DORA en uw softwareleverancier

DORA is de Europese verordening voor digitale operationele weerbaarheid in de financiële sector. Hij richt zich op banken, verzekeraars, beleggingsondernemingen, betaaldienstverleners en vergelijkbare partijen.

De kern is dat een financiële instelling moet kunnen aantonen dat zij blijft functioneren als de techniek het begeeft, inclusief de techniek die zij van derden betrekt. Dat laatste is waarom uw contract erdoor verandert.

DORA verplicht financiële instellingen om hun digitale weerbaarheid te testen, en voor de grotere partijen gaat dat tot en met geavanceerde aanvalssimulaties. Als uw dienst onderdeel is van een kritieke keten, kan het gebeuren dat u bij zo'n test betrokken wordt.

Dat klinkt zwaarder dan het meestal is. In de praktijk komt het erop neer dat u meewerkt aan een test die uw afnemer laat uitvoeren, dat u weet wie er bij u aanspreekpunt is, en dat u de bevindingen die u raken oppakt met een aantoonbare opvolging.

Waar het spannend wordt, is als een test iets aan het licht brengt dat u al langer wist maar niet had opgelost. Dat is een ander gesprek dan een onbekend lek. Loop daarom uw eigen openstaande punten na voordat iemand anders dat voor u doet.

• Een precieze beschrijving van de dienst en waar die wordt uitgevoerd, inclusief onderaannemers.
• Afspraken over beschikbaarheid, hersteltijden en wat er gebeurt bij een verstoring.
• Het recht om te controleren: audits, toegang tot informatie en medewerking aan onderzoek.
• Meldafspraken bij incidenten, met termijnen die aansluiten bij de meldplicht van de instelling zelf.
• Een exitregeling: hoe u eruit komt zonder dat de dienstverlening stilvalt, en wat er met de gegevens gebeurt.

De keten stopt niet bij u. Als u onderdelen van uw dienst afneemt bij anderen — hosting, een databaseleverancier, een externe koppeling — dan wil uw afnemer weten wie dat zijn en waar de gegevens staan. Bij kritieke functies gelden er bovendien beperkingen op onderaanneming zonder toestemming.

Zorg daarom dat u een actuele lijst heeft van uw eigen leveranciers, met per partij wat zij zien van de gegevens van uw klant en waar dat staat. Dat is een document van één pagina dat u bij elke inkoopvraag opnieuw gebruikt.

Let daarbij op locatie. Voor deze sector is de vraag waar gegevens fysiek staan geen formaliteit, en een leverancier die dat niet precies kan beantwoorden, wordt een probleem in het gesprek met uw afnemer.

Niet elke leverancier wordt hetzelfde behandeld. Ondersteunt uw dienst een kritieke of belangrijke functie van de instelling, dan gelden zwaardere eisen en wordt de exitregeling een serieus onderwerp in plaats van een slotparagraaf.

Als leverancier is het verstandig zelf te weten in welke categorie u valt. Dat bepaalt hoeveel er van u wordt gevraagd en of u dat kunt waarmaken.

Financiële instellingen moeten hun ICT-dienstverleners indelen: ondersteunt deze dienst een kritieke of belangrijke functie, ja of nee. Die indeling bepaalt welk regime er op uw contract van toepassing is, en hij wordt door uw afnemer gemaakt, niet door u.

De toets die zij aanleggen gaat over de gevolgen van uitval. Zou het wegvallen van uw dienst de dienstverlening aan hun klanten raken, hun wettelijke verplichtingen in gevaar brengen of hun financiële positie beïnvloeden? Bij een systeem dat in het betalingsverkeer zit, is dat evident. Bij een rapportagetool of een HR-pakket is het een afweging.

Het loont om dit gesprek zelf te openen. Als u weet in welke categorie u valt, weet u welke contractuele eisen eraan komen en kunt u zich voorbereiden in plaats van reageren. Vraag ernaar in het eerste gesprek, niet als het contract er ligt.

Wat veel leveranciers verrast, is dat de eisen niet in verhouding staan tot de omvang van de opdracht. Een klein pakket dat een bank voor één afdeling gebruikt, kan alsnog onder de volledige contractuele set vallen als de bank die functie als belangrijk aanmerkt. De omvang van uw factuur zegt niets over de zwaarte van het contract dat erbij hoort.

Bereid u voor op een langer traject dan u gewend bent. Waar een gewone opdracht in een paar gesprekken rond is, doorloopt u hier een inkoopproces met een risicobeoordeling, een contractuele bijlage en soms een toets door de afdeling compliance van uw afnemer.

Dat is geen reden om deze markt te mijden, wel om er tijd voor te reserveren en om uw documentatie op orde te hebben voordat u begint. Partijen die dat op orde hebben, onderscheiden zich hier sterker dan op prijs.

• Reken op audits, of in elk geval op de contractuele mogelijkheid daartoe.
• Reken op vragen over uw eigen leveranciers, want de keten telt door.
• Reken op testverplichtingen: uw klant moet zijn weerbaarheid testen en heeft u daarbij nodig.
• Reken erop dat een standaard-SLA niet volstaat en dat er per klant maatwerk in het contract komt.

Het vaakst op onderaannemers. Een leverancier die zelf drie clouddiensten gebruikt en dat nooit heeft opgeschreven, kan de vraag niet beantwoorden waar de gegevens staan en wie erbij kan.

Daarna op de exitregeling. Veel contracten regelen hoe u begint en niets over hoe u stopt. Juist dat laatste is waar DORA op stuurt.

DORA vraagt dat een financiële instelling kan stoppen met een leverancier zonder dat haar dienstverlening in gevaar komt. Dat vertaalt zich in contractuele eisen die verder gaan dan een gewone opzegtermijn: een uitgewerkt overdrachtsplan, de verplichting om gegevens in een bruikbaar formaat op te leveren, en soms de plicht om na opzegging nog een periode door te leveren.

Dat laatste is het punt waar onderhandelingen op vastlopen. Een leverancier wil geen open verplichting om onbepaalde tijd door te leveren tegen bestaande tarieven. Een werkbare uitkomst is meestal een begrensde periode met een vastgelegd tarief, plus duidelijkheid over wat er precies wordt opgeleverd.

Bereid dit voor voordat het ter sprake komt. Weten in welk formaat u gegevens kunt exporteren en hoe lang zo'n export duurt, is informatie die u toch een keer nodig heeft en die dit gesprek aanzienlijk korter maakt.

• Beveiliging eisen aan uw leverancier
• Wat hoort in een SLA
• Het onderhoudscontract

Wilt u eerst weten of het idee werkt voordat u groot investeert? Bij OneDayBuild laat u in één dag een werkend prototype bouwen.