Gepubliceerd op 10 november 2025 · Laatst bijgewerkt op 11 oktober 2026
De Digital Operational Resilience Act (DORA, Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 voor vrijwel alle financiële ondernemingen in de EU, van banken en verzekeraars tot betaalinstellingen en aanbieders van cryptoactiva-diensten. U moet ICT-risico’s beheersen, ernstige ICT-incidenten melden, uw digitale weerbaarheid testen en uw ICT-leveranciers beheren; voor kleine ondernemingen gelden op onderdelen lichtere eisen.
DORA is een verordening en geldt daarom rechtstreeks, zonder omzetting in Nederlandse wetgeving. In Nederland houden De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) toezicht. Hieronder leest u voor wie DORA geldt, welke verplichtingen er zijn en wat dit betekent voor uw contracten met ICT-leveranciers.
Inhoudsopgave
Voor wie geldt DORA?
DORA geldt voor de financiële entiteiten die de verordening opsomt (artikel 2 DORA). Daaronder vallen onder meer kredietinstellingen, betaal- en elektronischgeldinstellingen, beleggingsondernemingen, verzekeraars, pensioenfondsen (IORP’s), crowdfundingdienstverleners en aanbieders van cryptoactiva-diensten.
Ook marktinfrastructuur valt eronder, zoals handelsplatformen, centrale tegenpartijen en centrale effectenbewaarinstellingen. ICT-dienstverleners vallen niet zelf onder alle verplichtingen. Wel krijgen zij te maken met de contractuele eisen die hun klanten moeten stellen. Leveranciers die als kritiek worden aangewezen, komen onder rechtstreeks toezicht van de Europese toezichthouders (artikel 31 DORA).
Hoe verhoudt DORA zich tot NIS2?
DORA is specifiek voor de financiële sector en gaat voor op de algemene cyberbeveiligingsregels van NIS2. NIS2 is een richtlijn die in nationale wetgeving wordt omgezet en geldt voor meer sectoren, zoals energie, transport en zorg.
Valt uw financiële onderneming onder beide regimes, dan volgt u voor ICT-risicobeheer en incidentmelding in beginsel DORA. Zie ook ons artikel over meldplichten bij cyberincidenten.
Welke eisen gelden voor ICT-risicobeheer?
U moet een gedocumenteerd kader voor ICT-risicobeheer hebben dat uw ICT-systemen, risico’s en maatregelen beschrijft (artikel 6 DORA). Het leidinggevend orgaan is eindverantwoordelijk en moet voldoende kennis hebben van ICT-risico’s (artikel 5 DORA).
Het kader omvat onder meer het in kaart brengen van kritieke functies en systemen, maatregelen voor bescherming en detectie, en plannen voor continuïteit en herstel. Kleine en niet-verweven ondernemingen kunnen een vereenvoudigd kader gebruiken (artikel 16 DORA). Over de rol van bestuurders leest u meer in ons artikel over bestuurdersaansprakelijkheid bij cyberaanvallen.
Wanneer en hoe meldt u een ICT-incident?
Een ernstig ICT-incident meldt u aan uw toezichthouder in drie stappen. De termijnen staan in Gedelegeerde Verordening (EU) 2025/301.
- Eerste melding: zo snel mogelijk, uiterlijk vier uur nadat het incident als ernstig is geclassificeerd en uiterlijk 24 uur nadat u het heeft ontdekt.
- Tussentijds rapport: uiterlijk 72 uur na de eerste melding.
- Eindrapport: uiterlijk een maand na het laatste tussentijdse rapport.
Of een incident ernstig is, bepaalt u aan de hand van de classificatiecriteria van DORA, zoals het aantal getroffen klanten, de duur en de geografische spreiding (artikel 18 DORA). Leg ook incidenten vast die niet gemeld hoeven te worden; u moet alle ICT-incidenten registreren (artikel 17 DORA).
Hoe vaak moet u uw digitale weerbaarheid testen?
U moet een testprogramma hebben en ICT-systemen die kritieke functies ondersteunen ten minste jaarlijks testen (artikel 24 DORA). Daarbij horen bijvoorbeeld kwetsbaarheidsscans, scenariotests en penetratietests.
Ondernemingen die de toezichthouder daarvoor aanwijst, moeten daarnaast ten minste elke drie jaar een dreigingsgestuurde penetratietest (TLPT) uitvoeren (artikel 26 DORA). Leg de testresultaten en de opvolging vast.
Welke eisen gelden voor ICT-leveranciers?
U blijft volledig verantwoordelijk voor diensten die u uitbesteedt (artikel 28 DORA). U moet een register bijhouden van alle contractuele afspraken over ICT-diensten van derden.
Contracten met ICT-leveranciers moeten de onderwerpen bevatten die artikel 30 DORA voorschrijft. Daaronder vallen een duidelijke omschrijving van de diensten, de locaties van dataverwerking, afspraken over beveiliging, medewerking bij incidenten, audit- en toegangsrechten en exitstrategieën. Voor diensten die kritieke functies ondersteunen gelden aanvullende eisen. Zie ook ons artikel over de IT-dienstverleningsovereenkomst.
Welke sancties gelden bij niet-naleving?
De lidstaten regelen de sancties voor financiële entiteiten (artikel 50 DORA). In Nederland kunnen DNB en de AFM onder meer een aanwijzing, een last onder dwangsom of een bestuurlijke boete opleggen.
Voor kritieke ICT-leveranciers kan de Europese hoofdtoezichthouder een dwangsom opleggen van ten hoogste 1 procent van de gemiddelde dagelijkse wereldwijde omzet (artikel 35 DORA). Toezichthouders kunnen opgelegde sancties openbaar maken, wat ook reputatiegevolgen heeft. Meer over handhaving leest u in ons artikel over bestuursrechtelijke handhaving.
Waar let u als financiële onderneming op?
- Ga na of uw onderneming onder artikel 2 DORA valt en of het vereenvoudigde kader van artikel 16 voor u geldt.
- Leg uw ICT-risicobeheerkader vast en laat het bestuur het goedkeuren.
- Richt een procedure in om incidenten te classificeren en binnen vier uur te melden.
- Houd het register van ICT-contracten actueel.
- Test kritieke systemen ten minste jaarlijks.
Waar let u als ICT-leverancier op?
- Ga na of uw klanten onder DORA vallen.
- Verwacht contractuele eisen over beveiliging, incidentmelding, audits en exit.
- Zorg dat u medewerking bij incidenten en audits kunt leveren.
- Ga na of u als kritieke ICT-leverancier kunt worden aangewezen.
Wat kunnen wij voor u doen bij DORA?
Onze ICT-rechtadvocaten adviseren financiële ondernemingen en ICT-leveranciers over DORA.
- Wij beoordelen of en in welke mate DORA op uw onderneming van toepassing is.
- Wij toetsen uw ICT-contracten aan artikel 30 DORA en stellen aanpassingen op.
- Wij stellen een procedure op voor het classificeren en melden van ICT-incidenten.
- Wij adviseren het bestuur over zijn verantwoordelijkheden onder artikel 5 DORA.
- Wij staan u bij in contacten met DNB of de AFM en bij handhavingsbesluiten.
Samengevat
- DORA geldt sinds 17 januari 2025 rechtstreeks voor vrijwel alle financiële ondernemingen in de EU.
- U moet een kader voor ICT-risicobeheer hebben waarvoor het bestuur eindverantwoordelijk is.
- Een ernstig ICT-incident meldt u binnen vier uur na classificatie en uiterlijk 24 uur na ontdekking.
- Contracten met ICT-leveranciers moeten de verplichte onderwerpen van artikel 30 DORA bevatten.
- In Nederland houden DNB en de AFM toezicht; de sancties staan in nationale wetgeving.
Veelgestelde vragen
Wat zijn de belangrijkste eisen van DORA?
ICT-risicobeheer, registratie en melding van incidenten, het testen van digitale weerbaarheid en het beheer van ICT-leveranciers. Daarnaast kunnen ondernemingen vrijwillig informatie over cyberdreigingen delen.
Hoe bereidt een organisatie zich voor op DORA?
Breng uw ICT-systemen en kritieke functies in kaart, wijs verantwoordelijken aan, stel een meldprocedure op en pas contracten met ICT-leveranciers aan. DORA geldt al sinds 17 januari 2025.
Wat betekent DORA voor de relatie met ICT-leveranciers?
Financiële ondernemingen moeten in hun contracten onder meer audit- en toegangsrechten, medewerking bij incidenten en exitstrategieën opnemen (artikel 30 DORA). Kritieke leveranciers komen onder Europees toezicht.
Wat zijn de termijnen voor incidentmelding?
Eerste melding uiterlijk vier uur na classificatie als ernstig en uiterlijk 24 uur na ontdekking, een tussentijds rapport binnen 72 uur na de eerste melding en een eindrapport binnen een maand na het laatste tussentijdse rapport.
Hoe wordt DORA gehandhaafd?
DNB en de AFM beoordelen de naleving en kunnen onder meer een last onder dwangsom of een bestuurlijke boete opleggen. Voor kritieke ICT-leveranciers houden de Europese toezichthouders rechtstreeks toezicht.
