Digital Operational Resilience Act: digitale weerbaarheid is nu ook het domein van de CFO

Als CFO in de financiële sector was digitale infrastructuur vaak een onderwerp dat onder de CIO of CISO viel. Met de komst van de Digital Operational Resilience Act (DORA) verandert dat fundamenteel. Deze Europese verordening, die vanaf januari 2025 van kracht is, maakt digitale veerkracht een bestuursverantwoordelijkheid. Niet alleen de technologie moet op orde zijn – ook de governance, risico-allocatie en investeringsstrategie.

Onderstaand overzicht zet de belangrijkste pijlers van DORA uiteen, met nadruk op de relevantie voor de financiële functie binnen banken, verzekeraars, vermogensbeheerders en fintechs.

1. ICT-risicomanagement: van kostenpost naar strategisch kapitaal

DORA vereist dat financiële instellingen een uitgebreid ICT-risicomanagementraamwerk inrichten. Voor CFO’s betekent dit o.a.:

• Het (her)alloceren van budget voor ICT-continuïteit, backups en systeemvernieuwing.

• Governance inrichten rondom ICT‑investeringen: van businesscase tot toezicht.

• Strategische beoordeling van legacy-systemen en de financiële impact van vernieuwing versus onderhoud.

Een jaarlijkse ICT-risicobeoordeling wordt verplicht – inclusief scenario’s voor systeemfalen of cyberaanval. Financiële onderbouwing van deze scenario’s is cruciaal.

2. Incidentrapportage: risicobeheersing én reputatiemanagement

Significante ICT-incidenten moeten binnen vier uur na detectie gemeld worden bij toezichthouders, gevolgd door een inhoudelijk rapport binnen 24 uur. Dit vereist:

• Heldere interne verantwoordelijkheden (wie classificeert, wie rapporteert?).

• Afstemming met juridische en communicatieteams om financiële impact en reputatieschade te beperken.

• Opname van incidentkosten, herstelwerk en verzekering in risicomodellen en financiële planningen.

Voor CFO’s ligt hier een rol in cost-of-risk-analyse en afwegingen rond preventie vs. reactie.

3. Testen van operationele weerbaarheid: kosten of verzekering?

DORA verplicht instellingen om periodiek resilience testing te doen, inclusief penetratietests en scenario-oefeningen. Veel CFO’s zullen zich afvragen: wat kost dit – en wat levert het op?

Belangrijk is om testen niet als kostenpost te zien, maar als operationele verzekering tegen uitval. Testing biedt inzicht in risico’s én het rendement op eerder gedane ICT-investeringen. Het vormt een essentieel onderdeel van enterprise risk management (ERM).

4. Derdepartijenbeheer: toezicht op leveranciers wordt intensiever

CFO’s zijn vaak nauw betrokken bij de selectie en contractering van leveranciers. Onder DORA moeten instellingen:

• Contracten met ICT-leveranciers standaardiseren met clausules over beschikbaarheid, rapportage en toezicht.

• Regelmatig risico-evaluaties uitvoeren op derde partijen (denk aan clouddiensten, softwareleveranciers).

• Kritieke ICT-dienstverleners melden bij de toezichthouder – deze kunnen zelf onder EU-toezicht komen te staan.

Voor inkoop, control en finance betekent dit extra documentatieplicht en heronderhandeling van contractvoorwaarden.

5. Delen van dreigingsinformatie: collectieve weerbaarheid

Hoewel dit primair een taak is voor CISO’s, wordt ook van CFO’s verwacht dat ze ruimte geven aan deelname aan branchebrede samenwerkingen rond cyberdreigingsinformatie (threat intelligence). Dit kan vragen om investeringen in platforms, trainingen en samenwerking met andere instellingen.

CFO’s kunnen hierin bijdragen door een businesscase op te stellen voor deelname aan sectorale netwerken of publieke-private samenwerking rond cybersecurity.

Aanvullende CFO-aandachtspunten:

6. Proportionaliteitsbeginsel

Niet iedere instelling krijgt evenveel DORA-verplichtingen. Voor kleinere instellingen of laagrisicobedrijven gelden vereenvoudigde kaders. CFO’s spelen een rol in de interpretatie van deze proportionaliteit: hoeveel moet er geïnvesteerd worden in lijn met het eigen risicoprofiel?

7. RTS en ITS: extra compliancekosten in kaart brengen

De technische standaarden (RTS en ITS) die volgen op DORA vragen om extra inspanning in rapportage en documentatie. CFO’s moeten de impact hiervan op compliancekosten tijdig inschatten – mogelijk met hulp van externe adviseurs.

CFO’s die nu investeren in duidelijke governance, robuuste ICT-contracten en geïntegreerd risicomanagement, leggen het fundament voor duurzame groei in een digitale economie. DORA biedt daarbij niet alleen verplichtingen – maar ook kansen om vertrouwen te bouwen bij klanten, toezichthouders én investeerders.