DORA als ICT-leverancier van financiële instellingen: wat je klanten van je eisen

De Digital Operational Resilience Act geldt sinds 17 januari 2025. Als ICT-dienstverlener sta je niet in de lijst van entiteiten waarvoor Verordening (EU) 2022/2554 rechtstreeks werkt, en toch merk je hem bij elke contractverlenging met een bank, verzekeraar of betaalinstelling. De eisen die je klant moet halen, komen voor een groot deel bij jou terecht.

Twee routes waarlangs DORA je bereikt

De eerste route is het contract. Financiële entiteiten moeten in hun overeenkomsten over ICT-diensten een vast pakket bepalingen opnemen, en dat pakket wordt zwaarder zodra de dienst een kritieke of belangrijke functie ondersteunt. Je klant kan daar niet van afwijken, ook niet wanneer jouw standaardvoorwaarden er slecht op aansluiten.

De tweede route geldt voor een kleine groep. De Europese toezichthoudende autoriteiten wijzen aanbieders aan als kritieke ICT-dienstverlener wanneer een groot deel van de financiële sector van hen afhankelijk is. Wie wordt aangewezen, krijgt een Lead Overseer toegewezen, komt onder rechtstreeks Europees toezicht en kan inspecties en aanbevelingen verwachten. Dat raakt vooral de grote cloud- en infrastructuuraanbieders. Voor iedereen daarbuiten loopt DORA volledig via het contract.

Wat er in het contract terechtkomt

Artikel 30 van de verordening somt op wat er in elke overeenkomst over ICT-diensten moet staan: een duidelijke beschrijving van de dienst, de locaties waar gegevens worden verwerkt en opgeslagen, afspraken over beschikbaarheid en gegevensbescherming, ondersteuning bij incidenten, en de voorwaarden waaronder de overeenkomst eindigt.

Ondersteunt de dienst een kritieke of belangrijke functie, dan komt daar een tweede laag bovenop: meetbare prestatiedoelen in plaats van een inspanningsverplichting, meldingstermijnen voor incidenten die je klant raken, toegangs-, inspectie- en auditrechten voor je klant en voor zijn toezichthouder, voorwaarden voor onderuitbesteding inclusief de vraag of je een onderaannemer mag vervangen zonder toestemming, en een exitstrategie met een overgangsperiode.

Twee van die punten leveren aan de onderhandelingstafel de meeste discussie op: het auditrecht en de onderuitbesteding. Beide zijn niet weg te schrijven, want je klant moet ze kunnen laten zien aan zijn toezichthouder.

Het informatieregister: wat je klant bij je opvraagt

Elke financiële entiteit houdt een informatieregister bij van alle contractuele afspraken over ICT-diensten en levert dat periodiek aan bij de toezichthouder. Dat register is een gestructureerd bestand met vaste velden, en een deel van die velden kan je klant alleen invullen met gegevens van jou.

Verwacht vragen over je identificatiecode, doorgaans de LEI, het land van vestiging, de landen waar de dienst wordt geleverd en waar gegevens worden opgeslagen, het type dienst, en de keten van onderaannemers die bij de dienst betrokken is. Die laatste vraag gaat verder dan leveranciers verwachten: het gaat niet alleen om de partij die jij inschakelt, maar om de keten daaronder voor zover die de dienst raakt.

Leveranciers die deze gegevens een keer op een rij zetten en bijhouden als een levend document, kunnen zo'n verzoek meteen beantwoorden. Wie het bij elk verzoek opnieuw uitzoekt, houdt de aanlevering van zijn klant op. Het is bovendien dezelfde informatie die je nodig hebt voor je eigen leveranciersbeheer, dus het werk is niet weggegooid.

Meldtermijnen die doorwerken in je SLA

Bij een ernstig incident meldt je klant in drie stappen aan de toezichthouder: een eerste melding uiterlijk vier uur na de classificatie als ernstig en in elk geval binnen 24 uur na constatering, een tussentijds rapport binnen 72 uur en een eindrapport binnen een maand.

Die klok geldt formeel voor je klant en niet voor jou. Praktisch betekent het dat hij een melding van jou nodig heeft ruim voordat zijn eerste termijn verstrijkt, met genoeg informatie om de ernst te kunnen classificeren. Een bericht dat alleen zegt dat er een storing is, helpt daar niet bij. Wat wel helpt is een vast meldformat met het aanvangstijdstip, de geraakte dienst, de vermoedelijke oorzaak, het aantal geraakte klanten of transacties voor zover bekend, en de status. Leg dat vast in je incident response plan en oefen het een keer, want een escalatiepad dat alleen op papier bestaat werkt op zondagavond niet.

Auditrechten, en waarom een assurancerapport goedkoper uitpakt

Het auditrecht is de bepaling die leveranciers het meeste kost. Als meerdere financiële klanten allemaal hun eigen audit uitvoeren, gaat er een aanzienlijk deel van het jaar op aan vragenlijsten en bezoeken, meestal bij dezelfde paar mensen in je organisatie.

DORA laat daar uitdrukkelijk ruimte voor alternatieven. Klanten mogen een gezamenlijke audit uitvoeren en mogen zich baseren op auditrapporten van derden, zolang die de geleverde dienst en de relevante beheersmaatregelen dekken. Daar zit de reden waarom een ISAE 3402-rapport of een SOC 2-rapport in deze markt zoveel oplevert: een onderzoek per jaar door een onafhankelijke accountant, en een rapport dat je aan elke klant kunt geven.

Let daarbij op de scope. Een rapport dat alleen beveiliging dekt, beantwoordt de vragen over beschikbaarheid en verwerkingsintegriteit niet. Voor klanten in de financiële sector zijn juist beschikbaarheid, continuïteit, wijzigingsbeheer en onderuitbesteding de onderwerpen waar naar gekeken wordt. Dat traject begeleiden wij vanuit onze ISAE 3402-praktijk.

De exitbepaling die vaak theoretisch blijft

DORA vraagt om een exitstrategie die uitvoerbaar is, niet om een clausule waarin het woord exit voorkomt. De vragen die beantwoord moeten worden zijn concreet: in welk formaat krijgt de klant zijn data terug, binnen welke termijn, tegen welke vergoeding, en hoe lang blijft de dienst draaien tijdens de migratie.

Dit is het onderdeel waar je klant tijdens zijn eigen toets het vaakst op vastloopt, en waar je als leverancier het makkelijkst het verschil maakt. Een exportformaat dat gedocumenteerd is en een keer getest, plus een overgangsperiode die in het contract staat, haalt het grootste deel van dat gesprek weg.

Waar het in de praktijk misgaat

Vier patronen komen steeds terug. De standaard-SLA is geschreven met inspanningsverplichtingen en bevat geen meetbare doelen, waardoor je klant niets kan aantonen. De onderaannemersketen is niet in kaart gebracht, waardoor het registerverzoek blijft liggen. Het auditrecht wordt in de onderhandeling weggeschreven, waarna de klant alsnog aan zijn toezichthouder moet uitleggen waarom hij geen zicht heeft op een kritieke dienst. En continuïteit is wel beschreven maar nooit getest, dus er is geen testresultaat om te delen.

Alle vier zijn te repareren voordat een klant ernaar vraagt, en dat is de moeite waard. Financiële instellingen moeten hun leveranciersbestand kunnen verantwoorden aan hun toezichthouder, en daarmee is aantoonbaarheid een selectiecriterium geworden in plaats van een formaliteit achteraf. Wat je klant zelf allemaal moet inrichten staat in DORA: wat de verordening eist van financiële instellingen.