DORA-checklist: bent u er klaar voor?

Laatst bijgewerkt: 24 september 2026

Deze checklist loopt langs de eisen van DORA, en per punt staat erbij wat u moet kunnen laten zien. Dat laatste is het belangrijkste: “we doen dat wel” is geen bewijs. Een toezichthouder vraagt niet of u iets doet maar waaruit dat blijkt.

Gebruik hem als zelftoets voordat u aan een gap-analyse begint, of als eindcontrole voordat u een traject afsluit.

Grondslag

Vastgesteld of u onder DORA valt, en onder welk regime. Bewijs: een gemotiveerde beoordeling met datum
Bedrijfsfuncties in kaart, met per functie het oordeel kritiek, belangrijk of overig. Bewijs: een overzicht met een bestuursbesluit
De onderbouwing van dat oordeel per functie. Bewijs: wat merkt de klant, hoe lang is acceptabel
Actueel overzicht van systemen en gegevens per functie. Bewijs: een inventarisatie met een datum en een eigenaar
Afhankelijkheden tussen systemen vastgelegd. Bewijs: een schema of een matrix

ICT-risicobeheer

Raamwerk vastgesteld door het bestuur en in het afgelopen jaar herzien. Bewijs: document plus notulen
Risicobereidheid vastgesteld: welke risico’s accepteert u bewust. Bewijs: een besluit, geen paragraaf
Beleid voor toegang, versleuteling, wijzigingen en back-up. Bewijs: beleid plus een steekproef uit de praktijk
Meervoudige verificatie op toegang tot kritieke systemen. Bewijs: een configuratie-uitdraai
Logging die ver genoeg teruggaat om een incident te reconstrueren. Bewijs: de bewaartermijn plus een voorbeeld
Hersteldoelstellingen per kritieke functie, vastgesteld door de business. Bewijs: de doelstellingen plus een gemeten hersteltijd

Incidenten

Eén proces voor registratie en classificatie van alle ICT-incidenten. Bewijs: het incidentenlogboek, inclusief de kleine
Classificatiedrempels vooraf vastgelegd en vertaald naar uw omvang. Bewijs: het beslisschema
Aangewezen beslisser met plaatsvervanger, ook buiten kantooruren. Bewijs: de procedure met namen of rollen
Meldroute en termijnen bekend en getest. Bewijs: een oefening of een echte melding
Meldafspraken met kritieke leveranciers. Bewijs: de contractbepaling
Proces om terugkerende incidenten te herkennen. Bewijs: een analyse over een periode

Testen

Testprogramma passend bij omvang en risico. Bewijs: het programma met een jaarplanning
Kritieke systemen ten minste jaarlijks getest. Bewijs: testrapporten
Herstel daadwerkelijk beproefd, niet alleen beschreven. Bewijs: een herstelproef met een gemeten tijd
Onafhankelijkheid van de uitvoerder geborgd. Bewijs: wie testte, en wie beheert het systeem
Bevindingen belegd en opgevolgd. Bewijs: een bevindingenregister met eigenaren en termijnen
Vastgesteld of u voor TLPT bent aangewezen. Bewijs: correspondentie of een gemotiveerde inschatting

Derde partijen

Informatieregister compleet, inclusief onderaannemers bij kritieke functies. Bewijs: het register
Schaduw-ICT opgespoord. Bewijs: een controle op terugkerende betalingen aan softwarebedrijven
Intragroepsdienstverlening opgenomen. Bewijs: de regels in het register
Contracten voldoen aan de verplichte bepalingen. Bewijs: een contractmatrix met de afwijkingen
Afwijkingen beoordeeld en aan het bestuur voorgelegd. Bewijs: een risicobeoordeling per afwijking
Exitstrategie voor elke kritieke functie. Bewijs: het plan, en liefst een proef
Concentratierisico beoordeeld. Bewijs: een analyse van hoeveel kritieke functies bij één aanbieder liggen

Bestuur

Digitale weerbaarheid staat periodiek op de agenda. Bewijs: notulen met besluiten, niet alleen met besprekingen
Het bestuur heeft het raamwerk vastgesteld. Bewijs: het besluit met datum
Majeure incidenten worden aan het bestuur gemeld. Bewijs: de meldingen in de stukken
Bestuurders houden hun kennis bij. Bewijs: een opleidingsoverzicht

Informatiedeling

Bepaald of u deelneemt aan een uitwisselingsverband. Bewijs: een besluit
Deelname gemeld aan de toezichthouder. Bewijs: de melding
Vastgelegd wie de informatie ontvangt en wat ermee gebeurt. Bewijs: een aangewezen ontvanger

Hoe u de uitkomst gebruikt

Tel niet de vinkjes. Kijk naar de nee-antwoorden en beoordeel per stuk wat het risico is als het zo blijft. Drie ontbrekende beleidsparagrafen wegen minder dan één ontbrekende exitstrategie voor de dienst waar uw hele klantadministratie op draait.

Zet er per nee een eigenaar en een termijn bij. Zonder die twee wordt de checklist een document dat een jaar later ongewijzigd wordt teruggevonden, en dan heeft u alleen vastgelegd dat u het wist.

Veelgestelde vragen

Wat als we op een punt nee moeten antwoorden?

Dan heeft u een gat, en dat is op zichzelf geen probleem zolang u het kent, het risico heeft beoordeeld en er een plan met een termijn bij ligt. Onbekende gaten zijn het probleem, en gaten die u kent maar niet heeft beoordeeld zijn erger dan gaten die u nog niet heeft gevonden.

Is dit een officiële checklist?

Nee. Dit is onze vertaling van de eisen naar praktische vragen. De verordening en de technische standaarden zijn leidend; gebruik deze lijst om te bepalen waar u moet kijken, niet om te bepalen of u voldoet.

Hoe vaak lopen we deze lijst door?

Jaarlijks als zelftoets, en daarnaast bij wezenlijke veranderingen: een nieuwe kritieke leverancier, een grote systeemmigratie of een majeur incident.

Kunnen we hiermee aantonen dat we voldoen?

Nee, met het bewijs in de rechterkolom wel. De lijst is het hulpmiddel, de documenten zijn het bewijs.