DORA is verordening (EU) 2022/2554 over digitale operationele weerbaarheid en geldt sinds 17 januari 2025. De verordening raakt vrijwel de hele financiële sector plus hun ICT-dienstverleners en rust op vijf pijlers: ICT-risicobeheer, incidentrapportage, weerbaarheidstesten, beheer van ICT-derden en informatiedeling. In Nederland houden DNB en AFM toezicht.
Laatst bijgewerkt op
DORA staat voor Digital Operational Resilience Act, in het Nederlands de verordening digitale operationele weerbaarheid. Het is verordening (EU) 2022/2554, in werking getreden in januari 2023 en van toepassing sinds 17 januari 2025. Er hoort een begeleidende richtlijn bij, (EU) 2022/2556, die bestaande financiële richtlijnen op DORA laat aansluiten.
Omdat het een verordening is en geen richtlijn, werkt DORA rechtstreeks. Er is geen Nederlandse omzettingswet nodig en er is geen nationale speelruimte om de eisen af te zwakken. Wat in de verordening staat, geldt.
De aanleiding is simpel: financiële instellingen zijn de facto ICT-bedrijven geworden, en het toezicht daarop was versnipperd over losse circulaires en richtlijnen per sector. DORA legt één set eisen neer voor de hele sector, met als centrale gedachte dat een instelling een ernstige ICT-verstoring moet kunnen doorstaan zonder dat de dienstverlening omvalt.
De verordening noemt ongeveer twintig typen financiële entiteiten. De lijst is breder dan alleen banken en verzekeraars: ook betaaldienstverleners, crypto-aanbieders en pensioenfondsen staan erop. Val je onder een van deze categorieën, dan geldt DORA voor je, ongeacht of je zelf ICT ontwikkelt of alles inkoopt.
Lever je ICT aan financiële entiteiten, dan raakt DORA je hoe dan ook. Voor de meeste leveranciers gaat dat indirect: je klant moet contractueel een reeks zaken vastleggen die de verordening voorschrijft, en die eisen komen via het contract bij jou terecht. Denk aan toegangs- en auditrechten, exit-scenario's, locatie van gegevensverwerking en meldafspraken bij incidenten.
Voor een kleine groep gaat het verder. Aanbieders die door de Europese toezichthouders worden aangewezen als kritieke ICT-derde dienstverlener komen onder rechtstreeks Europees toezicht te staan, met een aangewezen hoofdtoezichthouder die aanbevelingen kan doen en dwangsommen kan opleggen.
DORA werkt met evenredigheid. Kleine en niet-verweven entiteiten mogen een vereenvoudigd raamwerk voor ICT-risicobeheer hanteren, met minder zware eisen dan het volledige raamwerk. Dat is geen vrijstelling: de kern blijft staan, alleen de diepgang verschilt.
Wie precies onder dat vereenvoudigde regime valt staat in de verordening zelf en wordt door de toezichthouder getoetst. Ga er niet vanuit dat je erin valt omdat je klein bent, maar controleer het aan de criteria.
DORA is opgebouwd rond vijf pijlers. De eerste vier zijn verplichtingen, de vijfde is vrijwillig. Samen vormen ze de eisen waar een instelling aantoonbaar aan moet voldoen.
| Pijler | Wat het inhoudt | Waar het in de praktijk op neerkomt |
|---|---|---|
| ICT-risicobeheer | Een raamwerk voor het beheersen van ICT-risico, met beleid, procedures en tools, onder verantwoordelijkheid van het leidinggevend orgaan | Actueel overzicht van ICT-middelen en afhankelijkheden, detectie, respons, herstel, back-up en communicatie bij verstoringen |
| Incidentrapportage | Classificeren van ICT-gerelateerde incidenten en het melden van ernstige incidenten aan de toezichthouder | Een classificatieproces, een meldketen die de termijnen haalt en drie rapportages per ernstig incident |
| Weerbaarheidstesten | Een testprogramma dat past bij omvang en risicoprofiel, met voor aangewezen entiteiten dreigingsgestuurde penetratietesten | Jaarlijks basistesten, plus TLPT voor de instellingen die daarvoor zijn aangewezen |
| Beheer van ICT-derdenrisico | Beheersen van risico bij uitbesteding, met verplichte contractbepalingen en een register van informatie | Contracten aanpassen, een leveranciersregister bijhouden en exit-strategieën vastleggen |
| Informatiedeling | Vrijwillig uitwisselen van informatie over cyberdreigingen binnen vertrouwde kringen | Aansluiten bij een sectoraal samenwerkingsverband, geen verplichting |
DORA verplicht tot het registreren van alle ICT-gerelateerde incidenten en het melden van de incidenten die als ernstig kwalificeren. De classificatie gaat langs criteria als het aantal geraakte klanten, de duur en de uitval, de geografische spreiding, het gegevensverlies, de kritikaliteit van de geraakte diensten en de economische impact.
Bij een ernstig incident volgen drie rapportages: een eerste kennisgeving, een tussentijds rapport en een eindrapport. De precieze termijnen staan in de technische normen bij de verordening. Ze zijn strak, en dat is bewust: de eerste melding hoort binnen enkele uren te vertrekken en niet pas als het beeld compleet is.
| Rapportage | Wat je indient | Termijn |
|---|---|---|
| Eerste kennisgeving | Melding dat er een ernstig incident is, met wat op dat moment bekend is | Binnen enkele uren na classificatie als ernstig, en uiterlijk binnen 24 uur nadat je het incident hebt vastgesteld |
| Tussentijds rapport | Bijgewerkt beeld: status, impact op klanten en diensten, genomen maatregelen | Binnen 72 uur na de eerste kennisgeving, en opnieuw bij een relevante statuswijziging |
| Eindrapport | Oorzaakanalyse, definitieve impact, herstelmaatregelen en lessen | Uiterlijk één maand na het meest recente tussentijdse rapport |
| Vrijwillige melding | Melding van een significante cyberdreiging die je zelf hebt waargenomen | Geen termijn, dit is een mogelijkheid en geen plicht |
Een incident kan onder meerdere regimes vallen. Raakt het persoonsgegevens, dan loopt daarnaast de datalekmelding uit de AVG met haar eigen termijn van 72 uur en haar eigen ontvanger, de Autoriteit Persoonsgegevens. Voor betaaldienstverleners kunnen bovendien de bestaande meldkaders voor betalingsverkeer meelopen.
Regel daarom één interne meldketen die alle regimes tegelijk bedient. Twee losse procedures die pas bij een incident naast elkaar worden gelegd, halen de termijnen niet.
De pijler die in de praktijk het meeste werk oplevert is het beheer van ICT-derdenrisico. DORA schrijft voor welke bepalingen in een contract met een ICT-dienstverlener moeten staan, en die eisen zijn zwaarder voor diensten die kritieke of belangrijke functies ondersteunen.
Daarbovenop komt het register van informatie: een gestructureerd overzicht van alle contractuele afspraken over ICT-diensten, dat je actueel houdt en periodiek bij de toezichthouder aanlevert. Het register is geen administratieve bijvangst maar het instrument waarmee toezichthouders concentratierisico in de sector in kaart brengen.
DORA vraagt expliciet om te kijken naar afhankelijkheid van één aanbieder of van een klein aantal aanbieders. Draait je hele kritieke keten bij één cloudprovider, dan is dat een risico dat je beoordeelt en waarover je een besluit vastlegt.
Dat besluit hoeft niet te zijn dat je overstapt. Het moet wel een bewust besluit zijn, genomen op het juiste niveau, met een exit-scenario dat meer is dan een alinea in een contract.
Elke entiteit heeft een testprogramma nodig dat past bij haar omvang en risicoprofiel. Daar vallen kwetsbaarhedenscans, penetratietesten, testen van bedrijfscontinuïteit en herstelplannen, en compatibiliteits- en prestatietesten onder. Systemen die kritieke of belangrijke functies ondersteunen worden ten minste jaarlijks getest.
Voor een aangewezen groep instellingen komt daar dreigingsgestuurd penetratietesten bij, afgekort TLPT. Dat is geen gewone pentest maar een gesimuleerde aanval op productiesystemen, gebaseerd op actuele dreigingsinformatie, uitgevoerd door externe testers en onder toezicht. In Europa leunt dat regime op het TIBER-EU-raamwerk, dat DNB in Nederland al langer toepast als TIBER-NL.
Wie zo'n test moet doen wordt aangewezen door de toezichthouder, en de cyclus is meerjarig. Voor de instellingen die eronder vallen is dit de zwaarste verplichting uit de verordening, zowel qua doorlooptijd als qua voorbereiding.
In Nederland is het toezicht verdeeld zoals het financieel toezicht dat altijd al is. De Nederlandsche Bank houdt prudentieel toezicht op onder meer banken, verzekeraars, pensioenfondsen en betaalinstellingen. De Autoriteit Financiële Markten houdt gedragstoezicht en is voor onder meer beleggingsondernemingen, beheerders van beleggingsinstellingen en handelsplatformen de bevoegde autoriteit. Veel instellingen hebben met beide te maken.
DORA harmoniseert de boetehoogtes voor financiële entiteiten niet: de bevoegdheden en de sancties lopen via de bestaande nationale toezichtkaders, waaronder de Wet op het financieel toezicht. In de praktijk betekent dat het hele bestaande instrumentarium: aanwijzingen, lasten onder dwangsom, bestuurlijke boetes en publicatie van maatregelen.
Voor kritieke ICT-derde dienstverleners geldt wel een eigen Europees instrument. De hoofdtoezichthouder kan een dwangsom opleggen van maximaal 1 procent van de gemiddelde wereldwijde dagomzet, voor een periode van maximaal zes maanden, zolang de aanbeveling niet wordt opgevolgd.
De vraag die het vaakst terugkomt is of een financiële instelling naast DORA ook NIS2 moet doen. Het antwoord staat in NIS2 zelf: waar een sectorale Europese regeling ten minste gelijkwaardige eisen stelt, gaat die regeling voor. DORA is zo'n regeling en werkt dus als lex specialis voor ICT-risicobeheer, incidentmelding, testen en het beheer van ICT-derden.
Dat betekent niet dat NIS2 volledig verdwijnt uit beeld. Het banken- en financiële-marktinfrastructuurdeel staat gewoon in bijlage I van de richtlijn, en NIS2-verplichtingen die buiten het bereik van DORA vallen kunnen blijven gelden. Voor de onderwerpen die DORA regelt is DORA leidend.
DORA geldt al, dus de vraag is niet of je begint maar waar het gat het grootst is. Bij de meeste instellingen zit dat gat in de ICT-derdenpijler en in de meldketen, niet in de techniek.
De technische buitenkant van je organisatie is direct te toetsen. Onze gratis domeinscan controleert TLS, security headers, DNSSEC, e-mailbeveiliging en een reeks andere publiek zichtbare instellingen, en laat zien welke daarvan meetellen als bewijs voor normen als ISO 27001 en voor de beveiligingsplichten uit DORA en de AVG.
Wil je weten hoeveel werk de rest is, reken het dan door zonder account. Je krijgt de werklast per onderwerp op basis van je sector en omvang, en je ziet in welke volgorde het werk logisch loopt.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Begin zelf met het platform of ga de diepte in met onze mensen. Allebei brengen ze je ICT in control.