DORA: digitale operationele weerbaarheid voor crypto.

DORA verplicht financiële instellingen, waaronder onder MiCA vergunde cryptodienstverleners, om een raamwerk voor ICT-risicobeheer op te zetten. Dat omvat het identificeren van kwetsbaarheden, het testen van digitale weerbaarheid, het melden van ernstige ICT-incidenten aan toezichthouders, en het beheersen van risico's die voortkomen uit uitbesteding aan externe technologieleveranciers zoals cloudproviders.

Een belangrijk onderdeel is dat instellingen periodiek moeten testen of hun systemen bestand zijn tegen aanvallen en storingen, met verplichte, geavanceerdere tests voor de grootste en meest kritieke partijen. Ook contracten met kritieke externe ICT-leveranciers moeten aan specifieke eisen voldoen, zodat een storing bij een leverancier niet ongecontroleerd doorwerkt naar de eindgebruiker.

Voor de meeste gebruikers is DORA onzichtbare achtergrondregelgeving: je ziet geen aparte 'DORA-melding' op een platform. Wel merk je de effecten indirect, bijvoorbeeld doordat vergunde aanbieders duidelijker communiceren bij storingen, met tijdige updates over de oorzaak en verwachte hersteltijd, in plaats van een lange stilte.

Ook kan DORA ervoor zorgen dat een platform bepaalde diensten tijdelijk uitschakelt of vertraagt bij een vermoeden van een ernstig beveiligingsincident, juist omdat het verplicht is zorgvuldig te reageren en het incident te onderzoeken en te melden voordat de dienst weer volledig wordt hervat.

DORA en MiCA vullen elkaar aan: MiCA regelt onder meer wat er gebeurt als klantgeld verloren gaat door nalatigheid, terwijl DORA vooral gericht is op het voorkómen van storingen en cyberincidenten die tot zulke verliezen kunnen leiden. Een aanbieder die aan beide verordeningen voldoet, is dus zowel gedragsmatig als technisch aan strengere eisen gebonden.

Voor gebruikers is het praktische gevolg dat platformen die aan DORA moeten voldoen, doorgaans strengere interne procedures hebben voor toegangsbeheer, back-ups en noodplannen. Dat vermindert het risico op langdurige uitval of verlies van gegevens, al blijft ook hier gelden dat geen enkel systeem volledig onfeilbaar is.

DORA is breed van opzet en raakt niet alleen cryptodienstverleners, maar ook banken, beleggingsondernemingen, betaalinstellingen en, onder voorwaarden, hun kritieke externe ICT-leveranciers. Voor de cryptosector betekent dit dat zowel de dienstverlener zelf als de partijen waarop die dienstverlener technisch leunt, aan bepaalde weerbaarheidseisen moeten voldoen.