Kritieke of belangrijke functies bepalen: de basis van uw uitbestedingsbeleid
3 min lezen
Bijna elke verplichting voor ICT-leveranciers onder de Digital Operational Resilience Act (DORA), Verordening (EU) 2022/2554, wordt zwaarder zodra een dienst een kritieke of belangrijke functie ondersteunt. Dan gelden extra contracteisen, een exitplan en strengere regels voor onderaanneming. De vraag welke functies kritiek of belangrijk zijn, is daarom de basis van uw uitbestedingsbeleid. Dit artikel laat zien hoe u die vraag beantwoordt.
Wat is een kritieke of belangrijke functie?
DORA definieert dit begrip in artikel 3. Kort gezegd gaat het om een functie waarvan een verstoring wezenlijke gevolgen zou hebben voor:
- de financiële prestaties van de instelling;
- de soliditeit of continuïteit van haar diensten en activiteiten;
- het blijven voldoen aan de voorwaarden van haar vergunning of aan andere verplichtingen uit het financiële recht.
Het gaat dus om de functie van de instelling, niet om de ICT-dienst zelf. Een ICT-dienst is relevant als die dienst zo’n functie ondersteunt.
Stap 1: maak een functie-overzicht
Begin bij de bedrijfsfuncties, niet bij de leveranciers. Denk aan klantacceptatie, betalingsverkeer, kredietverlening, beleggingsadministratie, financiële rapportage en rapportages aan de toezichthouder. Gebruik een indeling die al bestaat, bijvoorbeeld uit de procesarchitectuur of de bedrijfscontinuïteitsanalyse. Houd het overzichtelijk: liever twintig functies die iedereen herkent dan tweehonderd processtappen.
Stap 2: beoordeel de impact van verstoring
Beoordeel per functie wat er gebeurt als die een dag, een week of langer uitvalt of fouten maakt. Gebruik vaste criteria, bijvoorbeeld:
- gevolgen voor klanten en de dienstverlening;
- financiële schade;
- gevolgen voor de naleving van wet- en regelgeving;
- reputatie;
- de tijd die nodig is om de functie te herstellen of over te zetten.
Leg per criterium vast wat “wezenlijk” betekent voor uw organisatie. Zonder die drempel wordt de beoordeling een kwestie van gevoel.
Stap 3: koppel ICT-diensten aan functies
Bepaal per ICT-dienst welke functies ermee worden ondersteund. Eén dienst kan meerdere functies ondersteunen. Een dienst die een kritieke of belangrijke functie ondersteunt, valt onder de zwaardere regels, ook als het contract klein is. Leg deze koppeling ook vast in uw informatieregister, want daar vraagt de toezichthouder om.
Stap 4: leg de uitkomst vast en herhaal
Leg per functie de beoordeling, de onderbouwing en de datum vast. Laat het resultaat vaststellen door het verantwoordelijke managementniveau. Herhaal de beoordeling periodiek en bij grote wijzigingen, zoals een nieuw product, een overname of een andere leverancier.
Wat volgt uit de kwalificatie?
| Onderwerp | Overige functies | Kritieke of belangrijke functies |
|---|---|---|
| Contracteisen (artikel 30) | Lid 2 | Lid 2 en lid 3 |
| Exitplan | Naar risico | Gedocumenteerd en getest |
| Onderaanneming | Algemene afspraken | Regels uit Gedelegeerde Verordening (EU) 2025/532 |
| Monitoring | Naar risico | Intensief, met audit- en inspectierechten |
Veelgemaakte fouten
- Beoordelen per leverancier in plaats van per functie. Dan mist u diensten van kleine leveranciers die toch een kernfunctie raken.
- Alles kritiek verklaren. Dat lijkt veilig, maar leidt tot onwerkbare contracteisen en zware monitoring zonder onderscheid.
- Geen relatie met bedrijfscontinuïteit. De functie-indeling moet aansluiten op uw continuïteitsplannen en uw incidentclassificatie.
- Eenmalig beoordelen. Functies en afhankelijkheden veranderen. Een beoordeling van twee jaar oud zegt weinig.
Rol van inkoop
Inkoop staat aan het begin van elke nieuwe ICT-dienst. Neem de vraag “welke functie ondersteunt deze dienst, en is die kritiek of belangrijk?” daarom op in het intakeformulier. Dan weet u voordat u de markt opgaat welke eisen in de aanbestedingsstukken en het contract horen.
Dit artikel bevat algemene informatie en is geen juridisch advies voor uw specifieke situatie.
Hulp nodig?
Ad Rem Consultants helpt bij het opstellen van een functie-overzicht, de onderbouwing van kritieke of belangrijke functies en de vertaling naar uw inkoop- en uitbestedingsbeleid. Wilt u hierover sparren? neem contact op.
