S01E04 - DORA in de praktijk: vijf pijlers, één bewijslast

De Digital Operational Resilience Act — Verordening EU 2022/2554 — is van kracht sinds 17 januari 2025 en geldt voor circa 22.000 financiële entiteiten in de EU: banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en hun kritieke ICT-leveranciers. Toch is slechts de helft volledig compliant. Boetes lopen op tot 10% van de jaarlijkse wereldwijde omzet, en nationale toezichthouders zijn begonnen met actieve handhaving. In deze aflevering nemen Michael en Nadine de vijf DORA-pijlers systematisch door. Pijler 1 verplicht een volledig ICT-risicobeheerraamwerk met bestuurlijke verantwoordelijkheid op directieniveau. Pijler 2 eist gestandaardiseerde classificatie en onverwijlde melding van ernstige ICT-incidenten aan bevoegde autoriteiten. Pijler 3 stelt periodieke veerkrachttesten verplicht — inclusief Threat-Led Penetration Testing voor significante instellingen. Pijler 4 maakt financiële instellingen aansprakelijk voor de ICT-risico's van hun leveranciers: uitbesteding is geen excuus meer. Pijler 5 verplicht het gestructureerd delen van informatie over cyberdreigingen tussen financiële entiteiten. Het centrale inzicht van deze aflevering: DORA vraagt geen éénmalige certificering, maar doorlopend aantoonbaar bewijs van operationele veerkracht. Precies dat levert Attesto — via tamper-evidente logging voor Pijlers 1 en 2, en via het Proof of Evolution-systeem voor Pijlers 3 en 4. De Nova/IVC cryptografische laag draait al live in productie.