DORA en digitale weerbaarheid.
DORA — Verordening (EU) 2022/2554, de Digital Operational Resilience Act — harmoniseert de eisen aan digitale operationele weerbaarheid en ICT-risicobeheer in de financiële sector. De verordening is rechtstreeks toepasselijk en geldt sinds 17 januari 2025, en werkt als lex specialis voor ICT-risico. Hieronder de kern: reikwijdte, de vijf pijlers, het Level 2-kader en het toezicht door DNB en AFM.
Stand van zaken · laatst bijgewerkt 7 oktober 2026.
Wat wij voor u doen.
Drie manieren waarop wij u helpen bij DORA.
Uw ICT-risicobeheer, incidentproces, testen en derdenbeheer tegen de vijf pijlers van DORA en de Level 2-standaarden.
Het register van ICT-contracten opbouwen en aanleveren, en uitbestedingscontracten op de DORA-clausules brengen.
Classificatie en melding van ICT-incidenten aan DNB of AFM, en voorbereiding op uitvragen van de toezichthouder.
Veelgestelde vragen.
Wat is DORA?
DORA is Verordening (EU) 2022/2554 (Digital Operational Resilience Act). Zij stelt uniforme eisen aan ICT-risicobeheer en digitale weerbaarheid van financiële entiteiten en geldt rechtstreeks sinds 17 januari 2025. DORA gaat vergezeld van Richtlijn (EU) 2022/2556, die diverse sectorale richtlijnen aanpast (in Nederland verwerkt in de Wft). Als lex specialis gaat DORA voor op algemenere ICT- en uitbestedingsbepalingen in de sectorale kaders.
Voor wie geldt DORA?
DORA geldt voor een brede groep financiële entiteiten: banken, betaalinstellingen, elektronischgeldinstellingen, beleggingsondernemingen, crypto-dienstverleners (CASP’s), (her)verzekeraars, beheerders van beleggingsinstellingen en meer. Daarnaast raakt DORA ICT-derde-dienstverleners die aan deze entiteiten leveren, met een apart EU-Oversight-kader voor als kritiek aangemerkte aanbieders (CTPP’s).
Wat zijn de vijf pijlers van DORA?
(1) ICT-risicobeheer (art. 5–16) — governance en een gedocumenteerd risicobeheerkader, met een vereenvoudigd kader voor kleinere entiteiten. (2) Beheer, classificatie en melding van ICT-incidenten (art. 17–23). (3) Testen van digitale weerbaarheid (art. 24–27), inclusief Threat-Led Penetration Testing voor significante entiteiten. (4) Beheer van ICT-derde-partijrisico (art. 28–44), met contractuele minimumeisen, het informatieregister en het Oversight-kader. (5) Informatie-uitwisseling over cyberdreigingen (art. 45).
Wanneer moet een ICT-incident worden gemeld?
Financiële entiteiten moeten ernstige ICT-gerelateerde incidenten (“major incidents”) classificeren en melden bij de bevoegde autoriteit (in Nederland DNB of AFM); significante cyberdreigingen kunnen vrijwillig worden gemeld. De classificatiecriteria staan in CDR (EU) 2024/1772, de inhoud en rapportagetermijnen in CDR (EU) 2025/301 en de formulieren/templates in CIR (EU) 2025/302.
Wat is Threat-Led Penetration Testing (TLPT)?
TLPT is een geavanceerde, dreigingsgestuurde weerbaarheidstest die DORA verplicht stelt voor als significant aangewezen entiteiten (art. 26–27). De test bootst realistische aanvalsscenario’s na op productiesystemen en sluit aan op het Europese TIBER-raamwerk. De uitwerking staat in de RTS TLPT, CDR (EU) 2025/1190.
Wat houdt het beheer van ICT-derde-partijrisico in?
DORA stelt contractuele minimumeisen aan overeenkomsten met ICT-dienstverleners en verplicht een informatieregister van alle ICT-contractuele afspraken. Voor als kritiek aangemerkte ICT-derde-dienstverleners (CTPP’s) geldt een EU-breed Oversight-kader. Uitwerking onder meer in CDR (EU) 2024/1773 (beleid), CIR (EU) 2024/2956 (templates informatieregister) en CDR (EU) 2025/532 (subuitbesteding van kritieke of belangrijke functies).
Hoe verhoudt DORA zich tot NIS2 en uitbestedingsregels?
NIS2 (Richtlijn (EU) 2022/2555) en de CER-Richtlijn (EU) 2022/2557 zijn bredere cyber- en weerbaarheidskaders; voor financiële entiteiten is DORA de specifieke lex specialis en gaat zij voor. Ook het ICT-derde-partijregime van DORA gaat vóór op algemene uitbestedingsleidraden voor ICT-diensten. Voor niet-ICT-diensten publiceerde de EBA op 18 september 2026 nieuwe richtsnoeren voor het beheer van derdepartijrisico (EBA/GL/2026/09), die de uitbestedingsrichtsnoeren van 2019 vervangen zodra ze van toepassing worden; zij gelden ook voor betaalinstellingen, elektronischgeldinstellingen en beleggingsondernemingen en kennen een overgangstermijn van twee jaar voor bestaande kritieke of belangrijke uitbestedingen.
Hoe staat het met de naleving van DORA in Nederland?
In DORA-update 7 (6 augustus 2026) meldt de AFM dat het aandeel goedgekeurde informatieregisters is gestegen van 40 procent in 2025 naar 94 procent in 2026, dat het aantal incidentmeldingen lager is dan verwacht en dat beleidsdocumentatie soms incompleet is; groepsprocedures moeten alle verplichtingen van de Nederlandse entiteit dekken. Op 29 september 2026 vroeg de AFM assetmanagers de ICT-recovery te versterken: classificatie van kritieke functies, hersteldoelen, afspraken met ICT-dienstverleners en het testen van extreme scenario’s.
Wie houdt in Nederland toezicht op DORA?
DORA wordt in Nederland gehandhaafd door DNB en de AFM binnen hun respectieve domeinen. Omdat DORA een verordening is, geldt zij rechtstreeks; de wijzigingen uit Richtlijn 2022/2556 zijn in de Wft verwerkt. DNB en AFM hebben uitvraag- en rapportageverplichtingen ingericht, onder meer rond het informatieregister.
Wat zijn kritieke ICT-derde aanbieders (CTPP’s) onder DORA?
Op 18 november 2025 hebben de Europese toezichthouders (ESA’s) de eerste 19 kritieke ICT-derde aanbieders aangewezen, waaronder AWS, Microsoft, Google Cloud, Oracle, SAP en Deutsche Telekom. Elke CTPP krijgt een Lead Overseer (EBA, ESMA of EIOPA) die informatie kan opvragen, onderzoeken en inspecties kan uitvoeren en bindende aanbevelingen kan doen over onder meer ICT-beveiliging, onderuitbesteding en datalocatie. Voor financiële instellingen verandert de eigen verantwoordelijkheid niet: het derde-partijrisicobeheer blijft bij de instelling zelf.
Wat is het informatieregister en wanneer moet het worden aangeleverd?
Elke financiële entiteit moet een register bijhouden van álle contractuele regelingen met ICT-derde aanbieders, met onder meer functiekritikaliteit, onderaannemers en exitopties. Het register wordt jaarlijks via DNB of de AFM aan de ESA’s aangeleverd volgens de vaste templates uit de uitvoeringsverordening; datakwaliteit (LEI’s, functie-identificatie, consistentie) is daarbij het grootste struikelblok.