Vijf belangrijke overwegingen bij de Digital Operational Resilience Act (DORA) (Omkar Nisal)

Op 24 september 2020 publiceerde de Europese Commissie het eerste conceptvoorstel voor een Digital Operational Resilience Act (DORA) als onderdeel van het Digital Finance Package (DFP). Het doel is om financiële instellingen door de complexiteit van crypto te loodsen
activa, blockchain-technologie en digitale operationele veerkracht, evenals advies over een vernieuwde strategie voor retailbetalingen. Ondanks de voordelen die de DORA zal opleveren, zal het voor veel bedrijven een uitdaging zijn om door de vereiste veranderingen te komen.
Hier zijn vijf belangrijke punten waarmee u rekening moet houden bij het garanderen van naleving van de wet.

 1.       Wat is de DORA en waarom is deze belangrijk?

 De nieuwe wet zal grote Europese financiële spelers de nodige waarborgen bieden om cyberaanvallen en andere ICT-gerelateerde of IT-gebaseerde risico's te beperken.

 De DORA zal binnenkort een bindende wet vormen die betrekking heeft op elk van de EU-lidstaten en op de financiële dienstverleners die daarin actief zijn. Dus waarom is dit van belang voor Groot-Brittannië?

 Hoewel Groot-Brittannië geen lid meer is van de EU, blijft het een van de fundamentele Europese financiële centra. Britse financiële dienstverleners die actief zijn op de Europese markt – particulier of publiek – en binnen de EU opereren, zullen zich binnenkort aan deze regels moeten houden
regelgeving – waardoor de DORA een essentieel onderdeel wordt van elke Britse zakelijke praktijk.

 2.       Het wetgevende gewicht van de DORA

 Het serieuze wetgevende gewicht dat deze nieuwe Europese wet met zich meebrengt, is een andere belangrijke reden waarom Britse financiële dienstverleners moeten gaan nadenken over compliance. De financiële dienstverleners van elk Europees land zullen de rol van naleving op zich nemen
toezicht houden en indien nodig de regelgeving handhaven. Er zullen hoge boetes worden opgelegd aan instellingen die zich niet aan de nieuwe regelgeving houden, wat zal leiden tot winstderving en potentiële reputatieschade.

 Dit betekent dat de Lead Overseer aanzienlijke boetes kan opleggen bij niet-naleving. Deze aanzienlijke boetes zullen de vorm aannemen van een dwangsom van 1% van de gemiddelde dagelijkse mondiale omzet van de organisatie in de voorgaande bedrijfsactiviteit.
jaar. Dit wordt dagelijks door de Lead Overseer toegepast totdat naleving wordt bereikt, voor een periode van maximaal zes maanden.

 3.       Begrijp uw staat van kwetsbaarheid

 Als het gaat om cyberrisico's en veerkracht, is het hebben van een 'cyberverzekering' alleen simpelweg niet voldoende; constante informatie over de risicosituatie is ook van cruciaal belang. De alomtegenwoordigheid van technologie in de hedendaagse bedrijfsactiviteiten, en de connectiviteit ervan, strekt zich uit over de hele standaard
fysieke technologische middelen die deel uitmaken van de dagelijkse activiteiten: van ICT's, geldautomaten, laptops, camera's in vergaderruimtes tot alle virtuele domeinen van de cloud, on-premise, AI en kwantuminnovaties.

 De wet helpt belanghebbenden en besluitvormers een dieper inzicht te verwerven in de interne staat van de risico's en kwetsbaarheid waar hun bedrijven onder lijden. In zijn meest recente

rapport over veerkrachtbevestigde de Britse regering dat het gat in de verzekeringsbescherming groot blijft wat cyber betreft: '90% van alle cyberverliezen blijft onverzekerd'.

 De DORA zal Britse financiële instellingen helpen de bredere uitdaging te overwinnen om belanghebbenden en verantwoordelijke besluitvormers het juiste inzicht te bieden in de kritieke activa en activapositie, die de betrouwbaarheid en doeltreffendheid van
hun diensten.

 4.       Wat valt onder de reikwijdte van de wet?

 Wanneer de wet klaar is, zal deze van toepassing zijn op een breed scala aan financiële entiteiten, waaronder kredietinstellingen, instellingen voor elektronisch geld, beleggingsondernemingen, verzekeringsmaatschappijen en herverzekeringsondernemingen. Maar het zijn niet alleen financiële dienstverleners
die worden beïnvloed. Onder de DORA zullen 'kritieke ICT-derde partijen' (CTPP's), inclusief cloudserviceproviders (CSP's), binnen de regelgeving vallen van EU-brede normen voor het testen van digitale operationele veerkracht.

 Een ander nieuwigheidselement is de standaardisering van richtlijnen voor ICT-risicobeheer, de classificatie van incidenten en de rapportage binnen de financiële dienstverleningssectoren. Het harmoniseren van deze cruciale activa opent de deur voor financiële entiteiten om zich te vestigen
binnen de veilige grenzen van een verenigd EU-centrum tegen cyberdreigingen.

 Alle Britse entiteiten die actief zijn op de Europese financiële markt zullen de wet moeten naleven als een fundamenteel voorrecht om zichtbaarheid binnen de markt te verzekeren en als een middel tot legitimiteit om daarbinnen partnerschappen aan te gaan.

 5.       Gespecialiseerde tools die u kunnen helpen bij het opstellen van een DORA-plan

 Sommige organisaties gebruiken nog steeds handmatige processen en spreadsheets voor het vastleggen, beheren en rapporteren van bedrijfscompliance, risicobeheer en veranderingen in de regelgeving binnen het hele bedrijf. Deze statische spreadsheets vallen snel uit elkaar als het gaat om beheer en tracking
alle complexe governance-, risico- en compliance-inspanningen binnen een organisatie.

 Instellingen moeten ervoor zorgen dat de DORA strikt wordt nageleefd en hebben daarom mogelijk adequate hulp nodig van gespecialiseerde IT-tools die ondersteuning kunnen bieden bij het vinden, documenteren, beheren en classificeren van activa, terwijl de risiconiveaus worden geëvalueerd van activa die binnen de DORA vallen.
reikwijdte.

 Gespecialiseerde beveiligingsplatforms kunnen de meest kosteneffectieve oplossing zijn om deze problemen aan te pakken, terwijl ze tegelijkertijd voldoen aan het zich ontwikkelende financiële landschap. Deze gespecialiseerde platforms helpen bij het identificeren van nieuwe soorten eindpunten (zoals camera's in vergaderruimtes)
en kan worden gekoppeld aan bestaande tools, waar deze bestaan, om een ​​accuraat activaregister te bieden. Het belangrijkste doel van deze platforms is om eventuele blinde vlekken op het gebied van operationele veerkracht naadloos te verminderen en werknemers te beschermen bij ongunstige operationele gebeurtenissen
door te anticiperen op, te voorkomen en zich aan te passen aan dergelijke gebeurtenissen.

 Concluderend

 Kortom, financiële instellingen moeten ervoor zorgen dat zij aan de DORA voldoen, anders riskeren zij niet onbelangrijke dwangsommen. Om compliant te worden, moeten organisaties alle assets identificeren die momenteel aanwezig zijn
een risico voor belangrijke processen. Vervolgens moeten organisaties inzicht krijgen in het risiconiveau dat elke asset met zich meebrengt, om ervoor te zorgen dat er rekening wordt gehouden met mitigaties. Er zijn specialistische tools op de markt die organisaties kunnen helpen bij het vinden, documenteren, beheren en classificeren
hun bezittingen. Praat met een IT-specialist om te zien hoe zij uw organisatie hiermee kunnen helpen.