DORA — digitale operationele weerbaarheid financiële sector

DORA legt de Europese financiële sector één regime op voor het beheersen van ICT-risico: risicobeheer, melding van incidenten, weerbaarheidstests en het beheersen van de risico’s die bij ICT-leveranciers ontstaan. Voor bedrijven buiten die sector zit de kern in dat laatste onderdeel: wie ICT-diensten levert aan een bank, verzekeraar of betaalinstelling krijgt via het contract een vaste set verplichtingen opgelegd, en de grootste aanbieders komen onder rechtstreeks Europees toezicht. Anders dan de Cyberbeveiligingswet, die per organisatie eisen stelt aan de eigen beveiliging, regelt DORA nadrukkelijk ook de keten: de financiële entiteit blijft verantwoordelijk voor wat haar leveranciers doen. Voor de financiële sector gaat DORA als bijzondere regeling vóór op NIS2.

Waarvoor is dit bedoeld

Eén set eisen voor de hele Europese financiële sector, zodat een storing of aanval bij een instelling of bij haar ICT-leverancier niet doorslaat naar het financiële stelsel. DORA komt in de plaats van uiteenlopende nationale eisen en toezichtpraktijken en is rechtstreeks van toepassing sinds 17 januari 2025 (art. 64).

Voor wie

Twintig categorieën financiële entiteiten (art. 2, lid 1), onder meer: banken, betaalinstellingen, elektronischgeldinstellingen, aanbieders van rekeninginformatiediensten, beleggingsondernemingen, aanbieders van cryptoactivadiensten, handelsplatformen, centrale tegenpartijen, centrale effectenbewaarinstellingen, transactieregisters, beheerders van alternatieve beleggingsinstellingen, beheermaatschappijen, aanbieders van datarapporteringsdiensten, verzekeraars en herverzekeraars, verzekeringstussenpersonen, pensioeninstellingen, ratingbureaus, beheerders van kritieke benchmarks en crowdfundingdienstverleners. Een omzet- of personeelsdrempel kent DORA niet: ook een betaalinstelling of vermogensbeheerder met tien medewerkers valt eronder. In dezelfde opsomming staan ICT-derde aanbieders genoemd, maar voor hen werkt de verordening anders.

Wat er niet onder valt

Artikel 2, lid 3 zondert uit: beheerders van alternatieve beleggingsinstellingen die onder de lichte regeling van artikel 3, lid 2 van Richtlijn 2011/61/EU vallen; verzekeraars en herverzekeraars die onder artikel 4 van Richtlijn 2009/138/EG vallen; pensioeninstellingen met in totaal niet meer dan vijftien deelnemers; verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen die micro-onderneming of mkb zijn; en girodiensten van postkantoren. Een gewoon softwarebedrijf, hostingpartij of adviesbureau is geen financiële entiteit en heeft dus geen eigen nalevingsplicht onder DORA.

Wat je moet doen

Vijf onderdelen. Een ICT-risicobeheerkader waarvoor het bestuur eindverantwoordelijk is (hoofdstuk II). Classificatie en melding van ernstige ICT-gerelateerde incidenten (hoofdstuk III). Periodiek testen van de digitale weerbaarheid (hoofdstuk IV). Beheersing van het risico van ICT-derde aanbieders, met een informatieregister en verplichte contractbepalingen (hoofdstuk V). Vrijwillige uitwisseling van dreigingsinformatie (hoofdstuk VI).

Geldt dit ook voor ICT-leveranciers

Niet rechtstreeks. Een ICT-derde aanbieder is volgens artikel 3 elke onderneming die ICT-diensten levert — digitale en datadiensten die doorlopend worden geleverd, inclusief hardware as a service en technische ondersteuning via software- of firmware-updates, met uitzondering van traditionele analoge telefonie. Zo’n aanbieder heeft geen zelfstandige verplichtingen onder DORA. De financiële entiteit blijft volledig verantwoordelijk voor naleving (art. 28, lid 1) en moet die verantwoordelijkheid via het contract doorgeven. Alleen aanbieders die als kritiek worden aangewezen, krijgen zelf met een Europese toezichthouder te maken.

Hoe DORA in je contract terechtkomt

Artikel 30, lid 2 schrijft voor wat in elk contract over ICT-diensten moet staan: een volledige beschrijving van de functies en diensten en van de toegestane onderaanneming, de regio’s of landen waar de dienst wordt geleverd, bepalingen over beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, toegang tot en teruggave van data in een toegankelijk formaat bij beëindiging of faillissement, serviceniveaus en de actualisering daarvan, kosteloze bijstand bij een ICT-incident, volledige medewerking aan de toezichthouders van de klant, opzegtermijnen, en deelname aan bewustwordings- en weerbaarheidstrainingen. Ondersteunt de dienst een kritieke of belangrijke functie, dan komt daar volgens lid 3 bij: meetbare kwantitatieve en kwalitatieve prestatiedoelen, meld- en informatieplichten bij verslechtering van de dienstverlening, eisen aan continuïteitsplannen en beveiligingsmaatregelen, verplichte deelname aan dreigingsgestuurde penetratietests van de klant, een doorlopend recht op monitoring, en een exitregeling met een verplichte overgangsperiode.

Onderaanneming

Gedelegeerde Verordening (EU) 2025/532 van 24 maart 2025, bekendgemaakt op 2 juli 2025, bepaalt wat een financiële entiteit moet vaststellen en beoordelen wanneer ICT-diensten die kritieke of belangrijke functies ondersteunen worden uitbesteed en verder uitbesteed. Daarmee loopt de doorwerking verder de keten in: een leverancier die zelf onderaannemers inschakelt, moet die in beeld brengen en contractueel binden.

Kritieke ICT-derde aanbieders

De drie Europese toezichthouders EBA, EIOPA en ESMA wijzen via hun gezamenlijk comité aanbieders aan als kritiek (art. 31). De criteria: de systeemrelevante impact op de stabiliteit, continuïteit of kwaliteit van de financiële dienstverlening bij uitval; het systeembelang van de instellingen die van de aanbieder afhankelijk zijn; de mate waarin instellingen zijn diensten voor kritieke of belangrijke functies gebruiken; en de vervangbaarheid, gelet op het aantal alternatieven en de moeite van een migratie. Per aangewezen aanbieder komt er één hoofdtoezichthouder. Een aanbieder uit een derde land die als kritiek is aangewezen, moet binnen twaalf maanden na de aanwijzing een dochteronderneming in de Unie hebben; anders mogen financiële entiteiten zijn diensten niet meer afnemen.

Wat de hoofdtoezichthouder kan

Alle relevante informatie en documentatie opvragen, algemene onderzoeken en inspecties uitvoeren, na afloop rapportages over getroffen herstelmaatregelen eisen en aanbevelingen doen over onder meer ICT-beveiliging, contractvoorwaarden en het gebruik van onderaannemers (art. 35, lid 1). Wie niet meewerkt, kan een dwangsom krijgen van maximaal 1 procent van de gemiddelde dagelijkse wereldwijde omzet in het voorgaande boekjaar, voor ten hoogste zes maanden na de kennisgeving van het besluit (art. 35).

Informatieregister

Elke financiële entiteit houdt een register bij van alle contractuele afspraken over ICT-diensten, op entiteits-, gesubconsolideerd en geconsolideerd niveau, en rapporteert ten minste jaarlijks aan de toezichthouder over het aantal nieuwe afspraken, de categorieën aanbieders, het type contract en de geleverde diensten en functies (art. 28, lid 3).

Incidentmelding

Ernstige ICT-gerelateerde incidenten worden gemeld bij de bevoegde autoriteit (art. 19). Gedelegeerde Verordening (EU) 2025/301 geeft de termijnen: een eerste kennisgeving zo snel mogelijk, maar in elk geval binnen vier uur na de classificatie van het incident als ernstig en uiterlijk 24 uur nadat de entiteit kennis van het incident kreeg; een tussentijds verslag uiterlijk 72 uur na die eerste kennisgeving, ook als er niets is veranderd; en een eindverslag uiterlijk een maand na het laatste tussentijdse verslag. Ernstige cyberdreigingen mogen vrijwillig worden gemeld.

Weerbaarheidstests

Naast een jaarlijks testprogramma gelden dreigingsgestuurde penetratietests (TLPT) ten minste eens per drie jaar voor de entiteiten die de toezichthouder daarvoor aanwijst, op basis van onder meer hun impact op de sector en hun ICT-risicoprofiel (art. 26). Micro-ondernemingen en de entiteiten die onder het vereenvoudigde kader vallen, zijn van de TLPT-plicht uitgezonderd. Waar een ICT-leverancier bij zo’n test betrokken is, moet die daaraan meewerken — dat is een van de contractbepalingen uit artikel 30, lid 3.

Vereenvoudigd kader

Artikel 16 kent een lichter ICT-risicobeheerkader voor onder meer kleine en niet-verweven beleggingsondernemingen, vrijgestelde betaalinstellingen, vrijgestelde elektronischgeldinstellingen en kleine pensioeninstellingen. Een micro-onderneming is in DORA een entiteit — anders dan een handelsplatform, centrale tegenpartij, transactieregister of centrale effectenbewaarinstelling — met minder dan tien werknemers en een jaaromzet of balanstotaal van ten hoogste 2 miljoen euro (art. 3).

Toezicht NL

DNB en de AFM, ieder voor de instellingen die zij al onder toezicht hebben. De Nederlandse aanpassingswetgeving bestaat uit de Implementatiewet digitale operationele weerbaarheid (BWBR0049942), die Richtlijn (EU) 2022/2556 omzet en onder meer de Wet op het financieel toezicht wijzigt, en het bijbehorende Uitvoeringsbesluit (BWBR0050670).

Boete

De verordening noemt zelf geen maximumbedragen. Artikel 50 verplicht de lidstaten tot doeltreffende, evenredige en afschrikkende sancties en geeft toezichthouders in elk geval de bevoegdheid om herstelmaatregelen op te leggen. In Nederland loopt dat via het gebruikelijke handhavingsinstrumentarium van de Wft: aanwijzing, last onder dwangsom en bestuurlijke boete. Het percentage van 1 procent uit artikel 35 is een dwangsom en geldt alleen voor aangewezen kritieke ICT-derde aanbieders.