Bestuursverantwoordelijkheden onder DORA: van beleid naar besluiten

Begrijp wiens verantwoordelijkheid DORA beschrijft

Het uitgangspunt is de gereguleerde juridische entiteit. De reikwijdte en uitzonderingen van DORA staan in artikel 2, terwijl artikel 3, punt 30, het begrip „leidinggevend orgaan” definieert aan de hand van de toepasselijke sectorale en nationale regels voor bestuur en toezicht. Een functietitel binnen het bedrijf bepaalt die rol niet op zichzelf. Leg vast welk orgaan of welke organen deze functies in uw organisatie vervullen.

Binnen het algemene kader legt artikel 5, lid 2, de verantwoordelijkheid voor het ICT-risicobeheerkader bij het leidinggevend orgaan, inclusief de eindverantwoordelijkheid voor het ICT-risico van de entiteit. Specialisten kunnen het operationele werk uitvoeren. Het bestuur moet wel kunnen aantonen dat het verwachtingen heeft gesteld, voldoende informatie heeft ontvangen, tekortkomingen kritisch heeft bevraagd en de uitvoering van belangrijke besluiten heeft gevolgd.

Dit artikel focust op dat algemene kader. Entiteiten binnen Artikel 16 volgen een vereenvoudigd regime in plaats van de Artikelen 5–15; de governancebepalingen daarvoor zijn verder uitgewerkt in artikel 28 van Gedelegeerde Verordening 2024/1774. Controleer welke regels van toepassing zijn voordat u deze gids gebruikt om een intern verplichtingenregister op te stellen.

Groepsafspraken vereisen dezelfde duidelijkheid. Een moederorganisatie kan operationele beveiliging, inkoop of beleidsdeskundigheid bieden. De dochteronderneming heeft nog steeds een bruikbaar overzicht nodig van de diensten waarop zij vertrouwt, de risico’s die zij draagt en de besluiten die haar eigen bestuursorgaan moet nemen. "De groep regelt het" is een onvolledige verklaring van de verantwoordelijkheid.

Zie goedkeuring als het begin van toezicht

Artikel 5 behandelt verantwoordelijkheden zoals het weerbaarheidsbeleid en ICT-risicotolerantie, continuïteits- en herstelmaatregelen, auditplanning, middelen, beleid voor derden en rapportagekanalen. Zie de precieze toedeling in artikel 5, lid 2, onder c) tot en met i). Het volgende is onze praktische werkwijze om het resulterende werk te organiseren, geen vervanging voor de wettelijke bepaling.

Leg bij elke belangrijke goedkeuring drie samenhangende punten vast: wat het bestuur heeft toegestaan, op welke aannames het zich baseerde en welk bewijs het vervolgens verwacht. Een goedgekeurde strategie moet leiden tot voortgang op de prioriteiten. Een goedgekeurd herstelplan moet leiden tot aantoonbaar herstelvermogen. Een goedgekeurd budget moet mensen, diensten of maatregelen opleveren die het vastgestelde risico daadwerkelijk verkleinen.

Een verbeterplan van zes maanden goedkeuren zonder te vragen wie het uitvoert, schept een voorspelbaar probleem. Als dezelfde twee specialisten al aan een essentiële migratie werken, is het plan mogelijk niet haalbaar. Vraag vóór goedkeuring naar de aannames over beschikbare capaciteit en leg de afweging vast. Een realistische nieuwe termijn met een expliciete tijdelijke beschermingsmaatregel is nuttiger dan een datum die niemand kan halen.

Maak onderscheid tussen stukken ter besluitvorming en stukken ter informatie. Elke besluitvormingsnotitie moet de voorgestelde actie, haalbare alternatieven, gevolgen van uitstel, resterende onzekerheden en beslistermijn noemen. Bestuurders kunnen de aanbeveling dan kritisch toetsen zonder elk technisch detail van de uitvoering te behandelen.

Gebruik een beslissingsmatrix om onduidelijkheid weg te nemen

Spreek voor elk belangrijk onderwerp af wie het voorstel voorbereidt, kritisch toetst, erover beslist en de uitvoering controleert. Pas het voorbeeld aan uw juridische structuur, de aan bepaalde organen voorbehouden besluiten en de mandaten van commissies aan. „Bestuur” verwijst hieronder naar het bevoegde leidinggevende orgaan; niet elke operationele beslissing hoeft op een voltallige vergadering te wachten.

Risicobeheer en compliance moeten het voorstel kritisch kunnen toetsen zonder verantwoordelijk te zijn voor elke operationele beheersmaatregel. Interne audit moet de onafhankelijkheid behouden die bij haar rol hoort. Laat een commissie niet zowel een verbetering uitvoeren als de enige instantie zijn die de werking ervan bevestigt.

Test de matrix met een echte, aanstaande beslissing. Als een leverancierscontract volgende week moet worden vernieuwd, kan iedereen dan identificeren wie het mag goedkeuren, wie voorwaarden kan stellen, en wie eventuele resterende blootstelling accepteert? Los tegenstrijdige antwoorden op vóórdat ze bij een incident of commerciële deadline aan het licht komen.

Vertaal risicotolerantie naar keuzes over diensten

De uitspraak dat een bedrijf „weinig cyberrisico wil nemen” vertelt een directielid niet hoe te kiezen tussen concurrerende projecten. Vraag het management de uitspraak te verbinden met diensten, gevolgen voor klanten, vereiste beheersmaatregelen en escalatiecriteria. Houd het verschil tussen een gewenst resultaat en een aangetoond vermogen duidelijk.

Neem een fictieve beleggingsonderneming die een nieuw platform voor klantrapportages overweegt. Het management stelt een hersteldoel voor op basis van marketingmateriaal van de leverancier. Het bestuur moet vragen of dit doel de hele dienst omvat: brongegevens, authenticatie, gegevensafstemming, toegang voor medewerkers en verzending aan klanten. Als alleen het platform is getest, leg dan vast welke afhankelijkheden niet zijn getest en welke beslissing daardoor wordt beïnvloed.

Nuttige controlevragen zijn bijvoorbeeld:

• Welke schade ontstaat als de dienst niet beschikbaar is of de data niet betrouwbaar zijn?
• Welke aannames zijn aangetoond en welke blijven schattingen?
• Wat kunnen we veilig blijven doen terwijl de belangrijkste dienst beperkt functioneert?
• Welke gebeurtenis vereist escalatie of een andere operationele beslissing?
• Wie mag het restrisico accepteren, voor hoelang en onder welke voorwaarden?

Stel specifieke grenzen voor uitzonderingen vast. Een tijdsgebonden uitzondering kan de getroffen dienst, motivatie, tijdelijke maatregelen, verantwoordelijke eigenaar, vervaldatum en omstandigheden voor eerdere heroverweging benoemen. Herhaalde verlengingen moeten aanleiding geven tot discussie of het oorspronkelijke plan nog geloofwaardig is. Een uitzonderingenlogboek is pas een beslissingshulpmiddel als er ook naar gehandeld wordt.

Toets of het budget het beloofde resultaat mogelijk maakt

Artikel 5, lid 2, onder g), gaat over toereikende middelen en periodieke beoordeling van het budget. Een budget is nuttiger wanneer het uitgaven aan een resultaat koppelt dan wanneer het die alleen het etiket „DORA” of „cybersecurity” geeft. Vraag het management welk risico wordt aangepakt, welke afhankelijkheden de uitvoering bepalen en welk bewijs de verbetering zal aantonen.

Vergelijk „Een nieuw back-upproduct kopen” met „Aantonen dat de dienst voor klanten kan worden hersteld met afgestemde gegevens in een geïsoleerde herstelomgeving”. Het tweede voorstel biedt ruimte voor vragen over personeel, testtijd, integratie en toetsing van het resultaat door de bedrijfsonderdelen. Het product kan nodig zijn, maar de aankoop is niet hetzelfde als het bereiken van het resultaat.

Een goed investeringsvoorstel toont:

1. De dienst en de blootstelling die het werk rechtvaardigen.
2. Het resultaat en hoe dat wordt geverifieerd.
3. Eenmalige en doorlopende kosten, inclusief tijd van personeel en ondersteuning door leveranciers.
4. Afhankelijkheid van andere projecten en schaarse vaardigheden.
5. De resterende blootstelling als het voorstel wordt uitgesteld of beperkt.
6. De persoon die zal bevestigen dat de verwachte verbetering is bereikt.

Neem opleiding en besluitvormingsoefeningen mee in de planning van mensen en middelen. Een plan kan mislukken omdat medewerkers niet weten hoe ze het moeten activeren, ook als de technologie werkt. Training kan op haar beurt een ontbrekende technische maatregel niet vervangen. Houd deze behoeften met elkaar verbonden, maar meet ze afzonderlijk.

Blijf verantwoordelijk wanneer een leverancier de dienst uitvoert

Uitbesteding verandert de manier waarop een dienst wordt geleverd, maar neemt de verantwoordelijkheid van de entiteit niet weg. Voor entiteiten die onder deze beleidseisen vallen, verlangt artikel 3 van Gedelegeerde Verordening 2024/1773 duidelijke afspraken over de aansturing van de betreffende overeenkomsten. Het leidinggevend orgaan moet ook ten minste jaarlijks het beleid voor ICT-diensten ter ondersteuning van kritieke of belangrijke functies beoordelen. Controleer de uitzonderingen in artikel 28, lid 2, DORA, waaronder die voor micro-ondernemingen. Deze frequentie betreft de beoordeling van een specifiek beleid; het is geen algemene regel voor de frequentie van alle bestuurstrainingen.

Vraag bij een materiële afhankelijkheid om een korte dienstgerichte uitleg: wat zouden klanten verliezen als de leverancier uitvalt? Welke andere diensten zijn afhankelijk van dezelfde infrastructuur of onderaannemer? Hoe krijgt uw organisatie informatie, behoudt zij regie en herstelt zij eigen data? Wat vraagt een exit in de praktijk?

Stel dat een leverancier een flinke korting biedt bij verlenging voor een langere periode. Het management heeft het contractuele recht om gegevens te exporteren, maar heeft de export nooit in een andere werkende omgeving geïmporteerd. Het bestuur hoeft de migratie niet te ontwerpen. Het moet wel vragen of beëindiging echt haalbaar is en of verlenging afhankelijk moet zijn van gegevensvalidatie, een inschatting van de benodigde overgangscapaciteit of vermindering van een ander concentratierisico.

Onderscheid leveranciersdocumenten van uw eigen conclusies. Certificering of een assurance-rapport kan due diligence ondersteunen, maar controleer scope, rapportageperiode, uitsluitingen en relevantie voor de dienst. Leg vast wie het document beoordeelde en wat onopgelost bleef.

De toezichtsprioriteiten van de ECB voor 2026–2028 noemen operationele weerbaarheid en ICT-capaciteiten als prioriteiten voor banken. Ze benadrukken dat het toezicht op kritieke aanbieders het eigen risicobeheer van banken voor externe leveranciers aanvult. Dit zijn bankentoezichtprioriteiten; ze betekenen niet dat alle financiële entiteiten op dezelfde manier onder toezicht staan.

Leg de bevoegdheden vast voordat een crisis uitbreekt

Bepaal vooraf hoe het bestuur belangrijke informatie ontvangt en wat het management direct mag doen. Wacht niet tot een incident om te ontdekken dat er onenigheid is over wie een dienst mag beperken, nooduitgaven mag goedkeuren of klanten mag informeren. Het operationele team heeft ook duidelijke procedures nodig voor meldingen aan de toezichthouder.

Vraag om beknopte updates met vier elementen: wat bekend is, wat onzeker blijft, welke actie gaande is en welk besluit nodig is. Weersta de druk om een herstelmoment te noemen wanneer het bewijs dat niet ondersteunt. Vraag in plaats daarvan om de volgende verificatiestap en wanneer het management terugkomt met beter onderbouwde informatie.

Een herstelbeslissing moet naast beschikbaarheid ook de integriteit van de dienstverlening behandelen. Een bereikbaar systeem kan nog steeds ontbrekende, dubbele of inconsistente records bevatten. Vraag wie het bedrijfsresultaat valideert, welke reconciliaties ontbreken en welke beperkingen klanten beschermen bij gedeeltelijk herstel.

Test het bestuursproces via een oefening. Simuleer het verlies van het normale overlegkanaal, een onbeschikbare bestuurder en tegenstrijdige leveranciersupdates. Observeer of bevoegde plaatsvervangers kunnen handelen en of er een beslissingsverslag wordt bijgehouden. Dit is een aanbevolen oefenontwerp; het vervangt niet de technische tests en andere afspraken die vereist zijn onder het toepasselijke kader.

Wijs elke belangrijke bevinding daarna aan één verantwoordelijke persoon toe en bepaal welk bewijs nodig is om de kwestie af te ronden. „Procedure bijgewerkt” kan een tekortkoming in documentatie oplossen. Het lost geen onvermogen op om een dienst te herstellen, tenzij ook het herstelvermogen is aangetoond.

Leid een vergadering die beslissingen en bruikbare notulen oplevert

Een beknopte agenda kan nuttiger zijn dan een lange technische presentatie. Het onderstaande voorbeeld is een voorgestelde terugkerende governancesessie; stel de frequentie in op basis van uw risico’s, geldende verplichtingen en commissiestructuur.

1. Beoordeel veranderingen sinds de vorige vergadering: risico’s voor diensten, belangrijke incidenten en afhankelijkheden.
2. Onderzoek het belangrijkste verschil tussen de verwachte en de aangetoonde mogelijkheden.
3. Neem besluiten over uitzonderingen, middelen of prioriteiten die buiten de gedelegeerde bevoegdheid vallen.
4. Vraag door over achterstallige acties en herhaalde termijnverlengingen.
5. Bevestig het volgende bewijs dat wordt gepresenteerd en eventueel benodigde verdere opleiding.

Notulen moeten belangrijke kritische vragen en bezwaren vastleggen zonder een woordelijk verslag te worden. Noteer de beoordeelde informatie, erkende onzekerheden, besproken alternatieven, het besluit en de voorwaarden. Benoem een verantwoordelijke en een datum voor herbeoordeling. Schrijf niet alleen dat het bestuur „kennisnam van de cyberupdate” als het feitelijk een risico met belangrijke gevolgen accepteerde.

Voorbeeld van een besluitverslag: het bestuur bekeek de resultaten van de hersteltest voor klantrapportages. De applicatie was hersteld, maar de inhoudelijke gegevensafstemming was niet binnen het geplande tijdvenster afgerond. Het management handhaaft de tijdelijke handmatige controle, toetst de capaciteit ervan en legt de resultaten van een nieuwe test van het hele proces voor. De operationeel directeur is verantwoordelijk; de volgende beoordelingsdatum staat in het actieregister.

Dit voorbeeld is opzettelijk feitelijk. Het labelt de organisatie niet als compliant en beweert niet dat het probleem is verdwenen. De onopgeloste vraag en de volgende stap blijven zichtbaar. Voor het kiezen van relevante informatie voor zo’n overleg, gebruik onze gids voor het DORA-dashboard voor bestuursrapportages.

Verbeter de governance-cyclus in de komende 90 dagen

Voer dit verbeterplan uit naast uw huidige verplichtingen; het geeft geen toestemming om een bestaande plicht uit te stellen. Begin met de tekortkoming die het meest directe risico voor de besluitvorming vormt.

Beoordeel de kwaliteit van afgeronde acties. Selecteer er drie en controleer of het bewijs laat zien dat de oorspronkelijke tekortkoming is verholpen. Als een actie alleen een document opleverde terwijl het risico bleef bestaan, bespreek de kwestie dan opnieuw. Controleer bij één geaccepteerde uitzondering of de vervaldatum, voorwaarden en aangewezen verantwoordelijke nog passend zijn.

Zorg er tot slot voor dat bestuurders het materiaal begrijpen waarover zij geacht worden kritische vragen te stellen. Onze gids voor DORA-opleidingsvereisten voor bestuur legt uit hoe u de opleiding afstemt op ieders verantwoordelijkheden. De cursus « DORA-cybersecuritytraining voor bestuurders en directieleden » biedt een besluitvormingsgericht programma van ongeveer drie uur begeleide studie verdeeld over acht modules. Voeg uw eigen governance-regelingen en beslissingsopdrachten toe; het afronden van de cursus is geen accreditatie of compliance-beslissing.