Vanaf 2025 verplicht DORA financiële instellingen om voor kritieke ICT-functies formeel vast te leggen binnen welk tijdsbestek (RTO) en met hoeveel dataverlies (RPO) zij moeten kunnen herstellen. Maar hoe bepaal je deze hersteldoelen op een manier die realistisch, verdedigbaar én praktisch toepasbaar is?