IDRS als bouwsteen voor samenhangende IT-weerbaarheidsrapportage

Eén gedeelde rapportagebasis voor DORA, NIS2 en de Wwke geeft bestuur en toezicht scherper zicht op digitale risico’s.

In het kort:

• DORA, NIS2 en de Wwke hebben verschillende toepassingsgebieden en verplichtingen. Waar informatiebehoeften overlappen, kan een gezamenlijke rapportagebasis dubbel werk beperken.
• IDRS biedt één gemeenschappelijke basis, met addenda voor specifieke wettelijke eisen.
• Een gestandaardiseerde rapportage geeft bestuurders en commissarissen een helder en vergelijkbaar beeld van IT-risico’s en helpt administratieve lasten te verminderen.
• Eén raamwerk biedt ook strategische kansen: betere besluitvorming, eerder zicht op risico's en een goede voorbereiding op mogelijke disruptie.

Organisaties opereren in een NAVI-wereld (Nonlinear, Accelerated, Volatile, Interconnected): ontwikkelingen verlopen niet lineair, gaan steeds sneller, zijn grillig en hangen sterk met elkaar samen. Een storing bij één leverancier of een cyberaanval kan via de keten in korte tijd doorwerken in de hele organisatie, en een kleine verstoring kan onevenredig grote gevolgen hebben. In zo'n omgeving kunnen digitale risico’s niet als los onderdeel worden behandeld, apart van strategie, operatie en financiën. Ze raken aan de continuïteit van de dienstverlening, aan het vertrouwen van klanten en aan strategische keuzes.

Eén basis voor DORA, NIS2 en de Wwke

IDRS maakt specifieke wet- en regelgeving niet overbodig. DORA bevat bijvoorbeeld eisen die specifiek gelden voor de financiële sector, terwijl NIS2 zich richt op een bredere groep organisaties en sectoren. Daarom staat de gemeenschappelijke basis centraal en worden specifieke wettelijke eisen daar als aanvulling aan gekoppeld.

• DORA
  NOREA heeft samen met de betrokken toezichthouders gewerkt aan een DORA-addendum bij IDRS. Daarmee wordt de bestaande standaard aangevuld met de vereisten die vanuit DORA relevant zijn voor financiële instellingen.

• NIS2
  Met de komst van de Nederlandse Cyberbeveiligingswet wordt digitale weerbaarheid voor een veel grotere groep organisaties een expliciet aandachtspunt. Samen met de toezichthouder wordt er gewerkt aan een addendum en wordt voorkomen dat organisaties vanaf nul een nieuw rapportageproces moeten inrichten.

• Wwke
  Informatie over digitale afhankelijkheden, continuïteitsmaatregelen en incidenten kan aansluiten op rapportages voor DORA of NIS2 en kan daarom langs dezelfde lijnen worden ingericht. Voor de Wwke is daarnaast informatie nodig over onder meer fysieke beveiliging, locaties, personele beschikbaarheid en niet-ICT-afhankelijkheden.

Het uitgangspunt is eenvoudig: niet afzonderlijke compliance-initiatieven naast elkaar, maar één samenhangend raamwerk met specifieke aanvullingen waar dat nodig is, gericht op meer inzicht voor bestuurders om de juiste strategische keuzes te maken.

Waarom versnipperde rapportage een risico is

Efficiëntie is maar één reden voor een geïntegreerde aanpak. Belangrijker is het overzicht. De raad van bestuur en de raad van commissarissen ontvangen informatie over IT-risico’s vaak op verschillende momenten en in verschillende vormen, en elk wettelijk kader voegt daar eigen rapportages en risicoanalyses aan toe. Een commissaris die bij meerdere organisaties toezicht houdt, krijgt bovendien telkens een andere opbouw voorgelegd, ook als de risico's vergelijkbaar zijn. Zo ontbreekt een gemeenschappelijke taal om het totaalbeeld te beoordelen. Een gestandaardiseerde rapportage kan dat veranderen.

Digitale risico’s horen in de strategie

IDRS kan informatie over digitale beheersing structureren en de verantwoording daarover ondersteunen. Tegelijk helpt het om digitale risico’s in samenhang te bekijken en mee te wegen in strategische besluiten. Denk aan vragen als:

• Welke digitale risico’s zijn voor de organisatie het meest relevant?
• Welke kwetsbaarheden vragen als eerste om maatregelen?
• Welke kritieke leveranciers spelen een rol in de keten?
• Welke afhankelijkheden van systemen en diensten vormen het grootste risico voor de continuïteit van kritieke dienstverlening?

Wie deze vragen consistent en volledig beantwoordt, geeft bestuur en toezicht zicht op de werkelijke situatie. Worden zwakke plekken niet of maar gedeeltelijk gerapporteerd, dan ontbreekt dat zicht.

Strategische kansen van één raamwerk

Voor bestuurders betekent dit een verschuiving: van losse complianceverplichtingen naar één geïntegreerd weerbaarheidsprogramma. Dat heeft concrete voordelen:

• Betere strategische besluitvorming
  Digitale risico’s worden in samenhang met andere risico’s meegewogen in strategische keuzes, in plaats van als apart, technisch onderwerp.

• Eén gemeenschappelijke taal
  Bestuur, commissarissen, IT en toezichthouders kijken naar hetzelfde beeld, dat bovendien onderling vergelijkbaar is.

• Eerder zicht op risico’s
  Zwakke plekken, kritieke leveranciers en afhankelijkheden komen eerder in beeld. Zo kunnen organisaties gerichter ingrijpen.

• Efficiënter werken
  Dezelfde informatie hoeft niet meerdere keren verzameld te worden. Dat scheelt dubbel werk en administratieve lasten.

• Voorbereid op nieuwe regels
  Organisaties hoeven bij nieuwe regelgeving niet opnieuw dezelfde fundamentele vragen te beantwoorden. Een addendum bij het bestaande raamwerk volstaat.

Minder administratieve lasten staat ook politiek op de agenda

Naast digitale weerbaarheid speelt ook het terugdringen van administratieve lasten een belangrijke rol. Die ambitie heeft inmiddels een politiek-bestuurlijke dimensie gekregen. De Tweede Kamer heeft een motie aangenomen waarin de regering wordt gevraagd te onderzoeken hoe IDRS kan bijdragen aan zowel een weerbaarder Nederland als minder administratieve lasten.

Dat onderzoek is inmiddels uitgevoerd door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Economische Zaken. De resultaten worden voorzien van een appreciatie richting de Tweede Kamer. Daarmee ligt de vraag op tafel welke rol IDRS uiteindelijk kan krijgen binnen de Nederlandse regelgeving en de publieke sector.

Ook voor overheidsorganisaties kan standaardisatie relevant worden. Het Forum Standaardisatie adviseert de overheid over het gebruik van standaarden. Een eventuele positieve beoordeling van IDRS kan gevolgen hebben voor de manier waarop overheidsorganisaties over digitale weerbaarheid rapporteren.

Van losse eilandjes naar samenhang

De ontwikkeling van IDRS is nog niet af. De verschillende addenda worden verder ontwikkeld en beoordeeld, en ook de mogelijke toepassing binnen de overheid en het bredere bedrijfsleven moet zich nog verder uitkristalliseren.

De richting is wel duidelijk. Een storing bij een leverancier of een cyberaanval houdt zich niet aan de grenzen van één wet of afdeling, en de rapportage zou dat ook niet moeten doen. Wie DORA, NIS2 en andere vereisten als afzonderlijke trajecten behandelt, verzamelt dezelfde informatie meerdere keren en raakt het totaalbeeld kwijt. Een geïntegreerde aanpak verbindt compliance, risicomanagement, strategie en bestuur met elkaar.

Zo kan één gestandaardiseerde rapportage uiteindelijk meer worden dan een verantwoordingsinstrument: de basis voor één gesprek tussen bestuurders, commissarissen, IT-professionals en toezichthouders over de digitale weerbaarheid van organisaties.