Maatwerk software voor de vijf pijlers van de Digital Operational Resilience Act: ICT-risk-management, incident-rapportage binnen vier uur, resilience-testing, third-party-register en threat-intel-sharing. Wij vervangen geen ProcessUnity of OneTrust voor enterprise, maar bouwen de schil die uw kernsystemen, uw eigen risico-model en uw DNB- of AFM-rapportage aan elkaar verbindt.
De Digital Operational Resilience Act (Verordening EU 2022/2554) trad op 17 januari 2025 in werking en raakt vrijwel elke financiële entiteit in Nederland: banken, verzekeraars, beleggingsondernemingen, pensioenfondsen, betaalinstellingen, kredietbeoordelaars, vermogensbeheerders en crypto-asset-service-providers. Ook critical ICT third-party service providers — denk aan grote cloudleveranciers — vallen via een aparte route onder direct toezicht van de Europese toezichthouders. DNB en AFM houden in Nederland het toezicht op de meeste entiteiten.
Voor het GRC-werk eromheen bestaan al goede enterprise-platformen: ProcessUnity, OneTrust, ServiceNow GRC, MetricStream, Diligent, LogicGate en Archer. Als uw organisatie al zo'n suite gebruikt en die past, dan adviseren we u dat te blijven gebruiken — daar willen wij niet tussen gaan zitten en we adviseren u een platform-vervanging zelden als losse oplossing voor DORA.
Wat we wel bouwen is de maatwerklaag die uw bestaande GRC-platform niet voor uw situatie oplost: een DORA-register dat aansluit op uw ICT-landschap en uw eigen risico-classificatie, een incident-management-flow die binnen de DORA-termijn van vier uur de juiste rapportage richting de bevoegde autoriteit voorbereidt, een third-party-register met diepe koppeling naar uw inkoop-, contract- en monitoring-systemen, en de integratie met core-banking, beleggings-administratie of polis-systemen die een standaardsuite niet uit de doos heeft. Dat doen we als aanvulling op KYC/AML-software wanneer beide trajecten samenlopen, of als zelfstandige bouwsteen binnen een breder risicomanagement-software-traject.
De meeste trajecten starten met één van deze drie en groeien organisch door als ook de andere pijlers volwassen worden. We adviseren in het eerste gesprek welke variant het meeste oplevert voor uw type instelling, uw toezichtregime en uw bestaande ICT-landschap.
Een centraal register van uw ICT-assets, kritische bedrijfsfuncties, ondersteunende processen en hun onderlinge afhankelijkheden, met een risico-classificatie die aansluit op uw eigen vastgestelde beleid. Inclusief governance-flow voor periodieke review door de risk-functie, sign-off door de raad van bestuur, en aantoonbare logging voor inspectie door DNB of AFM. Vervangt uw GRC-suite niet, maar voedt die wel met data die nu vaak versnipperd in spreadsheets en in tickets-systemen zit.
De software die uw security-operations-team gebruikt wanneer een major ICT-related incident is geclassificeerd: een case-management-omgeving die het incident afhandelt, de DORA-classificatiecriteria toepast (impact op cliënten, geografische spreiding, duur, dataverlies, reputatieschade, economische impact), automatisch de templates voor initial, intermediate en final notification voorbereidt, en de termijnen bewaakt richting DNB, AFM of de relevante ESA. Inclusief koppeling met uw SIEM, ticketing-systeem en de communicatieflows naar cliënten en de pers.
Een volledig third-party-register dat alle uitbestede ICT-diensten in kaart brengt: contracten, sub-uitbesteders, data-flow, locatie van verwerking, exit-strategie, criticality-rating en doorlopende SLA-monitoring. Inclusief due-diligence-workflows voor nieuwe leveranciers, periodieke heronderzoeken, en automatische signalering wanneer een contract niet voldoet aan de DORA-vereisten of wanneer de gemeten beschikbaarheid achterblijft op het afgesproken niveau. Diep gekoppeld aan inkoop-, contract-management- en monitoring-systemen voor één consistent beeld.
Een productieklare DORA-omgeving die aansluit op uw bestaande GRC-, security- en kernsystemen, plus alles eromheen om het zelf te beheren of door uw IT-partner te laten beheren.
Vier patronen die wij telkens terugzien bij instellingen die ons benaderen als DORA-implementatie-partner. Herkent u er één, dan praten we graag verder.
U bent een kleinere of middelgrote financiële entiteit — een beleggingsonderneming, een betaalinstelling, een crypto-asset-service-provider of een pensioenfonds — waar de enterprise-platformen voor governance en compliance qua kosten en complexiteit niet passen. Een eigen, slankere DORA-omgeving op maat is dan vaak doelmatiger dan een suite waar u 80 procent niet gebruikt en die u toch jaarlijks aan licenties betaalt.
Uw ICT-assets staan in een CMDB, kritische bedrijfsfuncties in een Visio-tekening, leveranciers in een Excel-inkooplijst, incidenten in het ticketing-systeem en risk-acceptance in een SharePoint-map. Niemand heeft één compleet beeld dat aansluit op de DORA-vereisten. Een maatwerklaag die deze bronnen aan elkaar koppelt en het DORA-register voedt vanuit de systemen waar de waarheid leeft, voorkomt dubbele administratie.
De ingekochte oplossing past dezelfde DORA-classificatiecriteria toe op een grootbank en een gespecialiseerde vermogensbeheerder. U weet als CISO of risk-officer dat uw kritische functies een ander profiel hebben dan die standaard-aanname. Een eigen rules-engine waarin u criticality-, impact- en geografische factoren kunt configureren — en die u kunt verantwoorden richting DNB — geeft beter onderbouwde classificaties.
Voor incident-detectie en SLA-monitoring is een hard-gekoppelde feed vanuit het core-banking-, polis- of beleggings-administratie-systeem onmisbaar. Een standaard-SaaS staat los van uw kernlandschap en signaleert pas wanneer iemand het handmatig invoert. Maatwerk laat het DORA-systeem in real-time meelezen op de transactie- en beschikbaarheids-stromen, zodat een major incident binnen minuten — niet uren — wordt geclassificeerd.
Een gesprek waarin we begrijpen onder welk toezicht u valt (DNB, AFM of een ESA als kritisch derde), welke GRC- en security-tools u nu gebruikt, welke kernsystemen er staan, en waar de huidige flow knelt richting de DORA-vereisten. We brengen ook in kaart welke koppelingen nodig zijn met core-banking, polis-administratie, uw SIEM en uw inkoop-/contract-management. Zo weten we al voor de scope-workshop welke slimme API-integraties deel uitmaken van het traject.
Workshop met de CISO, risk-officer, compliance-officer en de inkoop-functie, plus interviews met de mensen die nu het ICT-risk- en third-party-werk doen. We tekenen de huidige proces-stromen uit en zetten ze af tegen de vijf DORA-pijlers en de Regulatory-Technical-Standards. We identificeren waar uw bestaande GRC-platform volstaat en waar maatwerk waarde toevoegt. Aan het einde ligt er een concrete scope, een sprintplanning en een eerste schermflow van het DORA-register of het incident-management.
We werken in tweewekelijkse sprints en leveren elke sprint een werkende, testbare versie op. De CISO of een delegated owner is product-owner, een lid van de raad van bestuur of CRO is opdrachtgever. Vroeg in het traject testen we het incident-management met een tabletop-exercise op basis van een realistisch scenario — een SaaS-leverancier die uitvalt of een ransomware-aanval — zodat we zien waar de flow stroef loopt voordat de eerste echte vier-uurs-melding zich aandient. Een eerste pijler staat na een paar sprints; een volledige DORA-implementatie over alle vijf pijlers loopt over een traject van meerdere sprints.
Gefaseerde uitrol naar de risk- en compliance-functie, met parallel-loop tegen het bestaande proces zodat geen incident en geen leveranciers-review wordt gemist. Training voor key-users en een korte video-introductie voor leveranciers die zelf data aanleveren via het third-party-portaal. Vanaf go-live verzorgen we monitoring, security-patches, koppelings-onderhoud en doorontwikkeling op basis van nieuwe RTS-publicaties, ITS-updates of wijzigingen in de Joint-Examination-praktijk. Bij elke nieuwe richtlijn of supervisory-update pakken we de impact-analyse en de aanpassing voor onze rekening.
De vragen die CISO's, risk-officers en compliance-officers ons meestal stellen voor een DORA-traject begint.
Een kennismaking van een half uur, vrijblijvend. We luisteren naar onder welk toezicht u valt, welke GRC-, security- en kernsystemen er staan en waar het schuurt — en geven richting waar u meteen iets aan hebt, ook als we uiteindelijk niet samenwerken.
Appfront gebruikt cookies en vergelijkbare technieken voor een goede werking van de website, voor analyse en voor marketing. Je kiest zelf wat je toestaat. Lees meer in ons privacybeleid.
