DORA compliance
DORA is de Europese verordening voor digitale operationele weerbaarheid in de financiële sector. De verordening vraagt dat instellingen hun ICT-risico’s beheersen, incidenten melden, hun weerbaarheid testen en grip houden op hun ICT-leveranciers.
Op deze pagina leest u voor wie DORA geldt, wat de vijf pijlers concreet betekenen, wanneer het vereenvoudigde regime volstaat, wat er in het informatieregister hoort en wat er verandert als u zelf ICT-diensten levert aan een financiële instelling.
Wij komen deze vraag meestal tegen bij ICT-leveranciers die van hun klant een nieuw contract kregen met bepalingen die zij niet herkenden.
Wat DORA van uw organisatie vraagt
DORA verlegt de vraag van “is uw ICT veilig” naar “kunt u doorwerken als uw ICT uitvalt, en kunt u dat aantonen”.
Dat verschil is belangrijk. Waar veel regelgeving zich richt op het voorkomen van incidenten, richt DORA zich op weerbaarheid: wat gebeurt er als het toch misgaat, hoe snel herstelt u, en wie heeft daar zicht op. De verordening is sinds januari 2025 van toepassing.
Een tweede kenmerk is de nadruk op de keten. Financiële instellingen besteden veel ICT uit, en DORA erkent dat het risico daarmee niet verdwijnt. Daarom stelt de verordening eisen aan contracten, aan het overzicht van leveranciers en aan de mogelijkheid om over te stappen.
Het derde kenmerk is bestuurlijk. Het leidinggevend orgaan is eindverantwoordelijk voor het ICT-risicobeheer en moet daar aantoonbaar kennis van hebben. Dat is geen formaliteit: toezichthouders vragen ernaar.
Voor wie DORA geldt
De verordening geldt voor een brede groep financiële entiteiten en, langs een andere weg, voor hun ICT-leveranciers.
Aan de financiële kant gaat het onder meer om banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, vermogensbeheerders, pensioenfondsen en aanbieders van cryptodiensten. In Nederland houden De Nederlandsche Bank en de Autoriteit Financiële Markten toezicht, afhankelijk van het type instelling.
Levert u ICT-diensten aan zo’n instelling, dan valt u niet zelf onder de verordening, maar krijgt u er wel mee te maken. Uw klant moet contractuele afspraken maken die DORA voorschrijft, en die komen bij u op tafel. Dat is voor de meeste ICT-bedrijven de manier waarop dit onderwerp binnenkomt.
Een aparte categorie zijn ICT-dienstverleners die op Europees niveau als kritiek worden aangewezen. Die komen onder direct toezicht te staan. Dat raakt een klein aantal grote partijen en vrijwel geen Nederlandse MKB+-organisaties.
De vijf pijlers, vertaald naar wat u inricht
DORA is opgebouwd rond vijf onderwerpen. Dit is wat elk daarvan in de praktijk betekent.
- ICT-risicobeheer. Wat de verordening vraagt: Een raamwerk met beleid, rollen en periodieke beoordeling. Wat u concreet inricht: Risicoanalyse, beleid, rollen en een jaarcyclus.
- Incidenten. Wat de verordening vraagt: Registreren, classificeren en melden van ICT-incidenten. Wat u concreet inricht: Meldproces met classificatiecriteria en vaste termijnen.
- Weerbaarheidstesten. Wat de verordening vraagt: Periodiek testen van uw ICT-weerbaarheid. Wat u concreet inricht: Testprogramma met scans, tests en herstelproeven.
- Derdenrisico. Wat de verordening vraagt: Grip op ICT-leveranciers, contracten en uitstapmogelijkheden. Wat u concreet inricht: Informatieregister, contractbepalingen en exitplannen.
- Informatiedeling. Wat de verordening vraagt: Vrijwillig delen van dreigingsinformatie. Wat u concreet inricht: Aansluiting bij een sectorinitiatief, geen verplichting.
De vierde pijler geeft in de praktijk het meeste werk, omdat die door de hele contractportefeuille loopt. De vijfde is vrijwillig en blijft bij veel instellingen buiten beschouwing.
Wanneer het vereenvoudigde regime volstaat
DORA kent een lichter raamwerk voor kleinere en niet-verweven entiteiten. Dat scheelt aanzienlijk en het wordt vaak over het hoofd gezien.
De verordening werkt met evenredigheid: de eisen moeten passen bij uw omvang, uw risicoprofiel en de aard van uw dienstverlening. Voor een aantal kleinere entiteiten geldt daarom een vereenvoudigd raamwerk voor ICT-risicobeheer, met minder uitgebreide verplichtingen.
Dat betekent niet dat u niets hoeft. De kern blijft staan: u beheerst uw ICT-risico’s, u meldt incidenten, en u heeft grip op uw leveranciers. Wat lichter is, is de mate van formalisering en de omvang van het testprogramma.
Bepaal dus eerst welk regime op u van toepassing is, voordat u een programma optuigt. Wij zien organisaties die zich voorbereiden op het volledige regime terwijl het vereenvoudigde volstaat, en dat is een aanzienlijk verschil in inspanning.
Het informatieregister: het meest concrete product
Dit is het onderdeel waar toezichthouders het eerst naar vragen en waar de meeste instellingen op vastlopen.
Het register bevat uw contractuele afspraken met ICT-dienstverleners. Per contract legt u vast wie de leverancier is, welke dienst wordt geleverd, of die dienst een kritieke of belangrijke functie ondersteunt, waar de gegevens worden verwerkt, en welke onderaannemers erbij betrokken zijn.
Twee dingen maken het lastiger dan het klinkt. Ten eerste de ketendiepte: uw leverancier gebruikt zelf ook leveranciers, en die moeten in beeld zijn als zij een kritieke functie raken. Ten tweede het onderhoud: het register moet actueel blijven en wordt periodiek bij de toezichthouder aangeleverd.
De praktische aanpak is om het register te koppelen aan uw contractbeheer, niet als los bestand te onderhouden. Dan wordt een nieuwe leverancier automatisch opgenomen in plaats van een keer per jaar met terugwerkende kracht.
Wie al een leveranciersoverzicht heeft voor ISO 27001 of voor de Cyberbeveiligingswet, kan dat als basis gebruiken. De velden verschillen, de bron is dezelfde.
Levert u ICT aan een financiële instelling?
Dan verandert er iets in uw contracten, en dat merkt u meestal bij de eerste verlenging.
DORA schrijft voor welke afspraken er in het contract moeten staan tussen een financiële instelling en haar ICT-leverancier. Uw klant is verplicht die op te nemen, dus die bepalingen komen bij u terecht, ook als u zelf niet onder de verordening valt.
Wat u kunt verwachten: een duidelijke omschrijving van de dienst, afspraken over locaties waar gegevens worden verwerkt, meldplichten bij incidenten, rechten op toegang en controle, eisen aan onderaanneming, en afspraken over beëindiging en overdracht.
Dat laatste punt is het meest ingrijpende. Uw klant moet kunnen aantonen dat zij kan overstappen zonder dat haar dienstverlening stilvalt. Dat vraagt een exitplan, en daar heeft zij uw medewerking bij nodig.
Ons advies aan ICT-leveranciers: wacht niet tot de contracten binnenkomen. Bereid één set antwoorden en een standaardbijlage voor, want anders onderhandelt u met elke klant apart over dezelfde punten. Dat is dezelfde voorbereiding als bij klantvragenlijsten.
DORA naast ISO 27001 en de Cyberbeveiligingswet
Heeft u al een normenkader, dan hoeft u niet opnieuw te beginnen. Dit is wat er overlapt en wat er echt bij komt.
- Risicobeheer. ISO 27001: Verplichte risicobeoordeling. Cyberbeveiligingswet: Kern van de zorgplicht. DORA: Eigen ICT-raamwerk met bestuurlijke verankering.
- Incidenten melden. ISO 27001: Procedure, geen wettelijke termijn. Cyberbeveiligingswet: 24 uur, 72 uur en een maand. DORA: Eigen classificatie en termijnen richting de toezichthouder.
- Testen. ISO 27001: Beoordelen van effectiviteit, vorm vrij. Cyberbeveiligingswet: Beoordelen van maatregelen. DORA: Verplicht testprogramma, voor grotere entiteiten met dreigingsgestuurde tests.
- Leveranciers. ISO 27001: Beveiliging in leveranciersrelaties. Cyberbeveiligingswet: Ketenbeveiliging. DORA: Informatieregister, contracteisen en exitplannen.
- Bestuur. ISO 27001: Directiebeoordeling. Cyberbeveiligingswet: Verantwoordelijkheid van de leiding. DORA: Eindverantwoordelijkheid plus aantoonbare kennis.
Kortom: uw ISO 27001-systeem dekt een groot deel van pijler één af. Wat er echt bij komt is het informatieregister, de contractbepalingen, het exitplan en het testprogramma. Dat is een aanvulling, geen tweede stelsel.
Onze aanpak in vijf stappen
De volgorde is bewust: eerst bepalen wat er op u van toepassing is, dan pas inrichten.
1. Bepaal het regime
Wij stellen vast onder welk toezicht u valt en of het vereenvoudigde raamwerk van toepassing is. U levert gegevens over uw vergunning, omvang en dienstverlening. Dat levert duidelijkheid op over de omvang van de opgave, en die verschilt aanzienlijk.
2. Voer de gap-analyse uit
Wij toetsen uw huidige situatie per pijler en leggen vast wat er ligt. U geeft toegang tot beleid, contracten en registraties. Dat levert een lijst met tekorten op, geordend naar risico en inspanning.
3. Bouw het informatieregister
Wij richten het register in en koppelen het aan uw contractbeheer. U levert de contractportefeuille aan en wijst een beheerder aan. Dat levert het product op waar de toezichthouder als eerste naar vraagt.
4. Richt incidenten en testen in
Wij stellen het meldproces met classificatiecriteria op en zetten een testprogramma neer dat past bij uw regime. U belegt de rollen en plant de tests. Dat levert een werkwijze op die aansluit op uw bestaande incidentproces.
5. Beleg bestuur en jaarcyclus
Wij richten de rapportage aan het leidinggevend orgaan in en leggen de jaarcyclus vast. U agendeert de momenten en zorgt voor de vereiste kennis bij bestuurders. Dat levert de aantoonbaarheid op die DORA expliciet van de leiding vraagt.
Wat de doorlooptijd en de omvang bepalen
Trajecten lopen sterk uiteen. Deze factoren bepalen het verschil.
- Welk regime van toepassing is. Het vereenvoudigde raamwerk scheelt aanzienlijk in formalisering en testomvang.
- Omvang van de contractportefeuille. Elk ICT-contract moet worden beoordeeld en in het register opgenomen.
- Ketendiepte. Onderaannemers van uw leveranciers in beeld krijgen kost doorlooptijd die u niet zelf bepaalt.
- Bestaande normenkaders. Een lopend ISO 27001-systeem dekt een groot deel van pijler één af.
- Aantal kritieke functies. Meer kritieke functies betekent meer exitplannen en zwaardere eisen.
- Volwassenheid van uw contractbeheer. Is dat versnipperd, dan is de inventarisatie het grootste deel van het werk.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA bij DORA
Wij begeleiden het compliance-deel: het raamwerk, het register, de contracten en de aantoonbaarheid.
Dreigingsgestuurd testen is een apart vak, met een eigen kader en eigen eisen aan de testers. Het geldt bovendien alleen voor een beperkte groep grotere entiteiten. Valt u daaronder, dan zorgen wij dat het testprogramma aansluit op uw raamwerk en dat de uitkomsten landen waar ze moeten landen.
Wat wij wel doen aan de testkant is het lichtere werk dat DORA ook vraagt: kwetsbaarheidsscans, penetratietests op afgebakende omgevingen en het toetsen of herstelprocedures werkelijk werken.
Wat ons onderscheidt is de combinatie van techniek en compliance. Bij DORA is dat relevant, omdat de verordening technische weerbaarheid en bestuurlijke aantoonbaarheid aan elkaar knoopt. Een adviseur die alleen het juridische deel doet, levert een register op zonder onderliggende werkelijkheid.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, de Cyberbeveiligingswet en aanverwante kaders. Hij bepaalt met u welk regime van toepassing is, want dat besluit bepaalt de rest.
Weerbaarheid die u kunt aantonen
DORA vraagt in de kern iets eenvoudigs: weet welke ICT u nodig heeft om te blijven werken, weet bij wie dat ligt, en kan laten zien dat u het herstel heeft beproefd.
Wilt u weten welk regime op u van toepassing is en wat er in uw situatie werkelijk moet gebeuren? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of het volledige of het vereenvoudigde raamwerk geldt.
Veelgestelde vragen over DORA compliance
Sinds wanneer geldt DORA?
De verordening is sinds januari 2025 van toepassing. Er is geen aanvullende overgangsperiode, dus instellingen worden geacht te voldoen. In de praktijk zien wij dat toezichthouders vooral kijken of er een aantoonbaar plan ligt en of het informatieregister op orde is.
Valt onze ICT-onderneming zelf onder DORA?
Meestal niet direct. DORA richt zich op financiële entiteiten. Levert u aan zo’n instelling, dan komen de eisen via het contract bij u terecht. Alleen ICT-dienstverleners die op Europees niveau als kritiek zijn aangewezen, komen onder direct toezicht, en dat is een kleine groep.
Wat is het vereenvoudigde regime?
Een lichter raamwerk voor ICT-risicobeheer, bedoeld voor kleinere en niet-verweven entiteiten. De kern blijft hetzelfde, maar de mate van formalisering en de omvang van het testprogramma zijn beperkter. Bepaal eerst of dit op u van toepassing is, want het scheelt aanzienlijk in inspanning.
Wij hebben ISO 27001. Voldoen wij dan aan DORA?
Nee, maar u heeft wel een groot deel van het risicobeheer al staan. Wat er bij komt is het informatieregister, de DORA-specifieke contractbepalingen, exitplannen voor kritieke functies, het testprogramma en de incidentclassificatie met eigen termijnen. Dat bouwt voort op wat er ligt.
Wat is het informatieregister precies?
Een overzicht van uw contractuele afspraken met ICT-dienstverleners, met per contract de dienst, de leverancier, of het een kritieke functie ondersteunt, waar gegevens worden verwerkt en welke onderaannemers erbij betrokken zijn. Het moet actueel blijven en wordt periodiek aangeleverd bij de toezichthouder.
Moeten wij dreigingsgestuurde tests laten uitvoeren?
Alleen als u in de categorie valt waarvoor dat is voorgeschreven, en dat is een beperkte groep grotere entiteiten. Voor de meeste instellingen volstaat een testprogramma met scans, tests op afgebakende omgevingen en het beproeven van herstelprocedures.
Wat betekent DORA voor onze contracten?
Er moeten bepalingen in over de omschrijving van de dienst, verwerkingslocaties, meldplichten, toegang en controle, onderaanneming en beëindiging. Voor kritieke functies gelden zwaardere eisen, waaronder de mogelijkheid om over te stappen. Bereid één standaardbijlage voor in plaats van per klant te onderhandelen.
Waar beginnen wij als er nog niets ligt?
Met de vaststelling van uw regime en met het informatieregister. Het eerste bepaalt hoe zwaar de opgave is, het tweede is het product waar het eerst naar wordt gevraagd. De rest, van testprogramma tot exitplannen, kan daarna gefaseerd.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
