Beantwoord DORA-vragenlijsten als contractvoorwaarden

Een DORA-vragenlijst werkt het best wanneer elk antwoord een voorwaarde bevat die uw juridische, security- en serviceteams kunnen naleven. Volgens de Digital Operational Resilience Act, van de EU worden veel van die antwoorden verwerkt in een van twee zaken: de schriftelijke overeenkomst die uw klant met u moet hebben, of het informatieregister dat hij voor elke ICT-overeenkomst bijhoudt. Een antwoord dat bedoeld is om indruk te maken, kan u daardoor binden aan een auditrecht, een serviceniveau of een opzegtermijn die niemand heeft goedgekeurd. Deze gids behandelt de stappen in de juiste volgorde: bepaal de reikwijdte van uw dienstverlening, zorg dat uw identificatiegegevens klaarstaan, koppel elke vraag aan de bijbehorende contractvoorwaarde, antwoord ook voor uw onderaannemers, gebruik certificeringen als bewijs en verbind u alleen tot operationele verplichtingen die u kunt nakomen.

Wie de vragenlijst beantwoordt en wat u eerst moet verzamelen

U beantwoordt de vragenlijst als leverancier. DORA definieert een externe ICT-dienstverlener als elke onderneming die ICT-diensten verleent. Met de vragenlijst beoordeelt een bank, verzekeraar of beleggingsonderneming in de EU u voordat die een contract met u sluit of verlengt. Verwacht deze vragen voortaan zowel bij verlengingen als bij nieuwe contracten.

Deze staat naast de andere due-diligence-vragenlijsten die uw team behandelt. Er is ook overlap met de bredere vendor due diligence die een klant uit de financiële sector uitvoert. Het verschil zit in waar de antwoorden terechtkomen. Verzamel voordat iemand een concept opstelt de documenten waaraan de antwoorden zullen worden getoetst:

• de ontwerpovereenkomst of het DORA-addendum dat u met deze klant zou ondertekenen
• een actuele lijst van alle onderaannemers die de dienstverlening ondersteunen, met een beschrijving van wat elk van hen doet
• uw huidige certificeringen en auditrapporten, met hun toepassingsgebied en datums
• uw draaiboek voor incidentrespons, inclusief hoe en wanneer u klanten op de hoogte brengt
• uw servicelevelschema en uw procedure voor beëindiging en teruggave van gegevens

Wijs vervolgens per onderwerp één verantwoordelijke aan voordat de vragenlijst wordt opgesplitst. Legal is verantwoordelijk voor alles wat als een contractvoorwaarde leest, en security voor de vragen over beheersmaatregelen en bewijsstukken. Service delivery is verantwoordelijk voor serviceniveaus, incidentafhandeling en exit. Wie uw eigen leveranciers beheert, is verantwoordelijk voor de antwoorden over onderaannemers. De bidmanager is verantwoordelijk voor het volledige antwoord en keurt het goed.

Ga na of uw dienst een kritieke of belangrijke functie ondersteunt

Vraag uw klant vóór u begint te schrijven of uw dienst een van zijn kritieke of belangrijke functies ondersteunt. Dat ene gegeven bepaalt welk deel van de vragenlijst een contractuele bepaling wordt.

Een ja activeert een tweede niveau van verplichtingen. DORA vereist aanvullende contractvoorwaarden voor een dienst die een kritieke of belangrijke functie ondersteunt. Die omvatten volledige beschrijvingen van de serviceniveaus met nauwkeurige doelstellingen. Ze omvatten ook onbeperkte toegangs-, inspectie- en auditrechten voor drie partijen: de klant, een door hem aangestelde derde partij en zijn toezichthouder. Een ja maakt ook Gedelegeerde Verordening (EU) 2025/532 van de Commissie over uitbesteding van toepassing. Die stelt voorwaarden aan uw keten van onderaannemers die niet gelden voor een niet-kritieke dienst.

Een verkeerde classificatie heeft hoe dan ook gevolgen. Beantwoordt u vragen over een kritieke dienst alsof die niet-kritiek is, dan beschrijft u een contract dat de klant niet kan ondertekenen. Beantwoordt u vragen over een niet-kritieke dienst volgens de norm voor kritieke diensten, dan kent u mogelijk auditrechten toe en verstrekt u details over serviceniveaus die niemand nodig had.

Als de vragenlijst de classificatie niet vermeldt, stel de vraag dan via de verduidelijkingsprocedure van de klant. Formuleer de vraag zo dat ze met ja of nee kan worden beantwoord, bijvoorbeeld: ondersteunt de dienst onder deze overeenkomst een kritieke of belangrijke functie, of een wezenlijk deel daarvan? Als er vóór de deadline geen antwoord komt, vermeld dan in uw antwoord op welke basis u hebt geantwoord. Elke toezegging wordt vervolgens op die basis geïnterpreteerd.

Een nee betekent niet dat u buiten het toepassingsgebied valt. Een dienst die geen kritieke functie ondersteunt, wordt nog steeds opgenomen in het informatieregister van de klant. Het volgende deel is dus in beide gevallen van toepassing.

Houd uw identificatiegegevens klaar voor het informatieregister

Houd de identificatiecode van uw juridische entiteit bij de hand voordat u begint. DORA verplicht elke financiële entiteit om een informatieregister bij te houden van al haar contractuele regelingen voor ICT-diensten. Uw antwoorden leveren de gegevens voor dat register. Daarom vraagt de vragenlijst wie u bent, welke juridische entiteit het contract sluit, welke dienst u levert en wie die ondersteunt.

Het register omvat meer dan alleen kritieke diensten. Ook voor een kleine, niet-kritieke dienst is een duidelijk identificatieantwoord vereist.

Uitvoeringsverordening (EU) 2024/2956 van de Commissie is de uitvoeringsnorm voor het register. Ze bepaalt hoe u daarin wordt geïdentificeerd:

• Een in de EU gevestigde aanbieder wordt geïdentificeerd aan de hand van zijn LEI of EUID.
• Een buiten de EU gevestigde aanbieder wordt uitsluitend aan de hand van de LEI geïdentificeerd.

Hieruit volgen drie praktische aandachtspunten:

• Gebruik de identificatiecode van de entiteit binnen uw groep die dit contract zal ondertekenen, niet die van de moedermaatschappij.
• Als die entiteit buiten de EU gevestigd is en geen LEI heeft, vraag er dan een aan voordat u antwoordt, want niets anders identificeert haar in het register.
• Houd de geregistreerde naam en identificatiecode van de entiteit identiek in de vragenlijst en het contract. Bij een afwijking moet de klant eerst een gegevensprobleem oplossen voordat die u kan registreren.

Sorteer elke vraag volgens de contractbepaling waarvoor ze input levert

Label elke vraag met de DORA-contractbepaling waarvoor ze input levert en met de persoon die ze goedkeurt. DORA vereist dat de rechten en verplichtingen van beide partijen duidelijk worden toegewezen en schriftelijk worden vastgelegd, met de SLA's in één schriftelijk document. Via de vragenlijst verzamelt uw klant de informatie die in dat document komt. Een antwoord over waar uw gegevens worden opgeslagen, is een eerste versie van de bepaling over opslaglocaties. Een antwoord over ondersteuning bij incidenten is een eerste versie van de bepaling over bijstand.

Een vragenlijst is doorgaans ingedeeld volgens de thema’s van de auteur, niet volgens het contract. De vragen sorteren per bepaling doet drie dingen. Het maakt duidelijk welke antwoorden de juridische afdeling moet zien. Het onderscheidt de voorwaarden die alleen gelden voor een kritieke dienst. En het wijst voor elke toezegging één goedkeurder aan die ervoor instaat.

Een clausuleoverzicht dat u kunt kopiëren

Gebruik één toets voor alles wat niet in het overzicht staat:

• Als een antwoord een cijfer vastlegt, een recht toekent, een plaats noemt of een kostprijs bepaalt, behandel het dan als een contractvoorwaarde. Stuur het naar het team dat die voorwaarde zal moeten naleven.
• Als het alleen beschrijft hoe u vandaag werkt, kan de verantwoordelijke voor het onderwerp het goedkeuren.

In beide gevallen keurt de bidmanager het volledige antwoord definitief goed en draagt die de verantwoordelijkheid voor de verplichtingen die het bedrijf daarmee aangaat.

In SEQUESTO: heeft elke vraag in een SEQUESTO aOS-project een eigen beoordelaar en goedkeurder. Legal keurt de antwoorden goed die contractvoorwaarden worden, en Security keurt de antwoorden over beheersmaatregelen goed voordat de bidmanager zijn definitieve goedkeuring geeft.

Beantwoord vragen over onderaannemers op basis van uw werkelijke keten

Vermeld elke onderaannemer die de dienstverlening daadwerkelijk ondersteunt. Voor een kritieke of belangrijke functie mag uw klant alleen een overeenkomst met u sluiten als u drie dingen kunt doen: al die onderaannemers identificeren, de klant over hen informeren en de klant de informatie verstrekken die nodig is om hen te beoordelen. Die voorwaarde vloeit voort uit de regelgeving inzake onderaanneming. Een vaag antwoord, zoals een verwijzing naar betrouwbare partners, geeft de klant een reden om niet te ondertekenen.

Twee andere regels in dezelfde verordening bepalen wat u naar waarheid kunt zeggen:

• Auditrechten. Wanneer onderaanneming is toegestaan, moet het contract elke onderaannemer verplichten om uw klant en diens toezichthouders dezelfde toegangs-, inspectie- en auditrechten te verlenen als u.
• Wijzigingen. U mag de uitbesteding alleen wezenlijk wijzigen nadat de klant dit heeft goedgekeurd, of nadat een redelijke kennisgevingstermijn zonder bezwaar is verstreken.

Controleer dus wat uw eigen onderaannemingsovereenkomsten toestaan voordat iemand bevestigend antwoordt op een auditvraag. Als de voorwaarden van een hostingprovider bijvoorbeeld geen auditrechten doorgeven, belooft u iets wat u niet kunt waarmaken.

Controleer voor elke onderaannemer op uw lijst drie zaken voordat u antwoordt:

1. Ondersteunt deze onderaannemer de dienst die u deze klant aanbiedt, of een wezenlijk deel daarvan?
2. Geven uw voorwaarden met die partij dezelfde toegangs-, inspectie- en auditrechten door?
3. Kunt u deze klant op de hoogte brengen van een wijziging ervan en wachten op goedkeuring of het uitblijven van bezwaar voordat de wijziging van kracht wordt?

Een nee op de tweede of derde vraag wijst op een lacune die u nu met de juridische afdeling moet bespreken. Dit is geen detail dat u in het antwoord kunt verdoezelen.

Gebruik certificeringen als bewijs, niet als antwoord

Een ISO 27001-certificaat of een SOC 2-rapport ondersteunt uw antwoord, maar volstaat niet als volledig antwoord. Uw klant mag zich niet blijvend uitsluitend baseren op certificeringen of auditrapporten. Die regel is vastgelegd in Gedelegeerde Verordening (EU) 2024/1773 van de Commissie, over het beleid van de financiële entiteit inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen. Dezelfde verordening verplicht de klant om na te gaan of de reikwijdte van een rapport zijn systemen en belangrijkste controles omvat en of het rapport niet verouderd is.

Deze antwoorden wegen zwaar. DORA staat financiële entiteiten alleen toe contracten te sluiten met ICT-aanbieders die voldoen aan passende normen voor informatiebeveiliging. Uw antwoorden over beveiliging bepalen of het contract kan worden ondertekend.

Formuleer elk antwoord op een controle zo dat het ook zonder de bijlage op zichzelf staat:

• Geef aan wat de controle inhoudt en hoe die voor deze dienst wordt uitgevoerd.
• Geef aan waar in het rapport de klant dit kan controleren.
• Vermeld in het antwoord de reikwijdte en datum van het rapport, zodat de klant niet zelf hoeft na te gaan of het van toepassing is.

Twee controles bepalen of een rapport het antwoord ondersteunt of ondermijnt:

• de reikwijdte ervan omvat de dienst, systemen en locaties die deze klant zal gebruiken
• de geldigheidsperiode is actueel en u weet wanneer de volgende aan de beurt is

Als een van beide controles niet slaagt, vermeld dat dan en leg uit hoe u de leemte opvangt. Voeg het rapport niet zomaar toe in de hoop dat het volstaat. Voor een kritieke of belangrijke functie heeft de klant ook onbeperkte auditrechten. Als de klant iets niet aan de hand van het rapport kan verifiëren, kan hij dat ter plaatse doen. Lees meer over het formuleren van antwoorden op beveiligingsvragen die standhouden wanneer het rapport alleen niet volstaat.

In SEQUESTO: u koppelt een rapport, zoals uw SOC 2-rapport, aan het antwoord dat ermee wordt onderbouwd. Wanneer een nieuwe versie wordt geüpload, wordt elk antwoord dat naar de oude versie verwees gemarkeerd voor controle.

Leg u alleen vast op serviceniveaus en incident- en exitvoorwaarden die u kunt naleven

Leg u alleen vast op de serviceniveaus, incidentvoorwaarden en exitvoorwaarden die uw teams al hanteren, want elk daarvan wordt een schriftelijke verplichting waaraan uw klant u kan houden. Soms vraagt een vraag meer dan uw standaardvoorwaarden. Vermeld dat dan in het antwoord en geef aan welke voorwaarde u aanbiedt, in plaats van de hogere waarde te aanvaarden om het antwoord netjes te houden. Tijdens de contractonderhandelingen wordt het verschil vervolgens geregeld, in aanwezigheid van de juridische afdeling.

Serviceniveaus en incidenten

Voor een kritieke of belangrijke functie moeten beschrijvingen van serviceniveaus nauwkeurig genoeg zijn zodat de klant corrigerende maatregelen kan nemen wanneer u een doelstelling niet haalt. Vermeld de cijfers die uw monitoring al meet en leg uit hoe u die meet.

Uw antwoorden over incidenten geven de klant aan binnen welke termijn u contact opneemt. Vermeld de meldingstermijnen uit uw runbook. Laat de commerciële afdeling bevestigen of ondersteuning bij incidenten gratis is of wordt aangerekend tegen een tarief dat u nu kunt vermelden.

Exit en teruggave van gegevens

Elke ICT-overeenkomst moet de toegang tot, het herstel en de teruggave van de gegevens van de klant in een gemakkelijk toegankelijk formaat regelen. Dit geldt als u insolvent wordt, een afwikkelingsprocedure doorloopt, uw activiteiten stopzet of de overeenkomst eindigt. Vermeld welk formaat en welk proces u zou gebruiken. Laat het team voor dienstverlening bevestigen dat uw team dit proces daadwerkelijk heeft uitgevoerd.

Wijzigingen die u moet melden

In het contract moet staan op welke locaties u de dienst verleent en gegevens verwerkt en opslaat. Het moet ook bepalen dat u wijzigingen vooraf meldt. Ook voor wezenlijke wijzigingen in onderaanneming gelden klantspecifieke afspraken, zodat elke klant eigen meldingstermijnen kan hanteren. Leg elke toezegging vast bij de klant aan wie u ze hebt gedaan, in een antwoordenbibliotheek waarin eigenaars en controledatums worden bijgehouden. Zo herhaalt de volgende vragenlijst wat u bent overeengekomen, in plaats van iets nieuws te bedenken.

Checklist voor een antwoord op een DORA-vragenlijst

Doorloop dit voordat u uw definitieve goedkeuring geeft. Elke regel moet van toepassing zijn op het antwoord dat u gaat indienen.

• De klant heeft bevestigd of de dienst een kritieke of belangrijke functie ondersteunt, of in het antwoord staat vermeld op welke basis u hebt geantwoord.
• De LEI van de contracterende entiteit, of haar EUID als ze in de EU is gevestigd, staat in het antwoord en komt overeen met de entiteit die zal ondertekenen.
• Bij elke vraag staan de DORA-bepaling waarvoor ze input levert en een met naam genoemde goedkeurder.
• Elke onderaannemer die de dienstverlening ondersteunt, wordt vermeld en geeft dezelfde toegangs-, inspectie- en auditrechten door.
• Elke vermelde certificering of elk vermeld rapport heeft betrekking op de dienst binnen de scope en is actueel.
• Elke toezegging over serviceniveaus, incidenten, exit en kennisgevingen wordt goedgekeurd door het team dat ervoor instaat en bij deze klant vastgelegd.

Begin bij uw volgende DORA-vragenlijst met de eerste regel. Zolang de scope niet vastligt, is elk ander antwoord gebaseerd op een aanname over het contract waarvoor u schrijft.