DORA Incidentrespons: Bestuurlijke Tabletop-oefening

1. Test beslissingen, niet het vermogen om de regelgeving te reciteren

De lastige boardbeslissing bij een ernstig technologie-incident is zelden “Moeten we dit serieus nemen?” Vaker gaat het om het stoppen van een bedrijfsdienst, werken met verminderde controles, een noodalternatief financieren, of een klantverklaring doen terwijl de feiten onvolledig zijn. Een tabletop-oefening legt deze spanningen bloot vóór een echt incident.

DORA Artikelen 17–19 behandelt incidentmanagement, -classificatie en rapportage. Artikel 17 omvat escalatie naar relevante hogere leidinggevenden en informatie voor het bestuursorgaan over grote incidenten, de impact ervan, reactie en aanvullende beheersmaatregelen. Dit maakt het bestuur niet tot operationeel leider bij incidenten. De oefening moet testen of verantwoordelijkheden en escalatie samenlopen.

Stel drie praktische resultaten vast: een duidelijke beslissing met een eigenaar, een rapportagetaken met een verantwoordelijke en een verslag met de beschikbare feiten op dat moment. Ken geen voldoende toe enkel op basis van aanwezigheid. Het nuttige resultaat kan zijn dat blijkt dat niemand toegang heeft tot het rapportageportaal bij een storing van het identiteitssysteem.

De oefening hieronder is fictief trainingsmateriaal. Het vervangt geen technisch hersteltesten, volledig weerbaarheidstest­programma of dreigingsgerichte penetratietest. De duur van 90 minuten is een gesuggereerd format, geen wettelijke minimumduur.

2. Maak onderscheid tussen classificatie, urgentie en escalatie naar het bestuur

Een incident kan direct aandacht van het bestuur vereisen voordat de wettelijke classificatie is vastgesteld. Omgekeerd kan een meldingsplichtig groot incident snelle melding vereisen terwijl het herstel al slaagt. Maak beide beslissingen niet afhankelijk van of de voorzitter beschikbaar is om een persbericht goed te keuren.

De gedetailleerde classificatieregels staan in Gedelegeerde Verordening (EU) 2024/1772. Artikel 8 combineert getroffen kritieke diensten met gespecificeerde materialiteitsvoorwaarden; het is geen regel dat elke technische storing automatisch een groot incident is. De regels behandelen ook herhaalde incidenten. Gebruik een goedgekeurd classificatieformulier dat de daadwerkelijke criteria en drempels toepast in plaats van ter plekke een stoplichtbeoordeling te improviseren tijdens de vergadering.

Geef bij de oefening een compliance- of risicoparticipant verantwoordelijkheid voor de classificatieaanbeveling en de onderbouwing daarvan. Wijs de incidentleider de operationele prioriteiten toe. Laat een bevoegde rapporterend medewerker de relevante melding voorbereiden en indienen. Jouw werkelijke toewijzing van verantwoordelijkheden kan verschillen; leg deze vast vóór de eerste inject.

• Wat is bekend over getroffen diensten, klanten, transacties en data?
• Wat is een schatting, waarop is die gebaseerd en wanneer wordt deze herzien?
• Aan welke classificatiecriteria wordt voldaan, aan welke niet, en welke zijn nog onzeker?
• Wie mag beslissen en handelen als de gebruikelijke verantwoordelijke persoon niet beschikbaar is?

Noteer het feitelijke tijdstip van bewustwording en het moment van classificatie apart. Een latere directiebriefing zet de bewustwordingsklok niet opnieuw aan. Evenzo zijn het identificeren van een incident en concluderen dat het een groot incident is verschillende gebeurtenissen die een nauwkeurige chronologie vereisen.

3. Oefen met de rapportageklokken aan de hand van een uitgewerkt voorbeeld

Het volgende overzicht betreft de rapportering van majeure ICT-gerelateerde incidenten onder Artikel 5 van Gedelegeerde Verordening (EU) 2025/301. Gebruik de daadwerkelijke juridische tekst en het meldproces van je bevoegde autoriteit bij een incident.

In ons fictieve voorbeeld is er bewustwording op dinsdag om 09:00 en een belangrijke classificatie om 10:00. De gewone initiële meldingsdeadline is 14:00 uur dinsdag, met de plicht zo vroeg mogelijk te melden. Als inzending om 11:30 dinsdag plaatsvindt, loopt de 72-uurs deadline voor het intermediair rapport tot 11:30 vrijdag. Een volgende tussenupdate verplaatst het referentiepunt voor de deadline voor het eindrapport van een maand. Eén maand betekent niet automatisch 30 dagen.

Er is geen algemene weekenduitstel. Waar van toepassing, staat Artikel 5(4) indiening toe tot 12.00 uur op de eerstvolgende werkdag wanneer de deadline valt op een weekend of feestdag in de lidstaat van de rapporterende entiteit. Lid 5 sluit initiële en tussentijdse meldingen uit door kredietinstellingen, centrale tegenpartijen, handelsplatformbeheerders en andere financiële entiteiten die als essentieel of belangrijk onder NIS2 zijn aangemerkt. Onder lid 6 kunnen autoriteiten ook andere significante of systeemrelevante entiteiten uitsluiten na kennisgeving; die beslissing geldt voor incidenten die na kennisgeving worden gemeld. Bevestig de van toepassing zijnde bepalingen voordat op de uitzonderingsmogelijkheid wordt vertrouwd.

Als het niet lukt om een deadline te halen, informeer dan zonder onnodige vertraging, en in elk geval uiterlijk op de betreffende deadline, de bevoegde autoriteit met een uitleg. Dit is geen automatische verlenging.

4. Bereid de ruimte en de spelregels voor

Nodig de voorzitter of de gedelegeerde besluitvormer, een eigenaar van een bedrijfsdienst, de incidentleider, risicomanagement of compliance, juridisch, communicatie en een notulist uit. Voeg een vertegenwoordiger van leveranciersbeheer toe als de dienst afhankelijk is van een extern platform. Eén persoon kan meerdere rollen vervullen in een kleinere organisatie, maar maak de verantwoordelijkheden expliciet.

Stuur een kort voorbereidingspakket: de betreffende bedrijfsdienst, escalatiekaart, hersteldoelstellingen, meldroute, actuele contactlijst en een leeg beslissingslogboek. Vraag deelnemers om de echte procedures van de organisatie te gebruiken. De facilitator beheert fictieve feiten en de klok van de oefening. De notulist registreert besluiten, niet het volledige gesprek.

Houd oefentijd gescheiden van scenariotijd. Een discussie van vijf minuten kan een uur in het fictieve incident voorstellen, maar de facilitator moet de tijdsprong aankondigen. Voorzie elk bericht en concept van het label “OEFENING”. Stuur géén oefenmeldingen naar een toezichthouder, klant of leverancier, tenzij deelname vooraf is geregeld. Gebruik een veilige, nagebootste indieningsroute.

Onze fictieve entiteit levert een klantbetalingsdienst via een extern verwerkingsplatform. Dinsdag om 09:00 uur wordt de operatieafdeling zich bewust van mislukte betalingsverwerking. De oorzaak is onduidelijk. Voor deze oefening heeft de organisatie de ondersteunde functie als kritiek of belangrijk geclassificeerd. De deelnemers moeten desondanks zelf de criteria voor grote incidentclassificatie toepassen; alleen het functielabel bepaalt dat niet.

5. Volg deze 90-minuten agenda

Deze agenda geeft prioriteit aan besluitvorming boven presentatie van slides. De facilitator moet langdurige technische speculatie stoppen en om een besluit, informatiebehoefte of een benoemde follow-up vragen. Los niet elke onzekerheid voor deelnemers op: bepalen welk bewijs nodig is, hoort bij de oefening.

Als een beslissing wordt uitgesteld, moet de verslaglegger vastleggen wie met welk bewijs en voor wanneer terugkomt. “We zouden juridisch betrekken” is geen afgeronde actie als niemand het juridisch contact, de te beantwoorden vraag of de beschikbare tijd benoemt. Dezelfde norm geldt voor “bel de leverancier” en “activeer het herstelplan”.

6. Gebruik drie scenario's die een echte afweging forceren

Injectie één: de dienst faalt, maar de oorzaak is onzeker

Op scenario-tijdstip 09:15 nemen mislukte betalingen toe. De leverancier erkent een platformprobleem maar geeft geen schatting van herstel. Sommige klanten proberen het opnieuw, wat tot reconciliatieproblemen kan leiden. Het operationele team kan de verwerking tijdelijk beperken, maar hierdoor kan de dienstverlening voor klanten die nog niet zijn getroffen worden onderbroken.

Vraag: welke klantenschade wordt beperkt en welke nieuwe schade kan de beperking veroorzaken? Wie mag de dienst aanpassen? Welke minimale feiten zijn nu nodig? Hoe maakt het team onderscheid tussen een vertraagde en een te herhalen transactie? De verwachte output is een begrensd operationeel besluit, een benoemde eigenaar en een evaluatiemoment, geen gok naar de technische oorzaak.

Injectie twee: classificatie is bevestigd en de vaste melder is niet beschikbaar

Op scenario-tijdstip 10:00 verschaft de facilitator een beoordeling die bevestigt dat aan de voorwaarden voor kritieke dienstverstoring en de relevante materialiteitsdrempels is voldaan. Voor de oefening classificeert het bevoegde team het incident om 10:00 als groot. De reguliere rapportagefunctionaris is niet beschikbaar. De plaatsvervanger heeft het indieningsportaal nooit gebruikt en weet niet of diens toegang werkt.

Vraag deelnemers het rapportagepad te identificeren en een mock eerste melding in te vullen met de beschikbare informatie. Noteer onbekenden eerlijk en wijs opvolging toe. Wat is de eerste deadline? Wie dient in? Wie bevestigt ontvangst? Kan de organisatie verder zonder te wachten op de volgende reguliere bestuursvergadering? Gebruik Uitvoeringsverordening (EU) 2025/302 voor de rapportagesjablonen en -procedures; een logboek van oefenbeslissingen vervangt het wettelijke formulier niet.

Injectie drie: de leverancier zegt dat de dienst werkt, maar het vertrouwen is nog niet volledig

Op scenario-tijdstip 11:15 meldt de leverancier dat verwerking is hersteld. Interne reconciliatie heeft nog niet bevestigd dat dubbele pogingen correct zijn afgehandeld. Een grote klant vraagt om een publieke bevestiging dat er geen gegevens zijn aangetast. De diensteneigenaar stelt voor direct te heropenen; de incidentleider wil aanvullende validatie.

Vraag welk bewijs heropening ondersteunt en wie eventueel resterend operationeel risico mag accepteren. Kan de dienst gefaseerd heropenen? Wat kan communicatie nu realistisch melden? Wat is er nodig voor de bevoegde autoriteit? Stel voorwaarden voor terugkeer naar normaal, een nieuwe validatie-eigenaar en een volgend specifiek moment van rapportage. Beloon niet de snelste heropening als deelnemers niet kunnen uitleggen hoe klantinformatie wordt gecontroleerd.

7. Houd een beslislogboek bij dat de redenatie weergeeft

Een goed logbestand maakt het mogelijk te reconstrueren waarom met onvolledige informatie een redelijke beslissing is genomen. Het log moet een beslissing onderscheiden van een aanname en aangeven wie deze kan wijzigen. Het volgende voorbeeld is fictief en illustreert een registratiemethode, niet een aanbevolen reactie bij ieder betalingsincident.

Houd bewustwordings-, classificatie- en indieningstijdstippen in de incidentchronologie bij naast het logbestand. Gebruik een consistente tijdzone. Bewaar de bron van belangrijke feiten en behoud eerdere schattingen als deze worden aangepast. Een gecorrigeerd klantimpactgetal mag niet stilzwijgend het cijfer vervangen waarop het oorspronkelijke besluit gebaseerd was.

8. Zet observaties om in een op bewijs gebaseerde actietracker

Begin het nabespreken met observaties: welke beslissing werd uitgesteld, welke feiten waren niet te verkrijgen en welk proces was niet te demonstreren? Vermijd algemene conclusies als "de communicatie was slecht" zonder voorbeeld. Vraag deelnemers welke beslissingen zouden zijn veranderd als het incident buiten kantooruren begon of hun gebruikelijke samenwerkingstools werden beïnvloed.

Bewaar de scenario­versie, aanwezigheid en rollen, hoofd­besluiten, klassificatieformulier, voorbeeld­meldingen, geobserveerde knelpunten en vervolg­besluiten. Bescherm de set volgens de gevoeligheid. Het doel is nuttig organisatie­leren, niet onnodige verspreiding van echte klantinformatie of leveranciersgegevens.

Deze doelen zijn illustratieve managementkeuzes, geen wettelijk vastgestelde deadlines. Wijs een beoordelaar toe voor afsluiting en houd onopgelost restrisico vast. Koppel materiële bevindingen aan de dashboard bestuursrapportage. Als de oefening een externe afhankelijkheid blootlegt zonder geloofwaardig alternatief, gebruik het gids derde partijen risico om de bevinding te verbinden met contracten, concentratie en exitplanning.

9. Koppel executive learning aan de volgende hertoets

De meest zinvolle vervolgstap is een kleine oefening waarmee een gecorrigeerde zwakte wordt aangetoond. Als de eerste sessie een probleem met rapportagetoegang blootlegde, laat dan de route van de plaatsvervanger zien. Als er onzekerheid was over het heropenen van een dienst, test dan de goedkeuringsvoorwaarden opnieuw. Herhaling van dezelfde presentatie met dezelfde openstaande punten levert weinig nieuwe zekerheid op.

Gebruik de Gids voor DORA-trainingsvereisten voor de raad van bestuur om de oefening te verbinden met doorlopend management-lichaam leren. BlueTeam Academy’s DORA Bestuurs- & Executive Training introduceert de governance-concepten voor leiderschapsteams bij financiële entiteiten binnen de reikwijdte van DORA. Het afronden van de cursus of een aanwezigheidsregistratie vormt geen bewijs van compliance van de organisatie. Combineer die basis met je eigen dienstcontext, waargenomen beslissingen en geverifieerde verbeteringen.