is van toepassing op traditionele financiële instellingen zoals:

• Kredietinstellingen

• Betalingsinstellingen

• Handelsplatformen

De verordening is eveneens van toepassing op moderne financiële entiteiten, waaronder:

• Beleggingsbeheerders

• Aanbieders van cryptoactivadiensten

Cruciaal is dat externe ICT-dienstverleners die diensten verlenen aan deze financiële instellingen indirect onder het toepassingsgebied van DORA vallen.
‍

Tijdlijn voor DORA-naleving

DORA is van toepassing sinds 17 januari 2025. Dit betrof een strikte deadline. Er is echter sprake van een officieuze overgangsperiode tot 30 april 2025, het moment waarop nationale toezichthouders een lijst van kritieke externe dienstverleners moeten indienen bij de Europese toezichthoudende autoriteiten.

Tot die tijd is de handhaving wellicht beperkt, maar marktdeelnemers dienen hun compliance-inspanningen niet uit te stellen.
‍

Waarom DORA-naleving essentieel is

Niet-naleving van DORA kan leiden tot:

• Boetes van maximaal 2% van de wereldwijde omzet, vergelijkbaar met de AVG. 

• Vergunningsrisico's. Er wordt gespeculeerd dat niet-naleving gevolgen kan hebben voor PSD2- en andere vergunningen voor financiële diensten.

Omgaan met de kernverplichtingen en uitdagingen van DORA

DORA introduceert strikte vereisten voor financiële entiteiten en hun externe ICT-dienstverleners. Het waarborgen van compliance vereist een gestructureerde aanpak binnen vier kerngebieden: ICT-risicobeheer, incidentenrapportage, veerkrachtonderzoeken en het beheer van risico's verbonden aan derden.

Elk van deze verplichtingen vereist een proactieve compliancestrategie, waarbij van financiële entiteiten wordt verwacht dat zij contractuele waarborgen versterken en doorlopende monitoring implementeren. Onderhandelingen met ICT-dienstverleners stuiten echter vaak op hindernissen, waardoor een risicogebaseerde aanpak onontbeerlijk is.
‍

Versterking van ICT-risicobeheer

Financiële entiteiten moeten de risico's die voortvloeien uit hun ICT-dienstverleners continu beoordelen en beheren. Dit omvat:

• Het contractueel vastleggen van duidelijke rollen en verantwoordelijkheden.

• Het uitvoeren van doorlopende risicobeoordelingen om te waarborgen dat dienstverleners voldoen aan de normen voor digitale operationele veerkracht.

Deze verplichting dwingt financiële instellingen ertoe ICT-dienstverleners te behandelen als een integraal onderdeel van de operationele veiligheid, waarbij systemen en controles moeten aansluiten op de toezichtrechtelijke vereisten.
‍

Incidentenrapportage 

DORA schrijft voor dat elk ernstig ICT-gerelateerd incident onverwijld aan de toezichthouders moet worden gemeld. Compliance vereist:

• Het contractueel vastleggen van duidelijke meldingsmechanismen.

• Het bepalen van termijnen, escalatieprocedures en verantwoordelijkheden voor rapportage.

Voor financiële entiteiten betekent dit een nauwe samenwerking met ICT-dienstverleners om een naadloze informatie-uitwisseling bij incidenten te garanderen. Contractuele bepalingen moeten ambiguïteit uitsluiten en concrete responsprotocollen bevatten.
‍

Testen van digitale operationele veerkracht 

Het testen van operationele veerkracht is een fundamentele pijler van DORA-naleving en vereist dat financiële entiteiten hun ICT-systemen periodiek testen. Overeenkomsten moeten het volgende specificeren:

• De testfrequentie (ten minste jaarlijks, of frequenter voor dienstverleners met een hoog risicoprofiel).

• De reikwijdte van de tests, met inbegrip van penetratietests en calamiteitenplanoefeningen (disaster recovery).

• Mitigerende maatregelen om kwetsbaarheden aan te pakken die tijdens het testen zijn vastgesteld.

Deze vereiste zorgt ervoor dat financiële entiteiten kunnen anticiperen op en reageren op cyberdreigingen voordat deze escaleren tot omvangrijke operationele verstoringen.
‍

Beheersing van ICT-risico's van derden via contracten

DORA strekt zich verder uit dan financiële instellingen en reguleert indirect ook externe ICT-dienstverleners. Om compliant te zijn, moeten contracten het volgende bevatten:

• Exitclausules die een soepele overgang waarborgen indien een dienstverlener wordt vervangen.

• Voorwaarden voor uitbesteding en onderaanneming, waarin wordt vastgelegd of voorafgaande toestemming vereist is voordat diensten verder worden uitbesteed.

Toezichthouders verwachten dat financiële entiteiten te allen tijde volledig inzicht in en controle over hun dienstverleners behouden, om te voorkomen dat verstoringen bij één leverancier een domino-effect teweegbrengen in het financiële ecosysteem.

Uitdagingen bij contractonderhandelingen: 
Waar weerstand ontstaat

Ondanks de duidelijke vereisten van DORA verzetten veel ICT-dienstverleners zich tegen contractwijzigingen vanwege:

• Compliancekosten, aangezien het voldoen aan toezichtrechtelijke normen aanvullende investeringen vergt.

• Beperkte capaciteit, waarbij sommige dienstverleners niet over de middelen beschikken om de vereiste controles te implementeren.

• Geschillen over classificatie, waarbij dienstverleners betwisten of zij "kritieke of belangrijke" financiële functies ondersteunen.

Een risicogebaseerde aanpak biedt uitkomst. Richt u op:

• Het in kaart brengen van alle ICT-dienstverleners die kritieke functies ondersteunen.

• Het beoordelen van bestaande overeenkomsten om compliancelacunes te identificeren.

• Het onderhandelen over contractvoorwaarden om te waarborgen dat dienstverleners voldoen aan de DORA-vereisten zonder onevenredige lasten op te leggen.

Zo eiste een financiële instelling aanvankelijk dat een ICT-dienstverlener driemaal per jaar een penetratietest zou uitvoeren, waarmee de minimale DORA-eis van één jaarlijkse test werd overschreden. Na een risicobeoordeling werd vastgesteld dat de desbetreffende diensten niet bedrijfskritiek waren, waardoor de instelling de eis kon aanpassen zonder de veerkracht in gevaar te brengen.

Handmatige beoordelingen maken DORA-compliance een aanzienlijke uitdaging

DORA-naleving is een complex proces met aanzienlijke belangen. Het is tevens uitgegroeid tot een prioriteit op bestuursniveau vanwege de aanzienlijke risicoblootstelling. Naleving is niet louter een juridische aangelegenheid, maar vereist een multidisciplinaire afstemming tussen juridische zaken, inkoop, verkoop en andere afdelingen.

Desondanks vertrouwen de meeste juridische teams nog steeds op handmatige contractbeoordelingen; een tijdrovend proces dat duizenden uren vergt voor het analyseren, heronderhandelen en herformuleren van contracten. Dit vertraagt de naleving, leidt tot hogere kosten door afhankelijkheid van externe adviseurs en vergroot het risico op menselijke fouten, met name bij grote contractvolumes.

AI maakt proactieve compliance mogelijk

LEGALFLY vereenvoudigt DORA-compliance door contractbeoordelingen te automatiseren, risico's te identificeren en continue afstemming op de regelgeving te waarborgen. Het versnelt contractaudits door duizenden overeenkomsten in enkele minuten te scannen, waardoor de doorlooptijd van weken naar dagen wordt teruggebracht. Door niet-conforme clausules te detecteren en DORA-conforme herzieningen voor te stellen, stelt LEGALFLY juridische teams in staat om direct wijzigingen (redlines) door te voeren, wat de consistentie en nauwkeurigheid ten goede komt.

Lees meer: DORA-naleving vereenvoudigd met juridische AI

Met op maat gemaakte compliance playbooks ondersteunt LEGALFLY instellingen zoals KBC Bank bij het opstellen van gestructureerde richtlijnen, waardoor contractbeoordelingen efficiënter verlopen voor zowel juridische als inkoopteams. Deze playbooks waarborgen dat compliancestandaarden consistent worden toegepast over alle overeenkomsten heen. LEGALFLY biedt tevens continue monitoring en actualiseert compliance playbooks automatisch op basis van nieuwe wetswijzigingen, wat de noodzaak van handmatige updates en externe juridische adviseurs aanzienlijk vermindert.

Naast efficiëntiewinst stelt LEGALFLY financiële entiteiten in staat om proactief risico's te beheren, menselijke fouten te minimaliseren en toezichtrechtelijke boetes of operationele verstoringen te voorkomen. Door compliance te transformeren tot een gestroomlijnd, geautomatiseerd proces, stelt het organisaties in staat om met meer vertrouwen en controle te voldoen aan DORA en toekomstige wet- en regelgeving.