DORA op Azure
DORA op Azure: de vier pijlers, en het bewijs dat elke pijler vraagt
DORA is bij ontwerp een doorlopend regime: continu ICT-risicobeheer, verplichte weerbaarheidstesten en een derde-partijenregister dat actueel moet blijven. Deze gids legt uit wat elke pijler vraagt van een Azure-omgeving, en welk deel van dat bewijs Cloudivence, voorheen Governator, al leest. De DORA-mapping zelf staat op de roadmap van Cloudivence.
Wat DORA daadwerkelijk eist van uw Azure-omgeving
De Digital Operational Resilience Act (Verordening (EU) 2022/2554) werd op 17 januari 2025 van toepassing voor financiële entiteiten in de EU: banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, dienstverleners voor cryptoactiva en nog veel meer. In tegenstelling tot NIS2, dat breed van opzet is, is DORA sectorspecifiek en uitdrukkelijk voorschrijvend. De wet beschrijft vier pijlers die elke in-scope entiteit moet aantonen, plus een vijfde gebied rond informatie-uitwisseling.
Op Microsoft Azure zijn de onderliggende mogelijkheden aanwezig: Defender for Cloud, Sentinel, Azure Backup, Site Recovery, Lighthouse, en de cost- en activity-logs. Wat standaard niet wordt geleverd, is de bewijslaag die in voor de toezichthouder leesbare vorm aantoont dat de vier DORA-pijlers continu functioneren en dat het register van derden actueel is.
Cloudivence koppelt bevindingen nog niet aan DORA-artikelen; dat staat op de roadmap, samen met het register van ICT-derden en het incidentspoor. Het leest wel al een deel van het Azure-bewijs waarop de eerste en de vierde pijler steunen, hieronder per pijler weergegeven.
De vier pijlers op Azure
Elke pijler vraagt zijn eigen Azure-bewijs. Per pijler toont het eerste blok wat de pijler vraagt, en het tweede wat Cloudivence vandaag leest.
ICT-risicobeheerframework
Een gedocumenteerd, door het bestuur goedgekeurd framework dat controls koppelt aan geïdentificeerde risico's, met periodieke review en aantoonbaar onderhoud.
Welk Azure-bewijs de pijler vraagt
Defender for Cloud regulatory dashboard, Azure Policy compliance-status, exemption-register met reviewdata, Secure Score-trend.
Wat Cloudivence vandaag leest
Defender-aanbevelingen, Azure Policy-compliance en de secure score worden gelezen, en uitzonderingen op controls hebben een vervaldatum. Bevindingen worden nog niet aan DORA-artikelen gekoppeld.
Beheer en melding van ICT-incidenten
Classificatie, melding en post-incident analyse van majeure ICT-incidenten binnen de door de toezichthouder gedefinieerde termijnen.
Welk Azure-bewijs de pijler vraagt
Sentinel-incidenten met tijdlijn-metadata, bewijs van Defender alert-workflow, runbook-attestaties, register van post-incident reports.
Wat Cloudivence vandaag leest
Niet gedekt. Cloudivence leest geen Sentinel-incidenten of incidenttijdlijnen.
Digitale operationele weerbaarheidstesten
Jaarlijkse scenariotesten voor in-scope entiteiten, plus Threat-Led Penetration Testing (TLPT) om de drie jaar voor significante entiteiten.
Welk Azure-bewijs de pijler vraagt
Attestaties van testplannen, scenariodekkingsmatrix, bewijs van corrigerende acties, gedateerde hertest-resultaten.
Wat Cloudivence vandaag leest
Attestaties met een bewijslink kunnen per control een test registreren. Er is geen DORA-register van testen.
ICT-risicobeheer van derden
Een onderhouden register van alle ICT-overeenkomsten met derden, inclusief criticaliteitsbeoordeling, contractuele dekking en exit-strategieën voor kritieke leveranciers.
Welk Azure-bewijs de pijler vraagt
Service principal-inventaris gekoppeld aan derde-partijenleveranciers, RBAC-scope per leverancier, Lighthouse-delegatie-register, contractmetadata.
Wat Cloudivence vandaag leest
Service principals met bevoorrechte rollen worden opgelijst, met hun scope. Er is geen register van ICT-derden en geen Lighthouse-inventaris.
Waarom DORA-bewijs actueel moet blijven
DORA is in de regelgeving zelf opgevat als een doorlopend regime. Het register van derden mag niet twaalf maanden achterop hinken. Weerbaarheidstesten zijn een terugkerende verplichting, geen project. Incidentmeldingen worden uitgelokt door gebeurtenissen, niet door de auditkalender. Een model waarin u om de twaalf maanden een readiness assessment laat uitvoeren, een nieuwe PDF krijgt en daartussen drift accepteert, past structureel slecht bij deze regelgeving.
Tooling die het bewijs tussen twee cycli bewaart, past beter bij die vorm dan een jaarlijkse momentopname, en dat is de richting die Cloudivence uitgaat. Vandaag dekt het de delen die hierboven per pijler vermeld staan. Het register van derden, het register van weerbaarheidstesten en de incidenttijdlijnen maken nog geen deel uit van het product, en GenioCT behandelt ze als consultancywerk.
Wat Microsoft wel en niet biedt
Wat Microsoft wel biedt
- ✓Defender for Cloud en Secure Score voor identificatie van ICT-risico's
- ✓Sentinel voor incidentdetectie en tijdlijngegevens
- ✓Azure Backup, Site Recovery en zone-/regio-redundantieprimitieven
- ✓Activity Log en audit-trail voor wijzigingen op resourceniveau
- ✓Lighthouse-delegatie-telemetrie voor cross-tenant toegang
Wat DORA daarbovenop nog vraagt
- ✓Een koppeling per bevinding aan de DORA-artikelen (5–14, 17–23, 24–27, 28–44)
- ✓Een onderhouden register van ICT-derden gekoppeld aan de werkelijke Azure-toegang
- ✓Een register van weerbaarheidstesten met gedateerde attestaties en corrigerende acties
- ✓Incidentclassificatie-metadata afgestemd op de DORA-meldingstermijnen
- ✓Een pre-audit export met executive summary en bewijsmatrix per artikel
- ✓Een continu-assurance dashboard dat doorlopende werking aantoont, niet een momentopname
Het regulatory dashboard van Defender bevat tegenwoordig een DORA-initiatief, dat een nuttig vertrekpunt is voor de controls in Artikelen 5–14. Het onderhoudt echter niet het register van derden, het spoor van weerbaarheidstesten of de incidentclassificatie-metadata die DORA verwacht. Die lagen zijn vandaag consultancywerk bij GenioCT. DORA-mapping in Cloudivence staat op de roadmap.
Waar begint u?
De meeste financiële entiteiten met Azure-workloads starten met een DORA-readiness assessment: GenioCT brengt de vier pijlers in beeld, namelijk het bewijs van ICT-risicobeheer, de incidentmeldingen, het spoor van weerbaarheidstesten en het register van derden, en Cloudivence levert het Azure-bewijs dat het vandaag leest. Het assessment levert een afgebakende roadmap en een bewijspakket op een gegeven moment.
Begin met een Azure Health Check
Niet zeker waar te beginnen? Een snelle architectuurreview geeft u een helder beeld. Vrijblijvend.
- ✓ Risicoscorecard voor identiteit, netwerk, governance en beveiliging
- ✓ Top 10 problemen gerangschikt op impact en inspanning
- ✓ 30-60-90 dagen roadmap met quick wins