Blog 4 van 9

Met de invoering van de Digital Operational Resilience Act (DORA) worden bedrijven uitgedaagd om hun digitale weerbaarheid te versterken. Deze nieuwe regelgeving vereist dat bedrijven maatregelen treffen om hun bedrijfscontinuïteit te waarborgen bij cyberincidenten en -aanvallen. In deze blog bespreken we enkele cruciale stappen die bedrijven kunnen nemen om te voldoen aan DORA, en hoe BPSOLUTIONS kan ondersteunen bij het implementeren van deze maatregelen.

Opstellen van een Business Continuïteit Plan (BCP)

Een Business Continuity Plan (BCP) is essentieel om de bedrijfscontinuïteit te waarborgen. Dit plan beschrijft hoe een bedrijf moet handelen tijdens en na een crisis om de impact op kritieke bedrijfsprocessen te minimaliseren. Een goed BCP moet minimaal de volgende onderdelen bevatten:

• Contactgegevens van verantwoordelijke personen
• Revisielog
• Doel en scope van het BCP
• Instructies voor activering en deactivering
• Service Level Agreements (SLA) voor belangrijkste processen
• Verwijzingen naar gerelateerde plannen zoals Disaster Recovery en Crisis Management
• Draaiboeken met gedetailleerde procedures inclusief checklists en diagrammen
• Overzicht van uitgevoerde testen en verwijzing naar testresultaten

Stappen naar een Business Continuity Plan

Om tot een effectief BCP te komen, zijn de volgende stappen noodzakelijk:

Risicoanalyse en Business Impact Analyse

1. Risicoanalyse (RA): Identificeert potentiële incidenten die een gevaar kunnen vormen voor het bedrijf, de realiteit van deze dreigingen, kritieke bedrijfsfuncties en processen, prioritering, en benodigde mitigerende maatregelen.
2. Business Impact Analyse (BIA): Bepaalt de financiële en operationele impact van verstoringen van kritieke functies en processen. De BIA inventariseert interne en externe IT-systemen, applicaties, en onderlinge afhankelijkheden. Het doel is om SLA’s te bepalen waarin de maximum tolerable downtime (MTD) en maximum tolerable data loss (MTDL) van de kritieke processen en diensten worden vastgelegd.

Bepalen van MTDL en MTD

• MTDL (Maximum Tolerable Data Loss): De hoeveelheid data/transacties die verloren mag gaan voordat dit negatieve gevolgen heeft voor het bedrijf. MTDL is gecorreleerd aan Recovery Point Objective (RPO).
• MTD (Maximum Tolerable Downtime): De maximale tijd dat een business functie of service uit de lucht mag zijn zonder negatieve consequenties. Voor de MTD zijn Incident Response Time (IRT), Recovery Time Objective (RTO), en Operational Resumption Time (ORT) belangrijk.
  
  

IT Disaster Recovery Plan, Emergency Response Plan en Crisis Management Plan

Een effectief BCP bestaat uit meerdere specifieke plannen:

1. IT Disaster Recovery Plan (DRP): Richt zich op IT-continuïteit en beschrijft procedures om IT-verstoringen snel te verhelpen. Het plan omvat rollen, taken en verantwoordelijkheden, incidentrespons, en activatie- en fallbackplannen.
2. Crisis Management Plan (CMP): Beschrijft criteria voor het activeren van het BCP, de hiërarchische structuur van betrokkenen, rapportage tijdens en na het incident, en het communicatieplan.
3. Emergency Response Plan (ERP): Ook wel Incident Response Plan genoemd, beschrijft de procedures, taken en rolverdeling bij een calamiteit.
   
   

Testen en Oefenen

Nieuwe IT-systemen en risico's kunnen leiden tot belangrijke wijzigingen in bestaande processen. Daarom is het cruciaal om het BCP actueel te houden en minimaal jaarlijks te toetsen. Regelmatig testen en oefenen van herstelprocedures zorgt ervoor dat betrokken medewerkers bekend raken met de procedures en dat genomen maatregelen voldoen aan de eisen van DORA.

Backup Strategie

Een veilige en betrouwbare backup strategie is essentieel, vooral gezien de toename van ransomware-aanvallen gericht op het versleutelen van backups. Enkele belangrijke maatregelen zijn:

• 3-2-1 backup regel: Drie datakopieën, op twee verschillende media, waarvan één op een locatie die volledig geïsoleerd is.
• Toegang & beveiliging: Versleutel backup data om te voorkomen dat onbevoegden data kunnen inzien bij verlies of diefstal.
• Backup schema: Bepaal backup retentie en frequentie op basis van data-classificatie en risicoprofiel.
• Backup monitoring: Monitor en controleer backups regelmatig.
• Restore: Voer regelmatig restore-tests uit om de beschikbaarheid en betrouwbaarheid van de backups te verifiëren.

Conclusie

Met de invoering van DORA wordt het steeds belangrijker voor bedrijven om een robuust Business Continuity Plan op te stellen en te onderhouden. BPSOLUTIONS kan bedrijven ondersteunen bij het implementeren van deze maatregelen om te voldoen aan de eisen van DORA en de digitale weerbaarheid te versterken.

Heeft u hulp nodig bij het opstellen of verbeteren van uw Business Continuity Plan? Neem contact op met Stefan Folkerts voor deskundige ondersteuning en advies.

Wil je ook onze andere blogs over DORA lezen?
Blog 1: De impact van Dora op de Financiële sector: Wat u moet weten
Blog 2: BPSOLUTIONS is klaar voor de DORA Richtlijnen
Blog 3: Dora Compliance: optimaliseer jouw information security plan

Je kunt je hieronder ook abonneren op onze DORA nieuwsbrief