Incidentrespons onder DORA: een scenario-oefening voor het bestuur

1. Toets besluiten in plaats van kennis van de regels uit het hoofd

Bij een ernstig technologie-incident is de moeilijke bestuursvraag zelden: “Moeten we dit serieus nemen?” Meestal gaat het om het stilleggen van een dienst, doorwerken met minder controles, een noodalternatief financieren of klanten informeren terwijl nog niet alle feiten bekend zijn. Een scenario-oefening maakt die afwegingen zichtbaar voordat een echt incident plaatsvindt.

De artikelen 17–19 van DORA gaan over incidentmanagement, classificatie en melding. Artikel 17 omvat escalatie naar de betrokken hogere leidinggevenden en informatie voor het bestuursorgaan over ernstige incidenten, de gevolgen, de reactie en aanvullende beheersmaatregelen. Daarmee wordt het bestuur niet de operationele incidentleider. De oefening moet toetsen of verantwoordelijkheden en escalatieroutes op elkaar aansluiten.

Stel drie concrete resultaten vast: een duidelijk besluit met een verantwoordelijke, een toegewezen meldtaak en een verslag van de feiten die bij de besluitvorming bekend waren. Alleen aanwezigheid is geen reden om de oefening als geslaagd te beoordelen. Ontdekken dat niemand tijdens een storing in het identiteitssysteem toegang heeft tot het meldportaal kan al een waardevol resultaat zijn.

De oefening gebruikt een fictief scenario. Ze vervangt geen technische hersteltests, volledig programma voor weerbaarheidstests of dreigingsgestuurde penetratietests. De 90 minuten zijn een voorgestelde opzet, geen wettelijk minimum.

2. Maak onderscheid tussen classificatie, urgentie en escalatie naar het bestuur

Een incident kan aandacht van de leiding vereisen voordat de wettelijke classificatie vaststaat. Omgekeerd kan een meldingsplichtig ernstig incident een snelle melding vereisen terwijl het herstel al goed verloopt. Laat geen van beide besluiten afhangen van de beschikbaarheid van de voorzitter om een persbericht goed te keuren.

De gedetailleerde classificatieregels staan in de Gedelegeerde Verordening (EU) 2024/1772. Artikel 8 combineert de gevolgen voor kritieke diensten met bepaalde materialiteitsvoorwaarden. Niet iedere technische storing is dus automatisch een ernstig incident. De regels behandelen ook terugkerende incidenten. Gebruik een goedgekeurd classificatieformulier met de werkelijke criteria en drempels, in plaats van tijdens het overleg een stoplichtbeoordeling te improviseren.

Wijs in de oefening iemand uit compliance of risicomanagement aan voor het classificatieadvies en de onderliggende feiten. De incidentleider bepaalt de operationele prioriteiten. Een bevoegde medewerker bereidt de melding voor en dient deze in. Uw werkelijke bevoegdheidsverdeling kan anders zijn: leg die vast voordat de eerste nieuwe ontwikkeling wordt ingebracht.

• Wat is bekend over getroffen diensten, klanten, transacties en data?
• Wat is een schatting, waarop is die gebaseerd en wanneer wordt deze herzien?
• Aan welke classificatiecriteria wordt voldaan, aan welke niet, en welke zijn nog onzeker?
• Wie mag beslissen en handelen als de gebruikelijke verantwoordelijke persoon niet beschikbaar is?

Noteer afzonderlijk wanneer de entiteit kennis krijgt van het incident en wanneer het als ernstig wordt geclassificeerd. Een latere briefing aan de directie laat de eerste termijn niet opnieuw beginnen. De ontdekking en de classificatie zijn afzonderlijke gebeurtenissen die nauwkeurig in de tijdlijn moeten staan.

3. Oefen het berekenen van meldtermijnen met een voorbeeld

Het volgende overzicht betreft de melding van ernstige ICT-gerelateerde incidenten volgens artikel 5 van de Gedelegeerde Verordening (EU) 2025/301. Gebruik bij een echt incident de wettekst en de meldprocedure van uw bevoegde autoriteit.

In het fictieve voorbeeld krijgt de entiteit dinsdag om 09:00 uur kennis van het incident en classificeert zij het om 10:00 uur als ernstig. De gebruikelijke uiterste termijn voor de eerste melding is dinsdag om 14:00 uur; de plicht om zo snel mogelijk te melden blijft gelden. Bij indiening op dinsdag om 11:30 uur eindigt de termijn van 72 uur voor het tussenrapport vrijdag om 11:30 uur. Een latere actualisering van dat rapport verandert het beginpunt voor de termijn van één maand voor het eindrapport. Eén maand betekent niet 30 dagen.

Termijnen worden niet automatisch opgeschort in het weekend. Waar artikel 5, lid 4, van toepassing is, mag indiening tot het middaguur van de volgende werkdag plaatsvinden als de termijn eindigt in het weekend of op een feestdag in de lidstaat van de meldende entiteit. Lid 5 sluit eerste meldingen en tussenrapporten van kredietinstellingen, centrale tegenpartijen, beheerders van handelsplatformen en andere financiële entiteiten die onder NIS2 essentieel of belangrijk zijn, van deze regeling uit. Volgens lid 6 kunnen autoriteiten ook andere significante of systeemrelevante entiteiten uitsluiten nadat zij hen daarvan op de hoogte hebben gesteld. Dat besluit geldt voor incidenten die daarna worden gemeld. Controleer de toepasselijkheid voordat u van de regeling gebruikmaakt.

Als het niet lukt om een deadline te halen, informeer dan zonder onnodige vertraging, en in elk geval uiterlijk op de betreffende deadline, de bevoegde autoriteit met een uitleg. Dit is geen automatische verlenging.

4. Bereid de ruimte en de spelregels voor

Nodig de voorzitter of een bevoegde leidinggevende, een dienstverantwoordelijke, de incidentleider, vertegenwoordigers van risico of compliance, juridische zaken en communicatie, en een notulist uit. Betrek leveranciersbeheer als de dienst afhankelijk is van een extern platform. In een kleine organisatie kan één persoon meerdere rollen vervullen, maar leg de verantwoordelijkheden duidelijk vast.

Stuur een kort voorbereidingspakket: de betreffende bedrijfsdienst, escalatiekaart, hersteldoelstellingen, meldroute, actuele contactlijst en een leeg beslissingslogboek. Vraag deelnemers om de echte procedures van de organisatie te gebruiken. De facilitator beheert fictieve feiten en de klok van de oefening. De notulist registreert besluiten, niet het volledige gesprek.

Houd oefentijd gescheiden van scenariotijd. Een discussie van vijf minuten kan een uur in het fictieve incident voorstellen, maar de facilitator moet de tijdsprong aankondigen. Voorzie elk bericht en concept van het label “OEFENING”. Stuur géén oefenmeldingen naar een toezichthouder, klant of leverancier, tenzij deelname vooraf is geregeld. Gebruik een veilige, nagebootste indieningsroute.

De fictieve entiteit biedt klanten een betaaldienst via een extern verwerkingsplatform. Dinsdag om 09:00 uur hoort het operationele team dat betalingen mislukken. De oorzaak is onduidelijk. Voor deze oefening is de ondersteunde functie als kritiek of belangrijk beoordeeld. Deelnemers moeten nog steeds de criteria voor classificatie als ernstig incident toepassen; de functieclassificatie bepaalt die uitkomst niet automatisch.

5. Volg dit programma van 90 minuten

Het programma legt de nadruk op besluiten, niet op presentaties. De begeleider moet langdurige technische speculatie onderbreken en om een besluit, benodigde informatie of een actie met een verantwoordelijke vragen. Los niet alle onzekerheden voor deelnemers op: bepalen welk bewijs nodig is, hoort bij de oefening.

Als een beslissing wordt uitgesteld, moet de verslaglegger vastleggen wie met welk bewijs en voor wanneer terugkomt. “We zouden juridisch betrekken” is geen afgeronde actie als niemand het juridisch contact, de te beantwoorden vraag of de beschikbare tijd benoemt. Dezelfde norm geldt voor “bel de leverancier” en “activeer het herstelplan”.

6. Breng drie ontwikkelingen in die echte afwegingen vereisen

Eerste ontwikkeling: de dienst valt uit, maar de oorzaak is onzeker

Op scenario-tijdstip 09:15 nemen mislukte betalingen toe. De leverancier erkent een platformprobleem maar geeft geen schatting van herstel. Sommige klanten proberen het opnieuw, wat tot reconciliatieproblemen kan leiden. Het operationele team kan de verwerking tijdelijk beperken, maar hierdoor kan de dienstverlening voor klanten die nog niet zijn getroffen worden onderbroken.

Vraag: welke schade voor klanten wordt beperkt en welke nieuwe schade kan de beperking veroorzaken? Wie mag de dienst aanpassen? Welke minimale feiten zijn nu nodig? Hoe onderscheidt het team een vertraagde transactie van een transactie die opnieuw moet worden aangeboden? Het resultaat moet een afgebakend operationeel besluit zijn, met een verantwoordelijke en een beoordelingsmoment, geen gok over de technische oorzaak.

Tweede ontwikkeling: classificatie bevestigd, vaste melder niet beschikbaar

Om 10:00 uur in het scenario geeft de begeleider een beoordeling waaruit blijkt dat de voorwaarde van getroffen kritieke diensten en de toepasselijke materialiteitsdrempels zijn vervuld. Het bevoegde team classificeert het incident om 10:00 uur als ernstig. De vaste melder is niet beschikbaar. De plaatsvervanger heeft het portaal nooit gebruikt en weet niet of de toegang werkt.

Laat deelnemers de meldroute aanwijzen en een gesimuleerde eerste melding invullen met de beschikbare informatie. Noteer wat onbekend is en wie dat gaat uitzoeken. Wanneer verstrijkt de eerste termijn? Wie dient in? Wie controleert de ontvangst? Kan de organisatie handelen zonder op de volgende bestuursvergadering te wachten? Gebruik de Uitvoeringsverordening (EU) 2025/302 voor de rapportagesjablonen en -procedures; een logboek van oefenbeslissingen vervangt het wettelijke formulier niet.

Derde ontwikkeling: de leverancier meldt herstel, maar controles zijn nog onvolledig

Op scenario-tijdstip 11:15 meldt de leverancier dat verwerking is hersteld. Interne reconciliatie heeft nog niet bevestigd dat dubbele pogingen correct zijn afgehandeld. Een grote klant vraagt om een publieke bevestiging dat er geen gegevens zijn aangetast. De diensteneigenaar stelt voor direct te heropenen; de incidentleider wil aanvullende validatie.

Vraag welk bewijs hervatting rechtvaardigt en wie resterend operationeel risico mag accepteren. Kan de dienst in stappen hervatten? Wat kan nu nauwkeurig worden gecommuniceerd? Welke actualisering heeft de bevoegde autoriteit nodig? Stel voorwaarden voor terugkeer naar normaal vast, wijs iemand aan voor verdere controles en plan een concreet volgend overleg. Beloon niet de snelste hervatting als deelnemers niet uitleggen hoe klantgegevens worden gecontroleerd.

7. Houd een beslislogboek bij dat de redenatie weergeeft

Een goed besluitenlogboek maakt inzichtelijk waarom met onvolledige informatie toch een verdedigbaar besluit is genomen. Het onderscheidt besluiten van aannames en vermeldt wie ze mag wijzigen. Het fictieve voorbeeld laat een registratiemethode zien, geen aanbevolen reactie op ieder betalingsincident.

Leg naast het besluitenlogboek vast wanneer de entiteit van het incident hoorde, het classificeerde en meldingen indiende. Gebruik steeds dezelfde tijdzone. Bewaar de bronnen van belangrijke feiten en eerdere schattingen als die wijzigen. Een gecorrigeerd aantal getroffen klanten mag niet zonder spoor het aantal vervangen waarop het oorspronkelijke besluit berustte.

8. Zet bevindingen om in een actielijst die op bewijsmateriaal is gebaseerd

Begin de nabespreking met observaties: welk besluit kwam te laat, welke informatie was niet beschikbaar en welk proces kon niet worden aangetoond? Vermijd algemene conclusies zoals “de communicatie was slecht” zonder voorbeeld. Vraag welke besluiten anders zouden zijn geweest als het incident buiten kantooruren begon of de gebruikelijke samenwerkingstools uitvielen.

Bewaar de scenarioversie, deelnemers en rollen, belangrijke besluiten, het classificatieformulier, oefenmeldingen, geconstateerde tekorten en vervolgafspraken. Bescherm deze stukken passend bij hun gevoeligheid. Het doel is dat de organisatie beter leert handelen, niet dat echte klantgegevens of vertrouwelijke leveranciersinformatie onnodig worden verspreid.

Deze termijnen zijn voorbeelden van managementkeuzes, geen wettelijke deadlines. Wijs iemand aan om de afronding te beoordelen en blijf onopgeloste restrisico’s vastleggen. Neem belangrijke bevindingen op in het dashboard voor bestuursrapportage. Brengt de oefening een externe afhankelijkheid zonder werkbaar alternatief aan het licht, gebruik dan de gids voor leveranciersrisico om de bevinding te verbinden met contracten, concentratie en exitplanning.

9. Verbind de opleiding van bestuurders met de volgende hertest

De meest zinvolle vervolgstap is een kleine oefening waarmee een gecorrigeerde zwakte wordt aangetoond. Als de eerste sessie een probleem met rapportagetoegang blootlegde, laat dan de route van de plaatsvervanger zien. Als er onzekerheid was over het heropenen van een dienst, test dan de goedkeuringsvoorwaarden opnieuw. Herhaling van dezelfde presentatie met dezelfde openstaande punten levert weinig nieuwe zekerheid op.

Gebruik de gids voor DORA-opleidingsvereisten voor het bestuur om de oefening te verbinden met de voortdurende bijscholing van het bestuursorgaan. De opleiding van BlueTeam Academy «DORA-cybersecuritytraining voor bestuurders en directieleden» introduceert bestuurlijke principes voor leidinggevenden van financiële entiteiten die onder DORA vallen. Een afgeronde cursus of presentielijst bewijst niet dat de organisatie aan alle verplichtingen voldoet. Verbind die basis met de context van uw diensten, geobserveerde besluiten en geverifieerde verbeteringen.