Gepubliceerd op 12 november 2025 · Laatst bijgewerkt op 9 oktober 2026
Onder DORA (Verordening (EU) 2022/2554) blijft de financiële instelling altijd volledig verantwoordelijk voor haar ICT-risico’s, ook als zij ICT-diensten uitbesteedt (artikel 28 lid 1). Een ICT-dienstverlener valt alleen rechtstreeks onder toezicht als de Europese toezichthouders hem als kritieke derde aanbieder hebben aangewezen; andere leveranciers krijgen de verplichtingen via het contract.
DORA geldt sinds 17 januari 2025 voor banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en vele andere financiële entiteiten. In dit artikel leest u wie waarvoor verantwoordelijk is, welke termijnen gelden en wat dat betekent voor contracten met ICT-leveranciers.
Inhoudsopgave
Voor wie geldt DORA?
DORA geldt voor de financiële entiteiten uit artikel 2, zoals kredietinstellingen, betaalinstellingen, verzekeraars, pensioenfondsen, beleggingsondernemingen en aanbieders van cryptodiensten. De verordening geldt rechtstreeks in alle EU-lidstaten; in Nederland houden De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) toezicht.
De eisen gelden naar evenredigheid (artikel 4): een kleine betaalinstelling hoeft minder te doen dan een grote bank. Voor sommige kleine en niet-verweven entiteiten geldt een vereenvoudigd kader voor ICT-risicobeheer (artikel 16). Voor financiële entiteiten gaat DORA voor op de algemene cyberbeveiligingsregels van de NIS2-richtlijn. Meer achtergrond leest u in ons artikel over wat DORA betekent voor uw organisatie.
Wie is verantwoordelijk voor het ICT-risico?
Het leidinggevend orgaan van de financiële entiteit draagt de eindverantwoordelijkheid voor het beheer van ICT-risico’s (artikel 5 lid 2). Het bestuur keurt het kader voor ICT-risicobeheer goed, bepaalt het beleid voor ICT-diensten van derden en moet zelf voldoende kennis hebben om die risico’s te begrijpen.
Uitbesteding verandert daar niets aan. De financiële entiteit moet vóór het sluiten van een contract beoordelen of de dienst een kritieke of belangrijke functie ondersteunt, de leverancier toetsen op betrouwbaarheid en concentratierisico, en een exitstrategie hebben (artikel 28 leden 4 en 8). De ICT-dienstverlener is verantwoordelijk voor het nakomen van zijn contract, niet voor de naleving van DORA door zijn klant.
Welke afspraken moeten in het contract met een ICT-dienstverlener staan?
Artikel 30 DORA schrijft voor welke bepalingen elk contract voor ICT-diensten moet bevatten. Voor diensten die kritieke of belangrijke functies ondersteunen, gelden aanvullende eisen (artikel 30 lid 3).
- een duidelijke omschrijving van de diensten en of onderaanneming is toegestaan, en onder welke voorwaarden;
- de locaties waar de diensten worden verleend en de gegevens worden verwerkt;
- afspraken over beschikbaarheid, integriteit, beveiliging en vertrouwelijkheid van gegevens;
- bijstand bij ICT-incidenten en medewerking aan de toezichthouder;
- beëindigingsrechten en minimale opzegtermijnen;
- bij kritieke of belangrijke functies: precieze serviceniveaus, rapportageverplichtingen, bedrijfscontinuïteitsplannen, deelname aan dreigingsgestuurde penetratietests, onbeperkte audit- en toegangsrechten en een exitregeling met een passende overgangsperiode.
Lees ook onze artikelen over contracten met IT-leveranciers en de IT-dienstverleningsovereenkomst.
Wat is het informatieregister?
Elke financiële entiteit houdt een register bij van al haar contracten met ICT-dienstverleners (artikel 28 lid 3). Zij stelt het register op verzoek ter beschikking van de toezichthouder en meldt jaarlijks nieuwe contracten en de categorieën van diensten.
Het register volgt een vast Europees sjabloon. Daarin staat onder meer welke leverancier welke dienst levert, welke functie die dienst ondersteunt en welke onderaannemers in de keten zitten. De toezichthouders gebruiken de registers ook om te bepalen welke aanbieders kritiek zijn voor de hele financiële sector. ICT-leveranciers moeten hun klanten daarom de gegevens geven die nodig zijn om het register in te vullen.
Binnen welke termijnen moet een ernstig incident worden gemeld?
Een ernstig ICT-gerelateerd incident meldt de financiële entiteit bij de toezichthouder (artikel 19). De termijnen staan in de technische uitvoeringsregels bij DORA.
- een eerste melding binnen vier uur nadat het incident als ernstig is geclassificeerd, en uiterlijk 24 uur nadat de entiteit het incident heeft ontdekt;
- een tussentijds rapport binnen 72 uur na de eerste melding;
- een eindrapport uiterlijk een maand na het tussentijdse rapport.
De meldplicht ligt bij de financiële entiteit, niet bij de leverancier. Daarom moet het contract regelen dat de leverancier een incident direct doorgeeft en de informatie levert die nodig is voor de melding. Meer over meldplichten leest u in ons artikel over cyberincidenten en meldplichten.
Wanneer is een ICT-dienstverlener een kritieke derde aanbieder?
De Europese toezichthouders EBA, EIOPA en ESMA wijzen ICT-dienstverleners als kritiek aan op basis van onder meer het belang voor de financiële sector, het aantal klanten en de vervangbaarheid (artikel 31). Een aangewezen aanbieder valt rechtstreeks onder toezicht van een Europese hoofdtoezichthouder.
De eerste lijst van kritieke derde aanbieders is in november 2025 gepubliceerd; het gaat vooral om grote cloud- en datacenteraanbieders. De hoofdtoezichthouder kan informatie opvragen, inspecties houden en aanbevelingen doen. Volgt de aanbieder die niet op, dan kan een dwangsom worden opgelegd van ten hoogste 1 procent van de gemiddelde dagelijkse wereldwijde omzet per dag, voor maximaal zes maanden (artikel 35 lid 8). DORA kent geen algemene boete van 2 procent van de omzet; dat bedrag komt uit de NIS2-richtlijn. Volgt een kritieke aanbieder aanbevelingen niet op, dan kunnen de nationale toezichthouders financiële entiteiten bovendien opdragen het gebruik van zijn diensten op te schorten of te beëindigen (artikel 42).
Welke sancties gelden voor financiële entiteiten?
Voor financiële entiteiten stellen de lidstaten de sancties vast (artikel 50). In Nederland zijn de DORA-verplichtingen ingebouwd in het boetestelsel van de Wet op het financieel toezicht, zodat DNB en de AFM een aanwijzing, last onder dwangsom of bestuurlijke boete kunnen opleggen.
Een tekortkoming bij een leverancier komt daarmee op het bord van de financiële entiteit. Zij moet kunnen aantonen dat zij de leverancier vooraf heeft beoordeeld en tijdens de looptijd heeft gecontroleerd (artikel 28 lid 4).
Waar let u als financiële instelling op?
- Bepaal per ICT-contract of het een kritieke of belangrijke functie ondersteunt en pas de eisen van artikel 30 lid 3 toe.
- Houd het informatieregister actueel, inclusief onderaannemers.
- Leg in elk contract een termijn vast waarbinnen de leverancier incidenten moet melden, zodat u de vier- en 24-uurstermijn haalt.
- Zorg voor een getest exitplan met een overgangsperiode voor kritieke diensten.
- Laat het bestuur het beleid voor ICT-diensten van derden aantoonbaar goedkeuren.
Waar let u als ICT-dienstverlener op?
- Controleer of uw standaardcontract de bepalingen van artikel 30 DORA bevat.
- Regel welke audit- en toegangsrechten u verleent en hoe u die praktisch organiseert.
- Leg vast welke onderaannemers u inzet en hoe u wijzigingen vooraf meldt.
- Zorg dat u incidenten snel genoeg kunt doorgeven om de meldtermijnen van uw klant mogelijk te maken.
Wat kunnen wij voor u doen bij DORA?
Onze advocaten ondernemingsrecht adviseren financiële instellingen en ICT-dienstverleners over de contractuele en toezichtrechtelijke kant van DORA.
- Wij toetsen ICT-contracten aan artikel 30 DORA en stellen een DORA-addendum op.
- Wij beoordelen of een dienst een kritieke of belangrijke functie ondersteunt en welke extra eisen dan gelden.
- Wij onderhandelen namens leveranciers of afnemers over audit-, exit- en aansprakelijkheidsbepalingen.
- Wij adviseren over de meldplicht van artikel 19 en de afspraken over incidentmelding in de keten.
- Wij staan u bij in contacten met DNB of de AFM en bij bezwaar tegen een handhavingsbesluit.
Samengevat
- DORA geldt sinds 17 januari 2025; de financiële entiteit blijft volledig verantwoordelijk, ook bij uitbesteding.
- Artikel 30 bepaalt welke afspraken in elk ICT-contract moeten staan, met extra eisen voor kritieke of belangrijke functies.
- Een ernstig incident wordt binnen vier uur na classificatie en uiterlijk 24 uur na ontdekking eerst gemeld.
- Alleen aangewezen kritieke derde aanbieders vallen rechtstreeks onder Europees toezicht.
Veelgestelde vragen
Valt mijn IT-bedrijf rechtstreeks onder DORA?
Alleen als u door de Europese toezichthouders als kritieke derde aanbieder bent aangewezen. Anders krijgt u met DORA te maken via de contracten met uw financiële klanten.
Wie meldt een ICT-incident bij de toezichthouder?
De financiële entiteit. De leverancier moet het incident wel tijdig aan zijn klant doorgeven en de benodigde informatie leveren.
Welke boete riskeert een kritieke derde aanbieder?
De hoofdtoezichthouder kan een dwangsom opleggen van ten hoogste 1 procent van de gemiddelde dagelijkse wereldwijde omzet per dag, voor maximaal zes maanden.
Moeten bestaande contracten worden aangepast?
Ja. Ook contracten die vóór 17 januari 2025 zijn gesloten, moeten aan artikel 30 DORA voldoen.
