Valt mijn organisatie onder DORA?

DORA geldt voor vrijwel de hele Europese financiële sector, en daarnaast voor ICT-dienstverleners die als kritiek worden aangewezen. De verordening somt ongeveer twintig categorieën entiteiten op. De vuistregel: heeft u een vergunning of registratie van DNB of de AFM, dan is de kans groot dat u eronder valt.

Die vuistregel is een startpunt, geen antwoord. Er zijn uitzonderingen die specifiek zijn geformuleerd, en juist daar gaat het in de praktijk mis: organisaties die ervan uitgaan dat ze te klein zijn, en organisaties die zich niet realiseren dat hun categorie wordt genoemd.

De genoemde categorieën

DORA werkt met een opsomming. Staat uw categorie erin, dan valt u eronder tenzij een uitzondering van toepassing is.

• Kredietinstellingen, dus banken
• Betaalinstellingen en elektronischgeldinstellingen
• Beleggingsondernemingen
• Aanbieders van cryptoactivadiensten en uitgevers van activagerelateerde tokens
• Verzekerings- en herverzekeringsondernemingen
• Verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen
• Instellingen voor bedrijfspensioenvoorziening, dus pensioenfondsen
• Beheerders van alternatieve beleggingsinstellingen en beheermaatschappijen van icbe’s
• Handelsplatformen, centrale tegenpartijen en centrale effectenbewaarinstellingen
• Transactieregisters en securitisatieregisters
• Ratingbureaus en beheerders van kritieke benchmarks
• Crowdfundingdienstverleners
• Aanbieders van datarapporteringsdiensten
• Aanbieders van ICT-diensten die als kritiek worden aangewezen

De uitzonderingen

Niet elke genoemde entiteit valt er volledig onder. De belangrijkste uitzonderingen raken kleine partijen, maar ze zijn specifiek geformuleerd en niet te vangen in één drempel.

Kleine verzekeringstussenpersonen. Bepaalde micro-ondernemingen en kleine bemiddelaars zijn uitgezonderd. Of u eronder valt hangt af van uw omvang en van de precieze categorie waarin u staat ingeschreven.

Kleinere pensioenfondsen. Fondsen onder een bepaalde omvang vallen buiten de verordening. Zie DORA voor pensioenfondsen.

Bepaalde entiteiten die al onder een ander regime vallen, of die van de reikwijdte van de onderliggende sectorrichtlijn zijn uitgesloten.

Let op het omgekeerde: valt u onder een uitzondering, dan bent u er niet van af. Uw toezichthouder verwacht via de bestaande eisen rond beheerste bedrijfsvoering nog steeds dat de kern op orde is, en uw grotere klanten nemen DORA-eisen op in hun contracten met u.

Drie stappen om het voor uzelf vast te stellen

1. Zoek uw categorie op. Niet in algemene termen maar in de termen van uw vergunning: waar staat u ingeschreven, onder welke richtlijn of verordening
2. Toets de uitzonderingen voor die categorie. Elke uitzondering is per categorie geformuleerd; een uitzondering voor tussenpersonen zegt niets over pensioenfondsen
3. Bepaal welk regime geldt. Valt u eronder, dan is de vervolgvraag of u in aanmerking komt voor het vereenvoudigde raamwerk

Leg die beoordeling schriftelijk vast met de onderbouwing. Dat is niet alleen netjes: het is ook het eerste wat een toezichthouder vraagt als er twijfel ontstaat, en een gemotiveerd oordeel is verdedigbaar terwijl een aanname dat niet is.

Groepen: beoordeel per entiteit

Bij een groep met meerdere vergunninghoudende onderdelen geldt DORA per entiteit, niet per concern. Het kan dus voorkomen dat een bank binnen de groep onder DORA valt terwijl een zusteronderneming die ICT levert daar rechtstreeks buiten valt, en alleen via de contracten wordt geraakt.

Heeft uw groep ook onderdelen buiten de financiële sector, dan kan voor die onderdelen NIS2 gelden. Ook dat beoordeelt u per entiteit. Zie DORA, NIS2 en ISO 27001.

Bent u ICT-leverancier van de sector?

Dan raakt DORA u langs twee wegen. De eerste is contractueel en onmiddellijk: uw klanten moeten bepaalde afspraken met u vastleggen over onder meer toegang, audit, gegevenslocatie, exit en het melden van incidenten. Die eisen komen dus in uw contracten terecht, ook als u zelf geen financiële instelling bent.

De tweede weg geldt alleen voor de grootste partijen: de Europese toezichthouders kunnen u aanwijzen als kritieke ICT-dienstverlener, en dan komt u onder rechtstreeks Europees toezicht. Zie DORA voor ICT-leveranciers.

DORA of NIS2?

Voor financiële entiteiten gaat DORA voor. De verplichtingen die NIS2 aan uw sector zou opleggen, vult u in via DORA; dat voorkomt dat u twee keer hetzelfde moet doen onder twee regimes. Bent u geen financiële entiteit, dan is NIS2 het kader waar u naar moet kijken. Zie of u onder NIS2 valt.

Veelgestelde vragen

Geldt DORA ook voor kleine financiële instellingen?

Ja, tenzij u onder een specifieke uitzondering valt. De eisen zijn wel proportioneel, en voor bepaalde kleinere entiteiten bestaat een vereenvoudigd raamwerk. De basisverplichtingen gelden onverkort.

Val ik onder DORA als ik alleen bemiddel?

Verzekeringstussenpersonen worden genoemd, maar er is een uitzondering voor bepaalde kleine bemiddelaars. Dat is een van de gevallen waarin u de tekst voor uw eigen inschrijving moet nalopen; een algemene indruk is hier niet genoeg.

Wij zijn een fintech zonder eigen vergunning, geldt DORA voor ons?

Werkt u onder de vergunning van een ander, dan valt die ander onder DORA en bent u voor hem een ICT-dienstverlener of een uitbestedingspartij. De eisen bereiken u dan via het contract, en in de praktijk vrij stevig.

Moeten wij ons ergens aanmelden voor DORA?

Nee. Anders dan NIS2 kent DORA geen registratieplicht: u bent al bekend bij uw toezichthouder. Wat u wel periodiek indient, is het informatieregister.

Wie bepaalt of wij eronder vallen, wij of de toezichthouder?

U beoordeelt het zelf en legt dat vast. De toezichthouder toetst dat oordeel als daar aanleiding voor is. Daarom is de onderbouwing belangrijker dan de conclusie.