2024-2026: de Europese Unie heeft drie belangrijke verordeningen voor weerbaarheid ingevoerd: DORA (financiële sector), NIS2 (uitgebreide essentiële sectoren) en CRA (digitale producten). Elk ervan behandelt de risico's binnen het eigen toepassingsgebied, maar samen omkaderen ze onrechtstreeks de weerbaarheid tegen geopolitieke schokken: een blokkade van Hormuz, door staten gesteunde cyberaanvallen, energietekorten, grootschalige verstoringen van de toeleveringsketen.
Dit artikel brengt nauwkeurig in kaart welke vereisten op uw onderneming van toepassing zijn tijdens een geopolitieke crisis, en hoe ResiPlan elk ervan afdekt.
Europa omkadert weerbaarheid voortaan in al haar vormen
De convergentie van 3 verordeningen
| Verordening | Toepassingsgebied | Datum van inwerkingtreding |
|---|---|---|
| DORA (EU 2022/2554) | Financiële entiteiten + kritieke ICT-dienstverleners | 17 januari 2025 |
| NIS2 (EU 2022/2555) | 18 essentiële + belangrijke sectoren | 17 oktober 2024 (omzetting) |
| CRA (EU 2024/2847) | Producten met digitale elementen | 11 december 2027 |
Alle 3 delen een gemeenschappelijk DNA:
- Risicocartografie, inclusief geopolitieke risico's
- Beheer van externe leveranciers (waaronder energie, ICT, cloud)
- Melding van incidenten binnen strikte termijnen
- Regelmatige weerbaarheidstests
- Zware sancties bij niet-naleving
DORA: hoe het de energiecrisis werkelijk omvat
Artikelen die rechtstreeks geraakt worden door een Hormuzcrisis
Art. 5-9 — Beheer van ICT-risico's
Financiële entiteiten moeten alle ICT-risico's identificeren, beoordelen en aanpakken. Waaronder:
- Risico's van de onderliggende infrastructuur: elektriciteit, netwerk, koeling, brandstof voor generatoren
- Risico's in de toeleveringsketen: uw cloudleverancier die een exploderende elektriciteitsfactuur betaalt → continuïteit in gevaar
- Geopolitieke risico's: Art. 6(1) vermeldt uitdrukkelijk "scenario's die de operationele weerbaarheid beïnvloeden"
Art. 11 — Continuïteits- en herstelplan
Formele verplichting: elke onderneming moet een BCP + DRP onderhouden dat jaarlijks getest wordt en dat het volgende omvat:
- "Matig ernstige maar plausibele" scenario's (een blokkade van Hormuz komt in aanmerking)
- Crisiscommunicatie met klanten, autoriteiten en tegenpartijen
- Afbouw van ICT in gedegradeerde modus
Art. 17 — Melding van ernstige incidenten
Strikte termijnen: ontvangstbevestiging 4u, eerste rapport 72u, eindrapport 30 dagen.
Een ernstig incident omvat:
- Langdurige onbeschikbaarheid van een kritieke of belangrijke functie (CIF) — zelfs door energie!
- Wezenlijke impact op klanten of omzet
- Doorwerking naar andere financiële entiteiten
Art. 26-27 — TLPT (Threat-Led Pen Testing)
Significante entiteiten (alle grote banken, verzekeraars, CCP's, CSD's) moeten om de 3 jaar een door dreigingsinformatie gestuurde penetratietest organiseren die verplicht alle CIF's omvat. Tijdens een geopolitieke crisis kunnen deze tests met voorrang door de ACPR/AMF geauditeerd worden.
Art. 28-30 — Risico van ICT-derden
Elke kritieke ICT-dienstverlener moet:
- Opgenomen zijn in het Register of Information (Art. 28(3))
- Onderworpen worden aan een concentratieanalyse (als meerdere CIF's van dezelfde afhangen: alarm)
- Een gedocumenteerde exitstrategie hebben (Art. 28(7)(j))
- Audits toelaten (ter plaatse, op afstand)
- U op de hoogte brengen van zijn eigen ernstige incidenten
Gevolg voor Hormuz: uw datacenter in Ierland, gevoed door een gascentrale die draait op LNG dat via Hormuz wordt vervoerd → dubbele afhankelijkheid om te signaleren.
Art. 31 — Register of Information (ROI)
Formeel register dat op verzoek moet worden bijgehouden en gedeeld met de ESA's (EBA, ESMA, EIOPA). Gestandaardiseerd formaat volgens de ITS (Implementing Technical Standards). Inhoud:
- Lijst van CIF's
- Lijst van ICT-contracten per CIF
- Onderaannemingsketen (Art. 29)
- Geografische spreiding van de dienstverleners
- Exitstrategieën
Tijdens een geopolitieke crisis zullen de autoriteiten het ROI onmiddellijk opvragen om de blootstelling van de sector te beoordelen.
DORA-sancties
Artikel 50 DORA: tot 1% van de gemiddelde dagelijkse wereldwijde omzet per dag van niet-naleving, met dwingende corrigerende maatregelen en mogelijke verboden op activiteiten.
NIS2: geopolitieke weerbaarheid voor 18 sectoren
Betrokken sectoren
Essentiële sectoren (versterkte verplichtingen):
- Energie (elektriciteit, gas, olie, waterstof)
- Vervoer (lucht, spoor, weg, zee)
- Bankwezen / financiële markten (aanvullend op DORA)
- Gezondheidszorg
- Drinkwater / afvalwater
- Digitale infrastructuur (DNS, IXP, cloud, datacenters)
- Overheidsdiensten
- Ruimtevaart
Belangrijke sectoren (standaardverplichtingen):
- Post- en koeriersdiensten
- Afvalbeheer
- Chemie (inclusief petrochemie!)
- Voeding
- Industrie (medische hulpmiddelen, computers, voertuigen, machines)
- Digitaal (dienstverleners, onlinemarktplaatsen, zoekmachines)
- Onderzoek
De 10 NIS2-maatregelen (Art. 21)
Elke entiteit moet minstens 10 maatregelen invoeren:
- Risicoanalyse + beveiligingsbeleid voor systemen
- Incidentenbehandeling
- Bedrijfscontinuïteit (BCP, herstel, crisisbeheer) ← Hormuz
- Beveiliging van de toeleveringsketen (rechtstreeks + onrechtstreeks) ← Hormuz
- Beveiliging bij aankoop / ontwikkeling / onderhoud
- Beleid voor de beoordeling van de doeltreffendheid
- Cyberhygiëne + opleiding
- Cryptografie
- Personeelsbeveiliging, toegangscontrole
- MFA / beveiligde communicatie / kwetsbaarheden
Art. 23 — Melding van incidenten
Zoals bij DORA: vroegtijdige waarschuwing 24u, melding 72u, eindrapport 1 maand.
Een significant NIS2-incident omvat elke langdurige onbeschikbaarheid van een essentiële dienst, zelfs als die veroorzaakt wordt door een energietekort of een geopolitieke kettingreactie.
NIS2-sancties
Artikel 34: tot €10M of 2% van de wereldwijde omzet (het hoogste bedrag) voor essentiële entiteiten. €7M of 1,4% van de omzet voor belangrijke entiteiten. Persoonlijke aansprakelijkheid van bestuurders is mogelijk (Art. 20).
CRA: productweerbaarheid tegen statelijke cyberaanvallen
Wanneer een Hormuzcrisis uitbreekt, nemen cyberaanvallen explosief toe: statelijke APT's (Iran, Rusland), opportunistische ransomware. De CRA (van toepassing vanaf 11 december 2027) vereist:
- SBOM (Software Bill of Materials): om snel te reageren bij een kritieke CVE
- CVD-portaal (security.txt RFC 9116): ontvangst van kwetsbaarheidsmeldingen
- Beveiligingsupdates gedurende 5 of 15 jaar naargelang de kriticiteit van het product
- Markttoezicht: 15 werkdagen om de autoriteiten te antwoorden
Een product met digitale elementen (PDE) dat onvoldoende gepatcht is tijdens een cybercrisis, wordt een toegangspoort om de hele sector aan te vallen.
👉 De CRA-suite van ResiPlan omvat 6 modules: PDE-register, SBOM, CVD, beveiligingsupdates, Bijlage I, markttoezicht.
Overzichtsmatrix: verplichtingen × Hormuzscenario
| Verplichting | DORA | NIS2 | CRA |
|---|---|---|---|
| CIF identificeren | ✅ Art. 3(22) | Impliciet (essentiële diensten) | ❌ |
| Energieleveranciers in kaart brengen | ✅ Art. 28 | ✅ Art. 21(d) | ❌ |
| Geteste BCP + DRP | ✅ Art. 11 + 25 | ✅ Art. 21(c) | ❌ |
| TLPT / pentest | ✅ Art. 26 | Gedeeltelijk | ❌ |
| Register of Information | ✅ Art. 31 | ❌ | ❌ |
| Melding van incidenten | ✅ 4u/72u/30d | ✅ 24u/72u/1m | ✅ 24u/72u/14d |
| SBOM / digitaal product | ❌ | Impliciet | ✅ |
| Coördinatie met autoriteiten | ACPR/AMF | ANSSI/CSIRT | DGCCRF / FOD Economie |
| Maximale sancties | 1% omzet/dag | 2% omzet of €10M | 2,5% omzet of €15M |
Hoe ResiPlan de 3 verordeningen in één platform afdekt
ResiPlan is het enige Europese platform dat de 3 verordeningen native afdekt:
DORA
- DORA CIF — register Art. 3(22) + AI-onderbouwing + ROI Art. 31
- Dependencies Pro — Art. 28-30 (ICT-derden + concentratie + onderaanneming)
- TLPT-module — Art. 26-27 (opdracht + bevindingen)
- Incidentrespons geïntegreerd met melding binnen 4u/72u/30d
NIS2
- Compliance — de 10 maatregelen van Art. 21 in kaart gebracht
- Mass Notification — crisiscommunicatie via 7 kanalen
- Crisis Gaming — BCP-tabletopoefeningen volgens Art. 21(c)
- Regulatory Watch — automatische opvolging
CRA
- Volledige CRA-suite — 6 native modules
- SBOM (CycloneDX / SPDX) + kruisverwijzing met CVE's
- CVD-portaal + RFC 9116 security.txt
- Zelfbeoordeling Bijlage I
- Antwoord op markttoezicht binnen 15 dagen
Transversaal
- Hosting in Frankrijk (OVH) — soeverein
- AI-module uitschakelbaar voor gevoelige sectoren (defensie, inlichtingen)
- 28 risicomethodologieën geïntegreerd
- Onveranderlijk audittrail met bewaring gedurende 7 jaar
Start uw gratis proefperiode van 14 dagen →
FAQ
Valt een energietekort dat verband houdt met Hormuz onder DORA?
Ja, onrechtstreeks maar duidelijk. Als het tekort een CIF treft (bv. uw datacenters die kritieke systemen hosten), vormt dat een ernstig incident dat volgens Art. 17 binnen 72u gemeld moet worden. Uw exitstrategieën (Art. 28(7)(j)) moeten dit scenario omvatten.
Vereist NIS2 een uitdrukkelijke voorbereiding op een Hormuzcrisis?
NIS2 gebruikt het woord "Hormuz" niet, maar Art. 21(c) vereist continuïteit en Art. 21(d) vereist beveiliging van de toeleveringsketen. ANSSI publiceerde in 2024 een gids die aanbeveelt geopolitieke scenario's uitdrukkelijk in continuïteitsplannen op te nemen.
Valt mijn onderneming met 20 werknemers onder NIS2?
Dat hangt af van de sector en niet alleen van de omvang. Essentiële sectoren zijn in principe van toepassing vanaf 50 werknemers (micro-ondernemingen uitgesloten), maar met uitzonderingen. In de sectoren energie, gezondheidszorg of kritieke infrastructuur gelden veel lagere drempels.
Kunnen DORA-boetes werkelijk 1% van de dagelijkse wereldwijde omzet bereiken?
Ja. Artikel 50 DORA voorziet in deze maximale sanctie voor ernstige en aanhoudende inbreuken. In de praktijk zal de ACPR geleidelijk te werk gaan (ingebrekestelling → dwangsommen → definitieve sanctie). Maar een systemische, nalatige entiteit zou €50-200M aan gecumuleerde sancties kunnen oplopen.
Zijn bestuurders persoonlijk aansprakelijk?
Ja, op grond van NIS2 Art. 20 en DORA Art. 5 (governance). Effectieve bestuurders kunnen persoonlijk gesanctioneerd worden: boetes, tijdelijk verbod op het uitoefenen van hun functie, publicatie van hun naam in beslissingen van de autoriteit.
Moet de continuïteit bij een Hormuzcrisis specifiek getest worden?
Niet noodzakelijk onder die naam. Maar een continuïteitstest moet plausibele geopolitieke scenario's omvatten. DORA Art. 25 vermeldt "scenario's die een ernstige verstoring omvatten". Een auditor zal in 2025-2026 vragen: "Hebt u de beschikbaarheid van uw diensten getest tegen een grote verstoring van de energiesector?"
Hoe vereenvoudigt ResiPlan de compliance?
- Native kruismapping: een maatregel die eenmaal gedocumenteerd wordt, voldoet tegelijk aan DORA + NIS2 + ISO 22301 + COSO
- Vooraf opgestelde sjablonen: BCP, DRP, incidentrespons, registers
- ResiPlan AI voor onderbouwingen van kriticiteit, incidentrapporten, geleerde lessen (RETEX)
- Crisis Gaming-tests gevalideerd door auditors
- Geautomatiseerde rapportering aan ACPR/AMF/ANSSI