Governance en organisatie (art. 5–6)

Het leidinggevend orgaan moet de ICT-risicostrategie goedkeuren, een passend ICT-budget toewijzen en ervoor zorgen dat de ICT-functie over voldoende gekwalificeerd personeel beschikt. Een interne controlefunctie (tweede lijn) en interne auditfunctie (derde lijn) moeten ICT-risico's onafhankelijk beoordelen. De CISO (of gelijkwaardige functie) rapporteert minstens jaarlijks rechtstreeks aan het leidinggevend orgaan.

Beheer van ICT-activa (art. 8)

Een volledige, actuele inventaris van alle hardware- en software-ICT-activa is verplicht. Activa moeten worden geclassificeerd naar kriticiteit voor bedrijfsfuncties. De RTS betreffende ICT-risicobeheerinstrumenten (Gedelegeerde Verordening (EU) 2024/1774) specificeert de minimale velden voor het activaregister en de reviewfrequentie (minstens jaarlijks, of na elke significante wijziging).

Bescherming en preventie (art. 9)

Minimale controles omvatten: netwerksegmentatie, multi-factor authenticatie voor bevoorrechte accounts, versleuteling van gegevens in rust en tijdens transport (AES-256 of gelijkwaardig), patchmanagement met vastgestelde SLA's per kriticiteitsniveau, en een informatiebeveiligingsbeleid dat formeel is goedgekeurd door het leidinggevend orgaan.

Detectie (art. 10)

Financiële instellingen moeten mechanismen implementeren om afwijkende ICT-activiteiten tijdig te detecteren — inclusief activiteiten bij toegangspunten van derde partijen. Dit vereist doorgaans een SIEM-systeem (Security Information and Event Management) met vastgestelde alarmdrempels en een escalatieproces met wachtdienst. De RTS vereist een gedocumenteerde baseline van normaal gedrag voor kritieke systemen.

Respons, herstel en leren (art. 11–13)

Een gedocumenteerd bedrijfscontinuïteitsplan (BCP) en ICT-noodherstelplan (DRP) met vastgestelde RPO- en RTO-doelen zijn verplicht. Plannen moeten jaarlijks worden getest (of na een significante wijziging). Post-incidentevaluaties moeten worden uitgevoerd voor alle grote incidenten en binnen 3 maanden worden gedeeld met het leidinggevend orgaan.

Activaregister niet formeel goedgekeurd door leidinggevend orgaan

Veel instellingen houden een IT-activalijst bij in een spreadsheet, maar missen gedocumenteerde goedkeuring door het leidinggevend orgaan en een vastgestelde reviewcyclus.

BCP/DRP niet getest in de afgelopen 12 maanden

DORA art. 11 vereist jaarlijkse tests van respons- en herstelcapaciteiten. Tabletop-oefeningen tellen mee, maar moeten worden gedocumenteerd met resultaten en corrigerende maatregelen.

SaaS-leveranciers ontbreken in het ICT-derdenregister

Cloudtools die door bedrijfsonderdelen worden gebruikt (CRM, HR, communicatieplatformen) worden vaak over het hoofd gezien. Onder DORA moet elke ICT-dienst van een derde partij die een bedrijfsfunctie ondersteunt in het register staan.

Geen gedocumenteerd cryptografiebeleid

De RTS ICT-risicobeheerinstrumenten vereist een formeel cryptografie- en sleutelbeheerbeleid. Veel instellingen vertrouwen op leveranciersstandaarden zonder de toegepaste normen te documenteren.

CISO-rapportage aan bestuur niet gedocumenteerd

DORA art. 5 lid 4 vereist dat de ICT-risicofunctie minstens één keer per jaar rapporteert aan het leidinggevend orgaan. Dit rapport — met agenda, notulen en actiepunten — is een essentieel bewijsstuk bij een DNB- of AFM-inspectie.