DORA: van papieren compliance naar digitale weerbaarheid
De financiële sector ligt onder een vergrootglas. Cyberaanvallen nemen toe en toezichthouders kijken scherper dan ooit mee. Met DORA verandert er iets fundamenteels. Het gaat niet langer om beleid op papier, maar om aantoonbare digitale weerbaarheid in de praktijk. Sinds januari 2025 handhaven AFM en DNB actief. Organisaties moeten niet alleen compliant zijn, maar dit continu kunnen bewijzen. En precies daar wringt het.
Van beleid naar bewijs
DORA dwingt organisaties namelijk om hun volledige digitale keten — zowel intern als richting leveranciers — strikt onder controle te hebben. De kernvraag die elke bestuurder zichzelf moet stellen is: blijft mijn organisatie functioneren bij een incident, en kan ik dat op verzoek direct aantonen? Met losse documenten en versnipperde Excel-overzichten ga je die strijd niet winnen; deze nieuwe realiteit vraagt om een stevig fundament van structuur, echt overzicht en absolute betrouwbaarheid.
De realiteit: versnippering en risico
De praktijk is echter vaak weerbarstig, omdat cruciale informatie werkelijk overal verspreid staat. Contracten liggen bij Legal, incidenten worden gelogd bij IT, rapportages staan bij Risk en de rest van de documentatie zwerft rond in e-mailboxen of SharePoint-mappen. Dat werkt misschien nu, maar op het moment dat je de toezichthouder verantwoording schuldig bent, zorgt deze versnippering voor ruis, vertraging en onnodige onzekerheid.
Waar Doccle wél helpt (en waar niet)
DORA vraagt om samenhang, controle en bovenal aantoonbaarheid. Dat betekent niet dat je alles in één gigantisch systeem hoeft te proppen, maar de informatie moet wél kloppen, veilig zijn en betrouwbaar worden vastgelegd. Daar stapt Doccle in het proces. Laten we wel eerlijk zijn: Doccle neemt niet de volledige DORA-verantwoordelijkheid van je over; die regie blijft altijd bij de organisatie zelf liggen.
Wat Doccle wél doet om je te ontzorgen:
- Het zorgt voor veilige en gecontroleerde klantcommunicatie.
- Het levert een juridisch houdbaar archief (legal archive).
- Het maakt de aflevering en integriteit van communicatie direct aantoonbaar.
- Het brengt structuur in één centrale communicatiestroom via een plug & play SaaS-koppeling.
Wat je zelf moet blijven organiseren
DORA gaat echter veel verder dan communicatie alleen. Als organisatie blijf je zelf aan het stuur voor de fundamentele governance-taken:
- Je volledige ICT-risicobeheer.
- De incidentclassificatie en bijbehorende rapportages.
- Het uitvoeren van weerbaarheidstesten.
- Het algemene leveranciersmanagement.
Doccle ondersteunt hierin door de bewijslast te versterken, maar het vervangt de organisatie zelf niet. Dat is een onderscheid dat we scherp moeten houden.
Incidenten en testen: van bijzaak naar bewijs
Onder de nieuwe regels verschuiven incidentmanagement en testen van een administratieve bijzaak naar een essentieel onderdeel van je bewijsvoering. Het gaat de toezichthouder er niet om óf je te maken krijgt met incidenten — die zijn immers onvermijdelijk — maar vooral om hoe je ermee omgaat. Je moet kunnen laten zien hoe je risico’s beheerst, wat er precies gebeurt tijdens een verstoring en hoe je daarvan leert om te blijven verbeteren. Dat lukt alleen met consistente vastlegging en een communicatielijn waarop je kunt bouwen.
Bestuur wil grip, geen discussie
Uiteindelijk ligt de verantwoordelijkheid bij de top van de organisatie. Bestuurders zitten niet te wachten op een discussie achteraf over de vraag of de informatie wel klopt of compleet is; zij zoeken zekerheid vooraf. Zij willen weten dat de informatie integer is en dat de bewijslast op elk moment kan worden overlegd. Door processen te controleren en communicatie te stroomlijnen, voorkom je ruis en beperk je de risico’s op het hoogste niveau.
Als je naar de kern kijkt, is DORA dan ook geen puur IT-project, maar een fundamenteel governance-vraagstuk. De echte uitdaging die je hiermee oplost, is het behouden van grip op je communicatie, je documentstromen en je bewijsvoering, zonder dat de organisatie vastloopt in een moeras van complexiteit en torenhoge kosten.
Conclusie
DORA dwingt organisaties simpelweg om volwassen te worden in hun digitale weerbaarheid. Dat bereik je niet door méér systemen aan te schaffen, maar door je bestaande inrichting te verbeteren. Het gaat niet om méér documenten, maar om aantoonbare controle. Wie dit goed regelt, doet meer dan alleen voldoen aan de wetgeving; die bouwt aan een fundament van vertrouwen bij zowel toezichthouders als klanten. En precies daar zit het verschil.
Veelgestelde vragen over de DORA-wetgeving
-
Versnippering. Veel organisaties denken dat ze het “ergens” wel geregeld hebben, maar bij een audit leidt die fragmentatie tot incomplete dossiers en vertraging. DORA legt dergelijke zwaktes genadeloos bloot.
-
Doccle ondersteunt specifiek de veilige klantcommunicatie, juridisch houdbare archivering en het aantoonbaar maken van de integriteit van die berichten. Hiermee wordt je bewijsvoering rondom informatiestromen eenvoudiger en betrouwbaarder.
-
Nee. De verantwoordelijkheid blijft altijd bij de financiële instelling zelf. Je kunt wel onderdelen uitbesteden — zoals communicatie of archivering — maar je moet altijd kunnen aantonen dat je leveranciers voldoen en dat jij de regie houdt.
-
Organisaties moeten een actueel overzicht hebben van hun ICT-leveranciers en afhankelijkheden. Denk aan: welke partijen kritieke diensten leveren, welke data en systemen zij raken, welke afspraken zijn gemaakt (o.a. auditrechten, security, continuïteit. Dit register is een belangrijk onderdeel van je bewijslast richting toezichthouder.
-
In Nederland zijn dat de AFM en DNB. Zij toetsen of organisaties: hun ICT-risico’s beheersen, incidenten goed registreren en rapporteren en hun keten (inclusief leveranciers) onder controle hebben. Niet voldoen betekent risico op maatregelen, boetes en reputatieschade.
-
DORA verplicht financiële instellingen om hun digitale weerbaarheid aantoonbaar op orde te hebben. Het gaat niet alleen om beleid, maar om bewijs: kun je laten zien dat je kritieke processen blijven functioneren bij verstoringen of cyberaanvallen? De focus verschuift daarmee van “we hebben het geregeld” naar “we kunnen het aantonen.”