DORA: vijf punten om cyberveiligheid en veerkracht te versterken

DORA heeft tot doel de operationele veerkracht in de gehele financiële sector en in de EU-lidstaten te standaardiseren. De Europese verordening stelt daarom een reeks best practices vast voor betere cyberweerbaarheid. Bij overtredingen riskeren organisaties die in de EU actief zijn geldboetes en andere sancties. Net als bij privacywet AVG kunnen de boetes oplopen tot twee procent van de wereldwijde omzet. Daarnaast kunnen EU-lidstaten ook afzonderlijke sancties opleggen aan leidinggevenden en derden.

“Straffen is echter het uiterste middel”, stelt Nicholas Jackson. “Toezichthouders zijn vooral geïnteresseerd in welke stappen niet-conforme organisaties ondernemen om de operationele veerkracht van de gehele sector verder te versterken. Alle betrokkenen moeten daarom begrijpen wat de uitgebreide regelgeving concreet betekent voor financiële ondernemingen en hun IT-dienstverleners in de EU.”

Risico financiële sector

Voor de financiële sector in de EU is er volgens Jackson bijvoorbeeld een groot risico door de sterk verweven en afhankelijke IT. De financiële sector is namelijk sterk afhankelijk van digitale technologieën én beïnvloedt bijna alle andere economische sectoren. De mogelijkheid om vrijwel elk type transactie, ongeacht omvang of volume, grensoverschrijdend en vrijwel direct uit te voeren, is essentieel voor alle economische processen. Onderbrekingen in digitale processen kunnen de geldstroom voor kritieke infrastructuren stilleggen, verzekeringspolissen in de hele EU raken of het vrije verkeer van goederen en diensten tussen lidstaten belemmeren.

Een van de grootste uitdagingen voor de operationele veerkracht in de financiële sector komt voort uit het uitgebreide en complexe netwerk waarop de processen zijn gebaseerd. De daarvoor noodzakelijke geautomatiseerde processen hangen af van complexe infrastructuren die zich uitstrekken over lokale datacenters en cloudproviders.

Jackson: “Deze afhankelijkheid van derden en technologiepartners vormt een aanzienlijk risico en legt ook een verantwoordelijkheid bij externe leveranciers. Een verantwoordelijkheid die als gevolg van DORA niet langer vrijblijvend is.”

DORA-compliance

Hoe is in het licht van bovenstaande punten DORA-compliance te realiseren? Volgens Jackson moeten IT-beveiligingsanalisten in de financiële sector en bij hun ICT-dienstverleners vijf punten in aanmerking nemen om aan de nieuwe richtlijn te voldoen:

1. Risicomanagement voor IT en communicatie

Niemand kan beschermen wat hij niet kent. Daarom vereist DORA dat IT-verantwoordelijken hun infrastructuur en systemen grondig begrijpen en risico’s kunnen identificeren. Penetratietests die zich op bedreigingen richten, spelen hierbij een centrale rol.

2. Focus op derden en hun invloed op bedrijfsrisico’s

Leveranciers, aannemers en serviceproviders zijn onmisbaar, maar zonder risicomanagement vormen zij een zwakke plek. DORA verlangt dat organisaties de impact van derden documenteren en passende beveiligingsmaatregelen treffen.

3. Incidentmanagement

Financiële instellingen moeten gestructureerde processen hebben om IT-incidenten te detecteren, te behandelen en te melden, inclusief duidelijke escalatieprocedures en strakke rapportagetijdlijnen.

4. Changemanagement

Omdat organisaties en hun digitale omgevingen voortdurend veranderen, moeten beveiligingsteams inzicht hebben in IT-wijzigingen, de risico’s opnieuw beoordelen en de gevolgen monitoren.

5. Compliance documenteren

DORA legt nadruk op verantwoording: bedrijven moeten continu kwetsbaarheidstesten uitvoeren, risico’s beoordelen en rapporteren, waarbij alle informatie in een centraal register wordt opgenomen.

DORA biedt kansen

Ondanks de vele verplichtingen is DORA meer dan een wettelijke plicht. Het biedt financiële instellingen en dienstverleners een uitstekende kans om hun cyber- en operationele weerbaarheid te vergroten en hun beveiligingsstrategieën te optimaliseren. De nieuwe voorschriften zijn afgestemd op de dynamische behoeften van de financiële sector en sluiten goed aan bij andere standaarden en bedrijfsdoelen.

Meer weten over DORA en hoe Bitdefender u hiermee kan helpen? Stuur dan een email naar hvanwissen@bitdefender.com en kom meer te weten over Bitdefender Compliance Manager.