DORA-naleving: uw ultieme gids

In een wereld die steeds digitaler wordt, wordt de financiële sector geconfronteerd met ongekende cyberdreigingen en operationele uitdagingen. Het garanderen van robuuste digitale operationele veerkracht is niet langer optioneel; het is een fundamentele noodzaak. Deze uitgebreide gids gaat dieper in opDORA-naleving, dat een essentiële routekaart biedt voor financiële entiteiten en hun externe ICT-dienstverleners.

De Digital Operational Resilience Act (DORA) vertegenwoordigt een cruciale verschuiving in de manier waarop de Europese Unie digitale risico’s binnen haar financiële landschap aanpakt. Het bereiken vanNaleving van de Digital Operational Resilience Actis van cruciaal belang voor het waarborgen van de stabiliteit en het vertrouwen in de gehele EU financiële sector. Het begrijpen en implementeren van de veelzijdige vereisten van deze baanbrekende regelgeving is van het grootste belang voor alle betrokken organisaties.

DORA-naleving begrijpen: een inleiding

DORA, of de Digital Operational Resilience Act, is een mijlpaalverordening die door de Europese Unie is geïntroduceerd. Het heeft tot doel een uniform raamwerk tot stand te brengen voor de digitale operationele veerkracht van financiële entiteiten, om ervoor te zorgen dat zij alle soorten ICT-gerelateerde verstoringen en bedreigingen kunnen weerstaan, erop kunnen reageren en ervan kunnen herstellen. Deze verordening harmoniseert gefragmenteerde nationale regels, waardoor een consistente aanpak voor de hele EU ontstaat.

Het primaire doel van DORA is het vergroten van de weerbaarheid van de EU financiële sector tegen cyberaanvallen en andere ICT-risico’s. Het vereist een alomvattende en proactieve aanpak voor het beheer van digitale risico's, die verder gaat dan traditioneel fysiek risicobeheer en het hele digitale operationele landschap omvat.DORA-nalevinggaat over het bouwen van een robuuste infrastructuur die in staat is om zelfs onder dwang kritische functies in stand te houden.

Het overkoepelende doel van DORA is het minimaliseren van de risico’s die voortvloeien uit ICT-incidenten. Deze incidenten kunnen de stabiliteit van individuele financiële entiteiten beïnvloeden en mogelijk systeemrisico's in het bredere financiële systeem veroorzaken. Door strenge eisen te stellen, probeert DORA een dergelijke wijdverbreide verstoring te voorkomen en consumenten en investeerders te beschermen.

De kernpijlers van DORA: sleutelvereisten voor veerkracht

DORA stelt vijf belangrijke pijlers vast die de basis vormen van haarraamwerk voor operationele veerkracht. Deze pijlers zijn ontworpen om ervoor te zorgen dat financiële entiteiten hun digitale risico’s volledig beheren en de continuïteit van de dienstverlening behouden. Het naleven van deze principes is van fundamenteel belang voor een robuusteNaleving van de DORA-regelgeving.

Elke pijler schetst specifieke verplichtingen, die gezamenlijk bijdragen aan een veiliger en veerkrachtiger financieel ecosysteem. Deze onderling verbonden vereisten vereisen een holistische en geïntegreerde strategie voor de succesvolle implementatie ervan. Financiële entiteiten moeten elk gebied zorgvuldig en vooruitziend aanpakken.

ICT-risicobeheer

Deze pijler vereist dat financiële entiteiten een gedegen en alomvattend-beleid implementeren ICT-risicobeheer DORAkader. Dit raamwerk moet alle ICT-systemen, -instrumenten en -processen omvatten. Het vereist een continue cyclus van identificatie, bescherming, detectie, respons en herstel met betrekking tot ICT-risico's.

Entiteiten moeten duidelijke beleidslijnen, procedures en protocollen opstellen voor het beheer van hun ICT-omgeving. Dit omvat het ontwikkelen van robuuste methoden voor risicobeoordeling, beveiligingsbeleid en risicobeperkingsstrategieën. Effectief risicobeheer is de hoeksteen van het voorkomen van verstoringen.

ICT-gerelateerd incidentbeheer en rapportage

DORA schrijft een strikt proces voor het beheren en rapporteren van ICT-gerelateerde incidenten voor. Financiële entiteiten moeten capaciteiten opzetten en implementeren om ICT-gerelateerde incidenten onmiddellijk te monitoren, op te sporen, te beheren en te melden. Dit omvat het ontwikkelen van robuuste incidentresponsplannen en duidelijke communicatiekanalen.

De verordening specificeert gedetailleerde rapportagevereisten voor grote ICT-gerelateerde incidenten aan de relevante bevoegde autoriteiten. Tijdige en nauwkeurige rapportage is van cruciaal belang voor toezichthoudende instanties om systeemrisico’s te beoordelen en reacties te coördineren. Deze pijler legt de nadruk op transparantie en snelle actie.

Testen van digitale operationele veerkracht

Deze pijler vereist dat financiële entiteiten regelmatig hun digitale operationele veerkracht testen. Dergelijke tests identificeren zwakke punten, tekortkomingen en hiaten in hun raamwerk voor operationele veerkracht. Het zorgt ervoor dat systemen en processen effectief bestand zijn tegen ongunstige ICT-gerelateerde gebeurtenissen.

Het testregime omvat dreigingsgeleide penetratietests (TLPT) voor meer volwassen entiteiten, naast andere algemene testvereisten. Deze tests zijn essentieel voor het valideren van de effectiviteit van risicobeperkende maatregelen en capaciteiten voor incidentrespons. Continu testen zorgt voor continue verbetering.

ICT-risicobeheer van derden

DORA erkent de toenemende afhankelijkheid van externe leveranciers en introduceert een alomvattend raamwerk voor het beheer vanICT-risico van derden. Financiële entiteiten moeten de risico's die gepaard gaan met hun afhankelijkheid van externe ICT-dienstverleners beoordelen, monitoren en beheren. Hierbij hoort ook het maken van duidelijke contractuele afspraken.

DORA introduceert ook een raamwerk voor direct toezicht op kritische externe ICT-dienstverleners, waardoor toezichthouders deze entiteiten rechtstreeks kunnen monitoren. Deze pijler is van cruciaal belang om de regelgeving uit te breiden tot buiten de individuele financiële instellingen en tot hun cruciale toeleveringsketens. Het beheren van deze externe afhankelijkheden is een belangrijk aspect vanDORA-naleving.

Regelingen voor het delen van informatie

De vijfde pijler moedigt financiële entiteiten aan om regelingen te treffen voor het delen van informatie en inlichtingen over cyberdreigingen. Deze gezamenlijke aanpak vergroot het collectieve vermogen van de sector om zich te verdedigen tegen evoluerende cyberdreigingen. Door geanonimiseerde gegevens en inzichten te delen, kunnen opkomende risico’s proactief worden geïdentificeerd.

Dergelijke regelingen vergemakkelijken de snelle verspreiding van waarschuwingen over kwetsbaarheden en aanvalsvectoren. Deze proactieve uitwisseling van informatie versterkt de algeheleEU veerkracht van de financiële sector. Het stelt entiteiten in staat zich gezamenlijk voor te bereiden op en te reageren op geavanceerde cybercampagnes.

Reikwijdte en toepasbaarheid van DORA: wie moet hieraan voldoen?

DORA heeft een breed netwerk en breidt haar bereik uit over een breed spectrum van de financiële dienstverleningssector binnen de Europese Unie. Het is de bedoeling om alle entiteiten te bestrijken die van cruciaal belang zijn voor de operationele continuïteit van het financiële systeem. Het begrijpen van de toepasbaarheid ervan is de eerste stap op weg naar het bereiken vanDORA-naleving.

De verordening is van toepassing op een breed scala aannaleving van financiële entiteiteneisen, waardoor een consistente standaard van digitale operationele veerkracht op de hele markt wordt gewaarborgd. Dit omvat niet alleen traditionele financiële instellingen, maar ook veel nieuwere spelers en hun essentiële dienstverleners. Het identificeren of uw organisatie onder de reikwijdte van DORA valt, is cruciaal voor het plannen van uw compliance-traject.

Financiële entiteiten die eronder vallen

DORA vermeldt expliciet de soorten financiële entiteiten die onder de bepalingen vallen. Deze uitgebreide lijst zorgt ervoor dat geen enkel cruciaal onderdeel van het financiële ecosysteem over het hoofd wordt gezien. Deze entiteiten zijn van cruciaal belang voor het handhaven van de financiële stabiliteit.

Het toepassingsgebied omvat, maar is niet beperkt tot:

• Kredietinstellingen
• Betaalinstellingen
• Instellingen voor elektronisch geld
• Beleggingsondernemingen
• Dienstverleners van crypto-activa
• Centrale effectenbewaarinstellingen
• Centrale tegenpartijen
• Handelsplatformen
• Transactieregisters
• Verzekerings- en herverzekeringsondernemingen
• Verzekeringstussenpersonen en nevenverzekeringstussenpersonen
• Instellingen voor bedrijfspensioenvoorzieningen
• Kredietbeoordelaars
• Beheerders van kritische benchmarks
• Aanbieders van crowdfundingdiensten
• Securitisatieopslagplaatsen

Externe ICT-dienstverleners

Cruciaal is dat DORA ook directe gevolgen heeft voor externe ICT-dienstverleners die diensten aanbieden aan financiële entiteiten. Dit omvat onder meer cloud computing-serviceproviders, data-analyseproviders en softwareproviders. De verordening erkent het systemische belang van deze externe leveranciers.

Degenen die als ‘kritieke’ externe ICT-dienstverleners worden aangemerkt, zullen te maken krijgen met direct toezicht van de Europese toezichthoudende autoriteiten (ESA’s). Dit innovatieve aspect van DORA breidt het toezicht uit tot buiten de financiële instellingen zelf. Het zorgt ervoor dat de gehele digitale toeleveringsketen die de financiële sector ondersteunt, voldoet aan de veerkrachtnormen.

ELIMINEER COMPLIANCERISICO'S

Elimineer compliancerisico's en bereik volledige gemoedsrust. Plan vandaag nog uw gratis adviesgesprek!

Meer informatie →

✓Gratis adviesgesprek
✓Geen verplichting vereist
✓Vertrouwd door experts

ICT-risicobeheer: een centraal aandachtspunt van DORA

DeICT-risicobeheer DORApijler is misschien wel de meest fundamentele vereiste van de hele verordening. Het vereist dat financiële entiteiten een robuust raamwerk voor digitale operationele veerkracht opzetten, implementeren, onderhouden en herzien. Dit raamwerk moet worden geïntegreerd in hun algehele risicobeheersysteem.

Effectief ICT-risicobeheer gaat verder dan eenvoudige cyberbeveiligingsmaatregelen; het omvat de gehele levenscyclus van digitale operaties. Het vereist een strategische en proactieve aanpak voor het identificeren, beoordelen en beperken van risico's die kritieke bedrijfsfuncties kunnen verstoren. Deze alomvattende aanpak is essentieel voor het garanderen van een continue dienstverlening.

Bestuur en Organisatie

DORA legt een aanzienlijke verantwoordelijkheid bij het leidinggevend orgaan van financiële entiteiten. Het leidinggevend orgaan is uiteindelijk verantwoordelijk voor het definiëren, goedkeuren, overzien en dragen van de algehele verantwoordelijkheid voor het raamwerk voor digitale operationele veerkracht van de entiteit. Dit omvat het toewijzen van duidelijke rollen en verantwoordelijkheden.

Ook moeten zij over voldoende kennis en vaardigheden beschikken en deze voortdurend actualiseren om ICT-risico's te begrijpen en in te schatten. Dit zorgt ervoor dat strategische beslissingen over digitale veerkracht worden genomen door geïnformeerd leiderschap. Sterk bestuur is een voorwaarde voor effectiefDORA-naleving.

Kadervereisten voor ICT-risicobeheer

Financiële entiteiten moeten een raamwerk voor ICT-risicobeheer ontwikkelen dat alomvattend is, in verhouding staat tot hun omvang en risicoprofiel, en dat ten minste jaarlijks wordt herzien. Dit raamwerk moet strategieën, beleid, procedures en ICT-protocollen beschrijven om risico's te beheersen. Het moet alle informatiesystemen, netwerken en technologieën omvatten.

Belangrijke elementen zijn onder meer: ​​

• Identificatie:Identificeer systematisch alle ICT-middelen, informatie en bedrijfsfuncties.
• Beveiliging:Implementeer passende beveiligingsmaatregelen om ICT-middelen tegen bedreigingen te beschermen.
• Detectie:Mechanismen opzetten om afwijkende activiteiten en potentiële ICT-incidenten te detecteren.
• Reactie:Ontwikkel robuuste respons- en herstelmogelijkheden om services snel te herstellen.
• Herstel:Implementeer back-up- en herstelprocedures om de integriteit en beschikbaarheid van gegevens te garanderen.
• Beoordeling:Evalueer en controleer regelmatig de effectiviteit van het raamwerk en pas het indien nodig aan.

ICT-gerelateerd incidentbeheer en rapportage

Een cruciaal aspect vanDORA-nalevingis het strenge raamwerk voor het beheren en rapporteren van ICT-gerelateerde incidenten. Financiële entiteiten moeten niet alleen voorbereid zijn op het voorkomen van incidenten, maar ook op het snel en effectief reageren wanneer deze zich voordoen. Deze pijler zorgt voor transparantie en faciliteert collectief leren.

De verordening vereist dat entiteiten processen opzetten voor het effectief beheren van alle ICT-gerelateerde incidenten, van kleine verstoringen tot grote cyberaanvallen. Deze processen moeten duidelijk gedocumenteerd, regelmatig getest en begrepen worden door al het relevante personeel. Proactief incidentbeheer minimaliseert de impact.

Incidentdetectie en -analyse

Entiteiten moeten systemen en instrumenten implementeren die in staat zijn ICT-systemen te monitoren en afwijkingen op te sporen. Dit proactieve toezicht is cruciaal voor het vroegtijdig identificeren van potentiële incidenten. Vroegtijdige detectie kan de ernst en verspreiding van een aanval aanzienlijk verminderen.

Eenmaal gedetecteerd, moet er een grondige analyse worden uitgevoerd om de aard, omvang en impact van het incident te bepalen. Deze analyse is van cruciaal belang voor het begeleiden van passende responsacties en voor het nakomen van rapportageverplichtingen. Duidelijke analytische protocollen zorgen voor nauwkeurige beoordelingen.

Incidentrespons en -herstel

Elke financiële entiteit moet over goed gedefinieerde en geteste incidentresponsplannen beschikken. Deze plannen moeten specifieke stappen schetsen voor het beheersen, uitroeien en herstellen van ICT-gerelateerde incidenten. Ze moeten ook duidelijke communicatiestrategieën omvatten.

De herstelprocedures moeten prioriteit geven aan het herstel van kritieke functies en gegevens. Bedrijfscontinuïteit- en noodherstelplannen zijn integrale componenten, die ervoor zorgen dat services kunnen worden hervat binnen gedefinieerde hersteltijddoelstellingen (RTO's) en herstelpuntdoelstellingen (RPO's). Snel herstel is een kenmerk van een sterkeraamwerk voor operationele veerkracht.

Het melden van grote ICT-gerelateerde incidenten

DORA introduceert een geharmoniseerd raamwerk voor het melden van incidenten in de hele EU. Financiële entiteiten zijn verplicht grote ICT-gerelateerde incidenten zonder onnodige vertraging te melden aan hun relevante bevoegde autoriteit. De verordening specificeert criteria om te bepalen wat een “groot” incident is.

Het rapportagemechanisme heeft tot doel de fragmentatie te verminderen en de kwaliteit van de incidentrapportage te verbeteren. Hierdoor kunnen toezichthouders een duidelijker beeld krijgen van het dreigingslandschap en de potentiële systeemrisico’s. Consistente rapportage verbetert het toezicht door de toezichthouder en vergemakkelijkt gecoördineerde reacties.

Testen van digitale operationele veerkracht

Regelmatige en rigoureuze tests zijn een hoeksteen vanDORA-naleving, waarmee de effectiviteit van het raamwerk voor digitale operationele veerkracht van een entiteit wordt gevalideerd. DORA schrijft een uitgebreid testprogramma voor, ontworpen om zwakke punten te identificeren en paraatheid te garanderen voor cyberdreigingen in de echte wereld. Deze proactieve aanpak versterkt de verdediging.

De testvereisten worden geschaald op basis van de omvang, aard, reikwijdte en complexiteit van de financiële entiteit. Het overkoepelende principe blijft echter consistent: alle entiteiten moeten regelmatig hun vermogen testen om het hoofd te bieden aan en te herstellen van verschillende ICT-gerelateerde verstoringen. Consistent testen vergroot het vertrouwen en de veerkracht.

Algemeen testprogramma

Financiële entiteiten zijn verplicht een gedegen en alomvattend testprogramma voor de digitale operationele veerkracht op te zetten en te onderhouden. Dit programma moet verschillende soorten tests omvatten, zoals kwetsbaarheidsbeoordelingen, penetratietesten, testen van componenten en op scenario's gebaseerde tests. Het programma moet in verhouding staan ​​tot het risicoprofiel van de entiteit.

Het testprogramma moet ook alle kritische ICT-systemen en -applicaties omvatten die essentiële bedrijfsfuncties ondersteunen. Regelmatige evaluaties van het testprogramma zelf zijn noodzakelijk om de blijvende relevantie en effectiviteit ervan te garanderen. Continue verbetering is de sleutel tot effectiefNaleving van de DORA-regelgeving.

Op bedreigingen gebaseerde penetratietests (TLPT)

Voor financiële entiteiten die als belangrijk of cruciaal zijn aangemerkt, schrijft DORA minimaal elke drie jaar geavanceerde dreigingsgestuurde penetratietests (TLPT) voor. Deze tests worden uitgevoerd door onafhankelijke externe testers en simuleren aanvallen uit de echte wereld door geavanceerde dreigingsactoren. TLPT identificeert kwetsbaarheden die anders misschien onopgemerkt zouden blijven.

TLPT omvat een gecontroleerde, op inlichtingen gebaseerde simulatie van aanvallen op kritieke functies. Het is ontworpen om zwakke punten in mensen, processen en technologie bloot te leggen en een realistische beoordeling te geven van de veerkracht van een entiteit. Deze geavanceerde tests zorgen voor een hoger beveiligingsniveau tegen geavanceerde, aanhoudende bedreigingen.

Beheer van ICT-risico's van derden: een cruciaal onderdeel

De toenemende afhankelijkheid van financiële entiteiten van externe ICT-dienstverleners introduceert aanzienlijkeICT-risico van derden. DORA onderkent deze afhankelijkheid als een potentiële bron van systeemrisico en stelt daarom uitgebreide eisen aan het beheer van deze relaties. Deze pijler is cruciaal voor het vergroten van de veerkracht in de hele toeleveringsketen.

Financiële entiteiten moeten ervoor zorgen dat hun afhankelijkheid van externe ICT-dienstverleners hun eigen digitale operationele veerkracht niet ondermijnt. Dit vereist zorgvuldige due diligence, robuuste contractuele regelingen en voortdurend toezicht op deze cruciale relaties. Proactief beheer van deze risico's is van fundamenteel belang voorDORA-naleving.

Risicobeheerstrategie van derden

Financiële entiteiten moeten een alomvattende strategie hanteren voor het beheer van ICT-risico's van derden. Deze strategie moet de gehele levenscyclus van een relatie met een derde partij bestrijken, van de initiële beoordeling en selectie tot de voortdurende monitoring en contractbeëindiging. Het moet aansluiten bij het algemene kader voor ICT-risicobeheer van de entiteit.

Belangrijke aspecten zijn onder meer: ​​

• Due diligence:Beoordeel de ICT-capaciteiten, de beveiligingssituatie en de veerkracht van potentiële externe leveranciers grondig voordat u contracten afsluit.
• Contractuele regelingen:Zorg ervoor dat contracten met externe ICT-dienstverleners de serviceniveaus, beveiligingsvereisten, gegevensbeschermingsclausules en auditrechten duidelijk definiëren.
• Concentratierisico:Bewaak en beheer de risico's die voortvloeien uit het vertrouwen op een beperkt aantal of enkele externe ICT-dienstverleners, vooral voor kritieke functies.
• Exitstrategieën:Ontwikkel en test regelmatig exitstrategieën voor cruciale ICT-contracten van derden, zodat de financiële entiteit zonder onderbrekingen van leverancier kan wisselen of diensten intern kan brengen.

Toezicht op cruciale externe leveranciers

DORA introduceert een innovatief raamwerk voor direct toezicht op kritische externe ICT-dienstverleners. De Europese toezichthoudende autoriteiten (ESA’s) zullen bepaalde aanbieders als ‘kritiek’ aanmerken op basis van hun impact op financiële entiteiten. Deze cruciale aanbieders zullen dan worden onderworpen aan direct toezicht door een hoofdtoezichthouder.

Dit toezicht omvat regelmatige beoordelingen, verzoeken om informatie en de bevoegdheid om aanbevelingen te doen om de geïdentificeerde risico's aan te pakken. Het raamwerk heeft tot doel ervoor te zorgen dat zelfs externe aanbieders, wier diensten essentieel zijn voor het functioneren van de financiële sector, zich houden aan hoge veerkrachtnormen. Dit is een gamechanger voorEU veerkracht van de financiële sector.

Regelingen voor het delen van informatie

Samenwerking en wederzijdse ondersteuning zijn van cruciaal belang in de strijd tegen de zich ontwikkelende cyberdreigingen. DORA moedigt financiële entiteiten actief aan om deel te nemen aan regelingen voor het delen van informatie, waardoor een collectief verdedigingsmechanisme in de EU financiële sector wordt bevorderd. Dergelijk proactief delen verbetert de algehele veiligheid.

Door de uitwisseling van informatie over cyberdreigingen en informatie over kwetsbaarheden kunnen entiteiten sneller en effectiever reageren op opkomende dreigingen. Deze collectieve aanpak versterkt deaanzienlijk raamwerk voor operationele veerkrachtvan het gehele financiële ecosysteem. Het zet individuele inzichten om in gedeelde defensiecapaciteiten.

Voordelen van het delen van informatie

Deelnemen aan regelingen voor het delen van informatie biedt tal van voordelen voor financiële entiteiten. Het biedt vroegtijdige waarschuwingen over nieuwe aanvalsvectoren, soorten malware en geavanceerde tactieken voor bedreigingsactoren. Dankzij deze proactieve intelligentie kunnen entiteiten hun verdediging bijwerken voordat ze het doelwit worden.

Voordelen zijn onder meer: ​​

• Systemen voor vroegtijdige waarschuwing:Ontvang tijdig waarschuwingen over opkomende cyberdreigingen en kwetsbaarheden.
• Verbeterde dreigingsinformatie:Krijg inzicht in de methodologieën van aanvallers en indicatoren van compromissen (IoC's).
• Verbeterde reactie op incidenten:Leer van de ervaringen van anderen om de interne responsplannen voor incidenten te verfijnen.
• Collectieve verdediging:Draag bij aan en profiteer van een sterkere, veerkrachtiger gemeenschap in de financiële sector.
• Verminderd risico:Implementeer proactief tegenmaatregelen om de potentiële gevolgen van bekende bedreigingen te beperken.

Kader voor het delen van informatie

DORA specificeert dat dergelijke regelingen moeten functioneren binnen een vertrouwde omgeving, waarbij gevoelige informatie en toepasselijke regels voor gegevensbescherming worden gerespecteerd. Het delen moet gericht zijn op informatie en inlichtingen over cyberdreigingen, inclusief indicatoren van compromissen, tactieken, technieken en procedures. Dit zorgt ervoor dat waardevolle en bruikbare informatie wordt uitgewisseld.

Entiteiten moeten ervoor zorgen dat hun deelname aan deze regelingen hun eigen veiligheid niet in gevaar brengt of de vertrouwelijkheid van klanten schendt. Er moeten passende waarborgen en protocollen aanwezig zijn om gevoelige informatie veilig te beheren. Transparantie en vertrouwen zijn van cruciaal belang bij het bevorderen van een effectieveDORA-nalevingdoor samenwerking.

Toezichtbevoegdheden en handhaving onder DORA

Om een ​​effectieveDORA-nalevingverleent de verordening aanzienlijke toezichthoudende bevoegdheden aan de nationale bevoegde autoriteiten en de Europese toezichthoudende autoriteiten (ETA's). Deze bevoegdheden zijn bedoeld om de vereisten af ​​te dwingen en een hoog niveau van digitale operationele veerkracht in de hele financiële sector te garanderen. Sterke handhaving is van cruciaal belang voor de verantwoording.

Het toezichtkader heeft tot doel niet-naleving op te sporen, tekortkomingen aan te pakken en uiteindelijk waar nodig corrigerende maatregelen of sancties op te leggen. Dit toezichtsmechanisme ligt ten grondslag aan de geheleNaleving van de DORA-regelgevingraamwerk, dat ervoor zorgt dat entiteiten hun verantwoordelijkheden serieus nemen. Het biedt een