Wat zijn DORA en de Cyber Resilience Act, en voor wie gelden ze?

DORA (Digital Operational Resilience Act) is een Europese verordening die financiële organisaties verplicht hun digitale operationele weerbaarheid aan te tonen. De Cyber Resilience Act (CRA) verplicht fabrikanten, importeurs en distributeurs van digitale producten om die producten veilig te ontwerpen en te onderhouden. DORA richt zich dus op de financiële sector, de CRA op producten met digitale elementen. Hieronder leest u wie waaronder valt en wat u kunt doen om voorbereid te zijn. Wie zijn IT-kennis hierop wil afstemmen, vindt een breed aanbod aan IT-trainingen voor cyberbeveiliging en compliance.

Welke organisaties vallen precies onder DORA?

Onder DORA vallen financiële entiteiten in de Europese Unie, zoals banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en cryptodienstverleners, plus de kritieke ICT-dienstverleners waar zij van afhankelijk zijn. De verordening richt zich op digitale operationele weerbaarheid, waaronder ICT-risicobeheer en incidentrapportage.

Het toepassingsgebied is breed. Naast de grote financiële instellingen geldt DORA ook voor pensioenfondsen, beheerders van beleggingsfondsen, verzekeringstussenpersonen en crowdfundingplatforms. Er bestaan wel proportionaliteitsregels: kleine en niet-complexe instellingen mogen een vereenvoudigd kader hanteren.

Ook ICT-dienstverleners worden geraakt. Een cloudprovider, datacenter of softwareleverancier die kritieke diensten levert aan een financiële instelling, kan onder direct toezicht komen te staan. Niet-financiële bedrijven met zulke klanten krijgen bovendien te maken met strengere contractuele eisen vanuit hun opdrachtgevers.

Voor wie geldt de Cyber Resilience Act?

De Cyber Resilience Act geldt voor fabrikanten, importeurs en distributeurs van producten met digitale elementen die op de Europese markt worden aangeboden. Dat omvat zowel hardware als software, van slimme apparaten en routers tot apps, besturingssystemen en softwarebibliotheken die verbonden zijn met een netwerk of ander apparaat.

De CRA is sectoroverstijgend. Een producent van een slimme thermostaat valt er net zo goed onder als een softwarebedrijf dat een mobiele app levert. Voor sommige producten, zoals medische hulpmiddelen en voertuigen, gelden al sectorspecifieke regels, waardoor zij van het toepassingsgebied zijn uitgezonderd.

Ook partijen die componenten leveren, bijvoorbeeld open-sourcesoftware binnen commerciële producten, moeten hun rol in de keten goed in kaart brengen. De eindverantwoordelijkheid ligt bij de fabrikant van het eindproduct, maar die moet de veiligheid van de gebruikte componenten wel aantonen.

Wat is het verschil tussen DORA en de CRA?

Het belangrijkste verschil is dat DORA organisaties reguleert en de CRA producten. DORA stelt eisen aan hoe een financiële instelling haar ICT-processen beheerst, terwijl de CRA eisen stelt aan de cyberbeveiliging van een digitaal product gedurende de volledige levenscyclus.

Wie en wat wordt gereguleerd

DORA is van toepassing op financiële entiteiten en hun kritieke ICT-leveranciers. Het gaat om bedrijfsvoering: governance, risicobeheer, incidentafhandeling en testen. De CRA richt zich op marktdeelnemers in de productketen, en het resultaat is een product dat voldoet aan essentiële cyberbeveiligingseisen.

Hoe naleving wordt aangetoond

Bij DORA toont een organisatie naleving aan via beleid, documentatie, testresultaten en rapportages richting toezichthouders. Bij de CRA gebeurt dit via een conformiteitsbeoordeling en uiteindelijk CE-markering voor digitale producten. De CRA kent daarmee een duidelijk productgericht keurmerk, DORA niet.

Beide regelingen raken elkaar in de praktijk. Een bank die software inkoopt, krijgt via DORA te maken met leveranciersbeheer, terwijl de softwareleverancier via de CRA moet aantonen dat het product veilig is.

Welke verplichtingen brengen DORA en de CRA met zich mee?

DORA verplicht tot ICT-risicobeheer, incidentrapportage, weerbaarheidstesten en beheer van ICT-derden. De CRA verplicht tot security by design, kwetsbaarhedenbeheer, beveiligingsupdates en een meldplicht voor actief misbruikte kwetsbaarheden. Beide wetten vragen om aantoonbare processen en documentatie.

De belangrijkste DORA-verplichtingen zijn:

• ICT-risicobeheerkader: een gedocumenteerde aanpak voor het identificeren, beschermen en herstellen van ICT-systemen.
• Incidentmelding: ernstige ICT-incidenten classificeren en melden aan de toezichthouder.
• Weerbaarheidstesten: regelmatig testen, voor bepaalde instellingen inclusief geavanceerde penetratietesten.
• Beheer van ICT-derden: contractuele afspraken en toezicht op leveranciers, met een register van alle contracten.
• Informatiedeling: afspraken over het delen van dreigingsinformatie.

De belangrijkste CRA-verplichtingen zijn:

• Security by design: beveiliging meenemen vanaf het ontwerp van het product.
• Kwetsbaarhedenbeheer: kwetsbaarheden opsporen, verhelpen en een proces voor melding inrichten.
• Beveiligingsupdates: updates leveren gedurende een vastgestelde ondersteuningsperiode.
• Technische documentatie: aantonen dat het product aan de eisen voldoet, inclusief een software bill of materials.
• CE-markering: na conformiteitsbeoordeling het product op de markt brengen.

Wanneer moeten organisaties aan DORA en de CRA voldoen?

DORA is sinds 17 januari 2025 van toepassing, dus financiële entiteiten moeten er nu aan voldoen. De CRA is in december 2024 in werking getreden en kent een gefaseerde invoering: de meldplicht voor kwetsbaarheden gaat in september 2026 in, de overige verplichtingen volgen eind 2027.

Voor DORA geldt in 2026 dus de verwachting van volledige naleving. Toezichthouders kunnen controleren op ICT-risicobeheer, incidentrapportage en leveranciersbeheer. Organisaties die nog niet volledig compliant zijn, lopen risico op handhaving en aanvullende maatregelen.

Voor de CRA is 2026 een belangrijk voorbereidingsjaar. De meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten gaat naar verwachting in september 2026 in. De bredere productverplichtingen, zoals security by design en CE-markering, zijn pas later van kracht. Wie nu begint met het inventariseren van producten en processen, voorkomt tijdsdruk later. Controleer altijd de actuele data bij de Europese Commissie of uw toezichthouder, omdat uitvoeringsregels en tijdlijnen kunnen worden aangescherpt.

Welke IT-kennis en certificeringen helpen bij compliance?

Voor compliance met DORA en de CRA is kennis van informatiebeveiliging, risicobeheer, ethisch hacken en testmethodiek het meest waardevol. Certificeringen op deze gebieden laten zien dat een professional de vereiste processen kan inrichten, toetsen en onderhouden. Welke certificering past, hangt af van uw rol.

• Informatiebeveiliging en ISO 27001: geeft inzicht in het opzetten van een managementsysteem voor informatiebeveiliging, een goede basis voor ICT-risicobeheer onder DORA.
• Ethisch hacken en penetratietesten: relevant voor de weerbaarheidstesten die DORA vraagt en voor het opsporen van kwetsbaarheden onder de CRA. Certificeringen van EC-Council en Mile2 bieden hiervoor een route.
• Softwaretesten: ISTQB en TMAP ondersteunen een gestructureerde testaanpak, wat past bij het aantoonbaar testen van producten en systemen.
• Cloud en infrastructuur: Microsoft- en Linux-certificeringen helpen bij het veilig beheren van de platforms waarop financiële diensten en digitale producten draaien.
• Privacy en governance: kennis van privacy en IT-governance sluit aan bij de documentatie- en verantwoordingsplicht van beide regelingen.

De investering in een opleiding wordt bepaald door factoren zoals het niveau van de certificering, de leervorm (klassikaal, live online of zelfstudie), de duur van het traject en of examens zijn inbegrepen. Voor organisaties kan een training op maat zinvol zijn, omdat de inhoud dan aansluit op de eigen sector en systemen.

Hoe wij helpen bij DORA- en CRA-compliance

Compliance begint bij kennis in uw team. Wij zijn als Drachtse opleider al ruim 25 jaar actief in IT-onderwijs en certificering, en hebben een breed aanbod waarmee uw medewerkers de benodigde vaardigheden opbouwen. Meer over ons en onze werkwijze leest u op onze pagina over ons. Zo ondersteunen wij u:

• Erkende certificeringen: trainingen voor onder meer EC-Council, Mile2, ISTQB, TMAP, Microsoft en Linux, in samenwerking met toonaangevende partners.
• Flexibele leervormen: klassikaal, live online of zelfstandig met een zelfstudiepakket, passend bij uw werkrooster.
• Training op maat: programma’s die we afstemmen op de eisen van uw organisatie, bijvoorbeeld rond ICT-risicobeheer of veilige productontwikkeling.
• Examenvoorbereiding en afname: begeleiding richting het examen en afname via ons geautoriseerde examencentrum voor Pearson VUE, Kryterion en Exin.

Wilt u weten welke opleidingen het best aansluiten op uw situatie? Neem dan contact met ons op, dan denken we graag met u mee over het juiste traject.