De DORA-deadline van 17 januari 2025 is meer dan een compliance-oefening; het verankert digitale veerkracht in de kern van uw bedrijfsstrategie. Voor IT-managers, CIO's en CTO's betekent dit een directe verantwoordelijkheid voor het gehele ICT-risicokader. De CIO bewaakt de strategie, de compliance officer zorgt voor de juridische inbedding en de IT-manager is de spil in de technische implementatie van de vijf DORA-pijlers.
Een middelgrote bank start haar DORA-traject met een gap-analyse. De IT-architect en risicomanager brengen samen de kritieke ICT-systemen en leverancierscontracten in kaart. Ze leggen de huidige incident response-protocollen naast de strikte DORA-eisen en identificeren een tekortkoming in de rapportagesnelheid. Dit resulteert direct in een project om de monitoring en alarmering te verscherpen, waardoor een abstracte regel een concrete technische actie wordt.
Wat moet u nu doen? Begin met deze vijf stappen. 1. Inventariseer en toets alle contracten met ICT-leveranciers aan de DORA-vereisten. 2. Voer een business impact analyse uit om uw meest kritieke bedrijfsfuncties te bepalen. 3. Plan een eerste geavanceerde penetratietest (TLPT) in voor deze systemen. 4. Richt een formeel proces in voor het melden van ICT-incidenten. 5. Wijs per DORA-pijler een duidelijke eigenaar aan in uw team.
Digitale veerkracht bewijst zich onder druk. DORA vereist daarom periodieke en geavanceerde tests, zoals Threat-Led Penetration Testing (TLPT), om te valideren of uw verdediging effectief is tegen realistische aanvalsscenario's. Deze verantwoordelijkheid strekt zich uit over de gehele IT-keten, waarbij de IT-auditor een essentiële rol vervult. De afsluitende vraag voor elke beslisser is dan ook: hoe veerkrachtig is uw organisatie écht als er morgen een groot incident plaatsvindt?