Geconfronteerd met de inwerkingtreding van DORA en het vooruitzicht van een inspectie door de ACPR in 2026, lanceerde een Franse regionale bank een versneld complianceprogramma. In vier maanden tijd verhoogde de instelling haar compliancegraad van 41% naar 87%, met ResiPlan als instrument om de vijf pijlers van de verordening te coördineren.
Context
De organisatie is een Franse regionale coöperatieve bank die actief is in het zuidwesten:
- 1.500 medewerkers
- 320.000 particuliere en professionele klanten
- 98 kantoren en 3 operationele centra
- Hybride informatiesysteem (soevereine core banking, cloudgebaseerde bedrijfsapplicaties)
- 250 ICT-leveranciers, waarvan 18 kritieke (publieke cloud, leverancier van core banking, gedeeld rekencentrum)
In oktober 2025 schatte de risicobeheerfunctie de DORA-compliance op 41%, met aanzienlijke lacunes op het vlak van het informatieregister, de classificatie van incidenten en de exitstrategie voor kritieke leveranciers.
Uitdaging
De bank moest tegelijk aan drie randvoorwaarden voldoen:
- Tijdlijn: vier maanden vóór de ACPR-missie, tweemaal sneller dan het gemiddelde tempo in de sector
- Transversale scope: 12 afdelingen betrokken, van juridische zaken en aankoop tot IT
- Budget: een begrensde enveloppe van € 3,2 miljoen, voor tooling, adviesondersteuning en opleiding
De oorspronkelijke aanpak op basis van spreadsheets en SharePoint bleek al snel onbeheersbaar voor 250 leveranciers en meer dan 800 vereisten die voortvloeien uit de RTS.
Aanpak in vier fasen
Fase 1: fundament en mapping (maand 1)
ResiPlan werd uitgerold over de CMDB-scope (ICT-assets en kritieke functies). Import van 2.400 assets uit de bestaande CMDB, aanvulling door de eigenaars, koppeling aan 54 bedrijfsprocessen. Opleiding van 22 afdelingscoördinatoren.
Fase 2: derde partijen en contracten (maand 2)
Invullen van het informatieregister voor 250 ICT-leveranciers, in het ESA-formaat. De aankoopteams gebruikten ResiPlan-sjablonen om ontbrekende DORA-clausules bij leveranciers op te vragen. De 18 kritieke leveranciers ondergingen een concentratieanalyse en kregen een formele exitstrategie.
Fase 3: incidenten en testen (maand 3)
Uitrol van de engine voor incidentclassificatie volgens de zeven ESA-criteria, met drempels afgestemd op de omvang van de bank. Koppeling met de bestaande SIEM voor geautomatiseerde invoer. Jaarlijks programma voor veerkrachttesten gedocumenteerd, inclusief een eerste multifunctionele tabletop-oefening van vier uur rond een ransomwarescenario gericht op de core banking.
Fase 4: rapportering en sturing (maand 4)
Geautomatiseerde generatie van het informatieregister in ESA-formaat, beoordeeld door het ExCo en gevalideerd door de raad van bestuur. DORA-dashboards gedeeld met risicobeheer en interne audit. Gesimuleerde incidentmelding in reële omstandigheden om de workflow 4u / 72u / 1 maand te testen.
Resultaten
| Indicator | Vooraf | Na 4 maanden |
|---|---|---|
| DORA-compliancegraad | 41% | 87% |
| Gedocumenteerde ICT-leveranciers | 72% gedeeltelijk | 100% |
| DORA-clausules in kritieke contracten | 6 / 18 | 17 / 18 |
| Classificatietijd voor grote incidenten | niet gemeten | < 2u |
| Uitgevoerde veerkrachtoefeningen | 0 in 2025 | 3 in 4 maanden |
| Verbruikt budget | — | € 2,8 mln / € 3,2 mln |
De ACPR-missie, uitgevoerd in april 2026, bevestigde de adequaatheid van het kader en formuleerde drie kleine aanbevelingen over de formalisering van de jaarlijkse herziening en de versterking van het meerjarige testplan.
Geleerde lessen
Wat werkte:
- Rechtstreekse sponsoring door de CEO met tweewekelijkse opvolgmomenten
- Eén projectleider met transversale bevoegdheid
- De keuze voor één geïntegreerd platform in plaats van een samenraapsel van losse tools
- Het gebruik van vooraf geconfigureerde DORA-sjablonen om tijd te winnen
- Aankoop betrekken vanaf de eerste maand
Wat u vooraf moet voorbereiden:
- Een zuivere CMDB-inventaris: de kwaliteit van de initiële data bepaalt 60% van de doorlooptijd
- Geformaliseerde governance voor derde partijen vóór het invullen van het register
- Beschikbaarheid van de business om de RTO's en RPO's uit de BIA te valideren
- Een budgetenveloppe van 15% voor verandermanagement
Meer weten
ResiPlan ondersteunt banken, verzekeraars en beleggingsondernemingen in hun DORA-traject. Het platform dekt de vijf pijlers, genereert ESA-rapporten in het vereiste formaat en integreert met bestaande SIEM- en CMDB-systemen.
- Oplossing voor DORA / NIS2-compliance
- DORA-gids 2026: verplichtingen voor financiële entiteiten
- Spreek met een expert
- Prijzen en demo
Casestudy geanonimiseerd met toestemming van de klant. Bepaalde cijfers zijn afgerond om de vertrouwelijkheid te waarborgen.