AI-contractanalyse: detectie van lacunes voor DORA, NIS2 en CRA
Upload een contract met een leverancier, cloudprovider of kritieke derde partij. In minder dan 2 minuten identificeert de AI ontbrekende clausules, berekent ze een conformiteitsscore per regelgevend kader en stelt ze een geprioriteerd herstelplan op.
Hoe het werkt
Drie stappen, een bruikbaar rapport voor uw directie.
- 01
Upload het contract
PDF, DOCX of platte tekst. Tot 100.000 tekens per document. Het bestand blijft versleuteld en gehost in de EU — nooit verzonden naar een LLM buiten de jurisdictie.
- 02
AI analyseert aan de hand van 5 kaders
ResiPlan AI (EU-API) overloopt het contract clausule per clausule en vergelijkt met de vereisten van DORA, NIS2, CRA, ISO 22301 en AVG. Elke clausule wordt geclassificeerd: conform, gedeeltelijk, niet-conform, ontbrekend.
- 03
Bruikbaar gaprapport
Score per kader (0-100), risiconiveau, lijst van ontbrekende clausules en aanbevelingen voor de redactie. PDF-export voor de juridische dienst en de directie.
Gecontroleerde clausules per regelgevend kader
Elk contract wordt getoetst aan vijf kaders. De AI identificeert de specifieke vereisten die op basis van de aard van het contract moeten voorkomen en signaleert de ontbrekende.
NIS2 — Cyberbeveiligingsmaatregelen
- Melding van incidenten (vroegtijdige waarschuwing binnen 24 u + melding binnen 72 u + eindverslag na 1 maand)
- Beveiliging van de toeleveringsketen — doorgeven van de NIS2-maatregelen aan onderaannemers
- Verplichtingen inzake cryptografie, versleuteling en MFA
- Cyberhygiëne en verplichte bewustmakingsopleiding
- Beveiligingsbeleid voor het gebruik van informatiesystemen
- Bewijs van doeltreffendheid — audit- en testrechten
DORA — Digitale operationele weerbaarheid
- Clausules voor het beheer van ICT-risico's van derde partijen (art. 28–30)
- Verplichtingen tot gegevensdeling voor het informatieregister (RoI)
- Medewerking aan dreigingsgestuurde penetratietests (TLPT, art. 26–27)
- Exitstrategie voor kritieke ICT-aanbieders (art. 28.8)
- Transparantie van en toezicht op de keten van onderaannemers
- Classificatie van incidenten volgens de RTS van de ESA's (criteria voor grote ICT-incidenten)
CRA — Cyber Resilience Act
- Verklaring van de scope van producten met digitale elementen (PDE)
- Verplichtingen secure-by-default en secure-by-design
- CE-markering en EU-conformiteitsverklaring
- Behandeling van kwetsbaarheden — gecoördineerde openbaarmaking + beschikbaarheid van een SBOM
- Periode van beveiligingsupdates (minimaal 5 jaar — 15 jaar voor bepaalde PDE's)
- Melding van actief uitgebuite kwetsbaarheden aan ENISA (24 u / 72 u / 14 dagen)
- Procedure voor conformiteitsbeoordeling (zelfbeoordeling vs aangemelde instantie)
- Aansprakelijkheid van de fabrikant bij non-conformiteit
ISO 22301 — Bedrijfscontinuïteit
- RTO / RPO / MBCO expliciet vermeld en meetbaar
- Uitwijklocaties, redundantie en failovercapaciteit
- Verplichtingen voor continuïteitstests en -oefeningen (frequentie, scope, bewijs)
- Exit- en omkeerbaarheidsstrategie met garanties voor gegevensportabiliteit
- Overmacht met beperkte reikwijdte en plicht tot beperking van de gevolgen
- Verzekeringsdekking afgestemd op het continuïteitsrisicoprofiel
AVG — Gegevensbescherming
- Volledige naleving van de verwerkersovereenkomst (art. 28)
- Toestemming voor subverwerkers en doorgifte van de vereisten
- Ondersteuning van de rechten van betrokkenen (inzage, wissing, overdraagbaarheid)
- Melding van datalekken (binnen 72 uur aan de verwerkingsverantwoordelijke)
- Internationale doorgiften (SCC's, adequaatheid, beoordeling van de gevolgen van doorgifte)
- Audit- en inspectierechten van de verwerkingsverantwoordelijke
Voorbeeld van een outputrapport
Elke analyse levert een gestandaardiseerde structuur op, opgeslagen in ResiPlan en gekoppeld aan het contract in de CMDB.
- CRA: Minimale periode van beveiligingsondersteuning (5 jaar) — ontbreekt
- DORA Art. 28.8: Exitstrategie met dataportabiliteit — gedeeltelijk
- NIS2 Art. 21.2.d: Doorwerking naar kritieke subverwerkers — ontbreekt
- GDPR Art. 28: Verwerkersovereenkomst — conform
Typische use cases
De analyse past zich aan het contracttype aan. De verwachte clausules verschillen naargelang de aard van de relatie.
Contracten met kritieke ICT-aanbieders (DORA art. 28)
Contracten met cloud-, SaaS-, betalings-, berichten- en gegevensaanbieders — controleer alle verplichte DORA-clausules, inclusief exitstrategie en medewerking aan TLPT.
Contracten met leveranciers in de toeleveringsketen (NIS2 art. 21.2.d)
Controle van de doorgifte: uw NIS2-verplichtingen moeten doorstromen naar kritieke leveranciers. Spoor ontbrekende clausules op over cyberhygiëne, incidentmelding of MFA.
Contracten met fabrikanten van digitale producten (CRA)
Hardware- en softwarefabrikanten die onder de Cyber Resilience Act vallen — controleer de beschikbaarheid van de SBOM, de ondersteuningsperiode, de CE-markering en de clausules over incidentmelding.
Verwerkersovereenkomsten (AVG art. 28)
Volledigheid van de verwerkersovereenkomst: keten van subverwerkers, doorgiftemechanismen, SLA's voor melding van datalekken en auditrechten — in lijn met de richtsnoeren van het EDPB.
Contracten voor bedrijfscontinuïteit en IT-herstel (ISO 22301)
Uitwijklocaties, failoveraanbieders, back-upleveranciers — controleer of RTO/RPO-verbintenissen, testverplichtingen en omkeerbaarheidsclausules aanwezig zijn.
Standaardcontracten met leveranciers — generieke beoordeling
Generieke commerciële contracten met SLA, aansprakelijkheid, IE en vertrouwelijkheid — basisbeoordeling, ook buiten een regelgevend kader.
De volgende stap: uw DORA-informatieregister
De contractanalyse identificeert uw ICT-dienstverleners en clausules. ResiPlan bundelt ze vervolgens in het formele informatieregister (15 ESAs ITS-sjablonen) en exporteert het naar Excel, CSV en XBRL-CSV, klaar voor de ACPR/EBA.
Is uw contractportefeuille conform DORA, NIS2 en CRA?
In één onboardingsessie analyseert u 10 kritieke contracten. U krijgt meteen de lijst van clausules die u moet heronderhandelen vóór de volgende audit door de ACPR, ENISA of een nationale autoriteit.