Financiële instellingen in Europa blijven achter bij DORA-normen

Een enquête in opdracht van Veeam onthult de meest voorkomende tekortkomingen van Europese financiële instellingen bij de aanpassing aan de nieuwe regelgeving voor operationele weerbaarheid van de EU. Zes maanden na de inwerkingtreding van de Digital Operational Resilience Act (DORA) geeft maar liefst 96% van de organisaties in de EMEA-regio aan dat zij nog steeds hun operationele weerbaarheid moeten verbeteren om volledig aan de normen te voldoen.

De studie, uitgevoerd door Censuswide en gericht op 404 IT- en compliance-managers uit het Verenigd Koninkrijk, Frankrijk, Duitsland en Nederland, laat zien dat de weg naar digitale weerbaarheid vol obstakels zit, ondanks het feit dat 94% van de organisaties nu meer prioriteit geeft aan DORA dan voor de inwerkingtreding.

DORA: een prioriteit, maar met neveneffecten

Hoewel de Europese regelgeving door de meeste instellingen is geïntegreerd in hun weerbaarheidsprogramma’s — 50% geeft aan het op een breed front te hebben opgenomen, en 39% beschouwt het als een centrale prioriteit — zijn er ook onverwachte neveneffecten:

• 41% meldt dat de druk op IT- en cybersecurityteams is toegenomen.
• 37% ervaart een stijging van de kosten van technologieproviders.
• 22% vreest dat de toenemende regeldruk innovatie en concurrentie kan belemmeren.
• 20% heeft nog geen budget veiliggesteld voor de implementatie van DORA-vereisten.

Concrete obstakels: testen, rapportages en integriteit van back-ups

De gegevens tonen aan dat, ondanks de uitgesproken toewijding, veel organisaties nog steeds tekortschieten op essentiële onderdelen van DORA:

• 24% heeft geen processen voor herstel- en continuïteitstests opgezet.
• 24% heeft geen mechanismen voor incidentrapportage geïmplementeerd.
• 24% heeft geen verantwoordelijke aangewezen voor de implementatie.
• 23% heeft geen digitale operationele weerbaarheidsproeven uitgevoerd.
• 21% heeft de integriteit en veilige terugwinning van back-ups niet gewaarborgd.

Volgens Andre Troskie, Field CISO EMEA van Veeam, is het toezicht op derden een van de meest kritieke punten. 34% van de organisaties beschouwt dit als de moeilijkste vereiste om te implementeren. “Veel organisaties hebben nog steeds beperkte zichtbaarheid over hun leveranciers en externe netwerken. Het is positief om te zien dat ze hun verdedigingspositie op dit gebied evalueren, aangezien dit een van de belangrijkste doelstellingen van DORA was”, stelt hij.

Het DRMM-model: een routekaart naar weerbaarheid

Om organisaties in dit proces te ondersteunen, hebben Veeam en McKinsey begin dit jaar het Data Resilience Maturity Model (DRMM) gepresenteerd, het eerste model in de sector om het niveau van datamaturiteit te evalueren. Dit raamwerk, ontwikkeld op basis van interviews met meer dan 500 IT-, beveiligings- en operationele leiders, maakt het mogelijk om de pijlers van IT, compliance en veiligheid in één strategie te integreren.

Edwin Weijdema, Field CTO EMEA van Veeam, benadrukt dat “naleving van DORA slechts de eerste stap is. Operationele weerbaarheid is een continu proces en veel instellingen zijn nog ver van een optimaal niveau. Datweerbaarheid moet een strategische langetermijnprioriteit zijn.”

Oproep tot verbetering van het DORA-ontwerp

22% van de ondervraagde organisaties vindt dat DORA beter ontworpen had kunnen worden, met verzoeken om meer duidelijkheid, vereenvoudiging en specifieke richtlijnen over het risico van derden. Ondanks deze kritiek heeft de regelgeving het beoogde effect gehad: een grondige herziening van de digitale verdedigingssystemen binnen de Europese financiële sector.

Conclusie: weerbaarheid is een reis, geen bestemming

Na zes maanden in werking te zijn, heeft DORA een culturele en operationele transformatie teweeggebracht in de manier waarop financiële instellingen cyberweerbaarheid begrijpen. De gegevens tonen echter aan dat er nog een lange weg te gaan is. De meeste instellingen erkennen aanzienlijke tekortkomingen, vooral in kritische processen zoals continuïteitstests, leveranciersbeheer en gegevensback-up.

Ondertussen positioneert Veeam zich als een sleutelspeler in dit proces door technologische oplossingen en strategische kaders te bieden die organisaties helpen voldoen aan de wettelijke vereisten en, vooral, om een radicale weerbaarheid op te bouwen tegen toekomstige onderbrekingen.

Bron: Veeam