Wat is DORA? De verordening voor digitale weerbaarheid

Wat is DORA? DORA staat voor Digital Operational Resilience Act: Verordening (EU) 2022/2554 over de digitale operationele weerbaarheid van de financiële sector. De DORA-wetgeving moet ervoor zorgen dat financiële instellingen bestand zijn tegen ICT-verstoringen en snel herstellen als er iets misgaat. De verordening geldt sinds 17 januari 2025 en werkt rechtstreeks in alle lidstaten.

Het idee erachter is helder. Banken, verzekeraars en pensioenfondsen draaien op ICT. Een storing raakt al snel hun klanten, en soms de rest van de sector. DORA vraagt daarom dat zij hun ICT-risico’s beheersen, incidenten melden, hun weerbaarheid testen en grip houden op hun ICT-leveranciers. Wie dat op orde heeft, laat toezichthouder en klanten zien dat de dienstverlening doorloopt.

Hieronder leest u voor wie DORA geldt, wat de vijf pijlers inhouden en wat DORA betekent voor ICT-leveranciers. Hoe DORA past tussen de andere kaders, ziet u in het overzicht informatiebeveiliging. Voor de inrichting in uw eigen organisatie is er DORA compliance.

Voor wie geldt de DORA-wetgeving?

DORA geldt voor financiële entiteiten die onder toezicht staan. Denk aan banken, verzekeraars, pensioenfondsen, beleggingsinstellingen, beleggingsondernemingen, betaalinstellingen en aanbieders van cryptodiensten. De verordening knoopt aan bij het soort instelling waarvoor u een vergunning of registratie heeft.

Niet elke instelling krijgt dezelfde zware eisen. Volgens het evenredigheidsbeginsel passen de eisen bij de omvang, het risicoprofiel en de aard van de dienstverlening. Voor een aantal kleinere en minder verweven instellingen geldt een vereenvoudigd kader voor ICT-risicobeheer. Micro-ondernemingen hebben op onderdelen lichtere verplichtingen, bijvoorbeeld bij het testen.

ICT-leveranciers vallen meestal niet zelf onder DORA. Zij krijgen de eisen via het contract met hun financiële klant. Alleen een kleine groep grote aanbieders staat rechtstreeks onder Europees toezicht. Volgens DNB wezen de Europese toezichthouders er in november 2025 negentien aan als kritieke ICT-dienstverlener, waaronder grote cloud- en IT-bedrijven.

De vijf pijlers van DORA

De verordening is opgebouwd rond vijf onderwerpen, vaak de vijf pijlers genoemd. De tabel laat zien wat elke pijler vraagt en wat u er in de praktijk voor inricht.

De pijlers hangen samen. Een incident dat u niet kunt classificeren, kunt u ook niet op tijd melden. En een test zonder overzicht van uw kritieke systemen mist zijn doel.

ICT-risicobeheer: het bestuur aan het roer

Het fundament van DORA is het kader voor ICT-risicobeheer. De verordening legt de verantwoordelijkheid bij het leidinggevend orgaan, in de praktijk het bestuur. Dat stelt het kader vast, met duidelijke taken, budget, rapportagelijnen en een plan voor interne audit.

Inhoudelijk volgt het kader een herkenbare lijn. U brengt in kaart welke bedrijfsfuncties op ICT draaien en welke systemen daarbij horen. U beschermt die systemen, ziet afwijkingen op tijd en heeft plannen klaar voor continuïteit en herstel. Hoe u dat laatste aanpakt, leest u in ons artikel over bedrijfscontinuïteit.

Heeft u al een ISMS, een managementsysteem voor informatiebeveiliging volgens ISO 27001, dan heeft u een voorsprong. Risicobeheer, incidentbeheer en leveranciersbeheer zitten daar al in. DORA vraagt op punten meer detail, vooral rond ICT-continuïteit, meldtermijnen en de rol van het bestuur.

Incidenten melden onder DORA

DORA vraagt dat u ICT-incidenten registreert en classificeert, en de ernstige incidenten meldt bij uw toezichthouder. De classificatie volgt vaste criteria, zoals het aantal getroffen klanten, de duur van de verstoring en het belang van de geraakte diensten.

Voor de melding gelden strakke termijnen. Volgens de AFM doet u de eerste melding binnen 4 uur nadat u een incident als ernstig heeft aangemerkt. Dat moet wel uiterlijk 24 uur na ontdekking. Een tussentijds verslag volgt binnen 72 uur, het eindverslag uiterlijk een maand na de classificatie.

Het lastige zit vaak in het besluit, niet in het formulier. Wie beoordeelt of een incident ernstig is, ook buiten kantooruren? Leg dat vooraf vast, met een vervanger. Dan loopt de klok niet door terwijl iemand onbereikbaar is.

Valt uw instelling ook onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2, dan meldt u volgens DNB daarnaast bij het NCSC. Ernstige cyberdreigingen die nog geen incident zijn geworden, mag u vrijwillig melden bij uw toezichthouder.

Testen: van jaarlijkse tests tot TLPT

DORA vraagt een testprogramma dat past bij uw risico’s. Systemen die kritieke of belangrijke functies ondersteunen, test u minimaal één keer per jaar. Denk aan kwetsbaarheidsscans, gap-analyses, broncodereviews, scenariotests en penetratietests. Micro-ondernemingen kiezen hun tests op basis van een eenvoudigere, risicogebaseerde afweging.

Een kleinere groep instellingen voert daarnaast eens in de drie jaar een dreigingsgestuurde penetratietest uit, afgekort TLPT. Daarbij bootsen ethische hackers op basis van actuele dreigingsinformatie een echte aanval na, op de live productiesystemen. De toezichthouder bepaalt wie zo’n test moet doen. In Nederland is dat DNB of de AFM, afhankelijk van wie de vergunning verleende. Het proces volgt het Europese TIBER-EU-raamwerk.

Levert u ICT-diensten aan een instelling die een TLPT doet, dan kan uw klant u vragen mee te doen. Maak daar vooraf afspraken over in het contract, zodat het geen verrassing wordt.

Het informatieregister en uw ICT-leveranciers

Elke financiële entiteit houdt een informatieregister bij. Daarin staan alle contractuele afspraken over ICT-diensten van derden, inclusief onderaannemers. De toezichthouder vraagt het register jaarlijks op. De Europese toezichthouders gebruiken de gegevens onder meer om kritieke aanbieders aan te wijzen.

Daarnaast stelt DORA eisen aan de contracten zelf. Elk ICT-contract beschrijft onder meer de dienstverlening, de serviceniveaus, de bescherming van gegevens en de hulp bij incidenten. Ondersteunt een dienst een kritieke of belangrijke functie, dan komen er afspraken bij. Denk aan rechten op inspectie en audit, deelname aan een TLPT en een exitstrategie voor als de samenwerking stopt.

Het register is het meest tastbare product van DORA. Begin met een volledige lijst van uw ICT-contracten en de functies die ze ondersteunen. Wie zonder overzicht begint, loopt vast op ontbrekende gegevens van leveranciers. Die aanvullen kost doorlooptijd die u niet zelf in de hand heeft.

Wat DORA betekent als u ICT levert aan financiële instellingen

Veel MKB-bedrijven merken DORA via een klant. Een bank, verzekeraar of pensioenuitvoerder stuurt een vragenlijst of een aanvulling op het contract. Daarin staan vragen over uw beveiliging, uw continuïteit, uw onderaannemers en uw medewerking aan audits en tests.

U valt dan zelf meestal niet onder DORA, maar uw klant moet kunnen aantonen dat hij zijn leveranciers beheerst. Drie dingen maken dat voor beide partijen eenvoudiger.

• Een actueel overzicht van uw eigen leveranciers. Uw klant wil weten welke onderaannemers zijn kritieke functies raken, dus moet u dat ook weten.
• Een incidentproces met korte lijnen. Uw klant heeft voor zijn eerste melding maar een paar uur, en is daarbij afhankelijk van uw informatie.
• Bewijs dat uw maatregelen werken. Een ISO 27001-certificaat, een SOC 2 type 2-rapport of een ISAE 3000-verklaring beantwoordt veel vragen in één keer.

Bereid daarom een standaardpakket voor met beleid, procedures en rapporten. Dan begint u niet bij elke klant opnieuw.

DORA naast de Cyberbeveiligingswet (NIS2) en ISO 27001

DORA staat niet los van andere regels. NIS2 is in Nederland omgezet in de Cyberbeveiligingswet, die voor veel meer sectoren geldt. De Cyberbeveiligingswet is van kracht. Valt een financiële instelling onder beide, dan gaat DORA voor als de meer specifieke regeling. De overlap en de verschillen staan in NIS2 vs DORA.

ISO 27001 is geen wet maar een norm. Toch is het voor veel instellingen een goed fundament, omdat risicobeheer, incidentbeheer en leveranciersbeheer er al in zitten. Wat DORA daaraan toevoegt, zijn vooral de vaste meldtermijnen, het testprogramma en het informatieregister.

Waar u begint met DORA

Begin met de vraag welk regime voor u geldt: het volledige kader, het vereenvoudigde kader of DORA via uw klanten. Dat bepaalt hoe zwaar de rest wordt. Zet daarna het informatieregister en de meldketen neer. Dat zijn de onderdelen waar de toezichthouder concreet om vraagt: het register elk jaar, een melding bij elk ernstig incident. Het testprogramma en de verfijning van het risicokader volgen in de jaarcyclus.

Veelgestelde vragen over DORA-wetgeving

Sinds wanneer geldt DORA?

DORA is van toepassing sinds 17 januari 2025. Als Europese verordening geldt hij rechtstreeks in alle lidstaten. De technische uitwerking staat in aanvullende Europese standaarden, onder meer over het melden van incidenten en het testen.

Wie houdt in Nederland toezicht op DORA?

DNB en de AFM, elk voor de instellingen die onder hun toezicht vallen. Zij behandelen de meldingen van ernstige incidenten en vragen het informatieregister op. Op de aangewezen kritieke ICT-dienstverleners houden de Europese toezichthouders zelf toezicht.

Valt mijn IT-bedrijf onder DORA als ik aan een bank lever?

Meestal niet rechtstreeks. Alleen aanbieders die Europees als kritiek zijn aangewezen, krijgen direct toezicht. U krijgt de eisen wel via het contract met uw klant, zoals afspraken over audits, incidenten en een exitregeling.

Wat is het verschil tussen DORA en de Cyberbeveiligingswet (NIS2)?

NIS2, in Nederland de Cyberbeveiligingswet, geldt voor een brede reeks sectoren. DORA is specifiek voor de financiële sector en gaat daar voor. Op onderdelen is DORA gedetailleerder, bijvoorbeeld met het informatieregister en de verplichte tests.

Wat is het informatieregister?

Een overzicht van alle contracten met ICT-dienstverleners, inclusief onderaannemers en de functies die zij ondersteunen. De toezichthouder vraagt het jaarlijks op. Het is ook een handig stuurmiddel voor uzelf, omdat u ziet waar uw afhankelijkheden zitten.