Blog door Pakaros

De komst van DORA en NIS2 verandert de spelregels voor cybersecurity in Nederland en Europa. Niet alleen voor banken en ziekenhuizen, maar ook voor accountantskantoren die voor die organisaties werken.

Wat verandert er precies?
DORA (Digital Operational Resilience Act) is per 17 januari 2025 van kracht en richt zich op financiële entiteiten: banken, verzekeraars, beleggingsinstellingen en betalingsinstellingen. NIS2 geldt voor organisaties in sectoren die de EU aanmerkt als essentieel of belangrijk, zoals energie, transport, gezondheidszorg en digitale infrastructuur. 

Accountantskantoren staan in de meeste gevallen niet direct op die lijst. Maar wie denkt daarmee buiten schot te zijn, vergist zich.

De indirecte druk is reëel
Zowel DORA als NIS2 schrijven voor dat organisaties hun toeleveranciers en ketenpartners moeten beoordelen op digitale weerbaarheid. Een bank die onder DORA valt, is verplicht te controleren of haar externe accountant voldoende beveiligd is. Een zorginstelling onder NIS2 moet hetzelfde doen voor haar administratie- of accountantskantoor.

Dat betekent: ook als jij als kantoor niet direct in scope bent, kun je op korte termijn worden aangesproken door klanten die dat wel zijn. En als je dat gesprek niet kunt voeren, loop je het risico de opdracht kwijt te raken.

Het echte probleem: geen grip op de eigen omgeving
Veel kantoren hebben de afgelopen jaren geïnvesteerd in losse beveiligingstools. Een endpoint oplossing hier, een e-mailfilter daar, misschien een firewall en een back-up. Maar wie ziet het totaalplaatje? Wie weet wat er op dit moment in het netwerk gebeurt? En wie kan dat aantonen aan een klant of toezichthouder die ernaar vraagt?

Dat is precies het gat dat nieuwe wetgeving blootlegt. Niet een gebrek aan tools, maar een gebrek aan overzicht en controle. NIS2 en DORA vragen om aantoonbare weerbaarheid: bewijs dat je weet wat er speelt, dat je erop handelt, en dat je kunt laten zien wanneer en hoe dat is gebeurd.

Grip krijgen op je omgeving: waar te beginnen?
De eerste stap is inzicht. Breng in kaart welke systemen en data je beheert, wie er toegang toe heeft, en welke signalen je ontvangt vanuit je huidige beveiligingstools. Veel kantoren ontdekken dan dat ze meer data hebben dan ze kunnen verwerken, maar minder overzicht dan ze dachten. 

De tweede stap is coördinatie. Losse tools moeten worden verbonden, signalen moeten worden verrijkt met context, en er moet iemand zijn die handelt als er iets misgaat. Niet morgen, maar nu. 

De derde stap is aantoonbaarheid. Elke actie die je neemt bij een incident moet worden vastgelegd. Niet alleen voor intern gebruik, maar als bewijs richting klanten, partners en toezichthouders.

Van reactief naar in control
Kantoren die deze stappen zetten, merken dat het niet alleen gaat om compliance. Het gaat om vertrouwen. Klanten die zelf onder druk staan vanuit NIS2 of DORA, kiezen bewust voor partners die kunnen aantonen dat ze hun zaken op orde hebben.

PAKAROS helpt organisaties, waaronder kantoren die werken voor NIS2- en DORA-plichtige klanten, om precies dit te realiseren. Als managed Security Coordination Platform verbinden we bestaande beveiligingsoplossingen, brengen we context aan in de signalen die ze genereren, en zorgt ons Security Operations Centre ervoor dat er 24/7 iemand meekijkt en ingrijpt als het nodig is. Het resultaat: meer overzicht, snellere respons, en een audittrail die standhoudt.

Nieuwe wetgeving vraagt om een nieuw antwoord. Dat antwoord begint met grip op je eigen omgeving.