Wat is DORA? De verordening voor digitale weerbaarheid uitgelegd

DORA, voluit de Digital Operational Resilience Act, is de Europese verordening die financiële instellingen verplicht hun digitale weerbaarheid aantoonbaar op orde te hebben. De officiële aanduiding is Verordening (EU) 2022/2554. De regels zijn van toepassing sinds 17 januari 2025.

Omdat het een verordening is en geen richtlijn, werkt DORA rechtstreeks. Nederland hoefde er geen eigen wet voor te schrijven en er was dus ook geen vertraging door nationale wetgeving. Dat is het grote verschil met NIS2, dat als richtlijn wél omzetting nodig heeft en in veel lidstaten daardoor jaren later landde.

In één zin: DORA maakt van digitale weerbaarheid een onderwerp van prudentieel toezicht, met concrete opleverproducten in plaats van open normen.

Welk probleem DORA oplost

Toezicht op de financiële sector ging decennialang over geld. Kapitaalbuffers, liquiditeit, solvabiliteit: de veronderstelling was dat een instelling met voldoende buffer een schok kan opvangen. Die redenering klopt bij een kredietverlies of een marktschok, maar niet bij een storing.

Een bank met een perfecte balans die niet kan uitbetalen omdat haar betaalplatform plat ligt, is voor de klant net zo onbruikbaar als een bank zonder geld. En anders dan bij een kredietverlies helpt kapitaal daar niet tegen: u kunt een storing niet afkopen.

Daar komt een tweede probleem bij. De ICT waar die dienstverlening op draait, is grotendeels ingekocht. Rekencapaciteit, opslag, datakoppelingen, identiteitscontrole, betaalverwerking en klantcommunicatie liggen vaak bij een handvol grote aanbieders, en vaak bij dezelfde aanbieders als de concurrent. Een storing bij één leverancier raakt dan niet één instelling maar een hele sector tegelijk. Dat is precies het soort risico waar toezichthouders wakker van liggen, en waar een individuele instelling in haar eentje weinig aan kan doen.

DORA pakt beide punten aan: digitale weerbaarheid wordt zelfstandig getoetst, en de keten van ICT-leveranciers wordt er expliciet bij betrokken, tot en met rechtstreeks Europees toezicht op de grootste aanbieders.

De vijf pijlers

DORA is opgebouwd uit vijf onderdelen. Ze hangen samen: de eerste is het fundament, de andere vier bouwen daarop voort.

1. ICT-risicobeheer

Een samenhangend raamwerk om risico’s te identificeren, te beschermen, te detecteren en te herstellen, met het bestuur eindverantwoordelijk. Dit is het fundament: zonder een actueel beeld van uw functies, systemen en afhankelijkheden is de rest niet te onderbouwen. Zie ICT-risicobeheer.

2. Beheer en melding van incidenten

Eén proces om alle ICT-incidenten te registreren en te classificeren, en een meldplicht voor de zware gevallen. De termijnen zijn strak en lopen door terwijl u het incident nog bestrijdt. Zie incidentmelding en incidentclassificatie.

3. Testen van de digitale weerbaarheid

Een testprogramma dat past bij uw omvang en risico, en voor aangewezen instellingen een dreigingsgestuurde penetratietest op de productieomgeving. Zie weerbaarheidstests en TLPT.

4. Beheer van derdepartijrisico

Een register van al uw ICT-contracten, verplichte contractbepalingen, exitstrategieën voor kritieke functies en Europees toezicht op kritieke dienstverleners. Voor de meeste instellingen het onderdeel met het meeste werk. Zie derdepartijrisico.

5. Informatiedeling

Dreigingsinformatie uitwisselen met andere instellingen. Als enige pijler vrijwillig, maar DORA neemt wel de juridische drempels weg die het delen eerder tegenhielden. Zie informatiedeling.

Voor wie DORA geldt

DORA noemt ongeveer twintig categorieën financiële entiteiten: banken, betaalinstellingen, elektronischgeldinstellingen, beleggingsondernemingen, cryptodienstverleners, verzekeraars en herverzekeraars, verzekeringstussenpersonen, pensioenfondsen, beheerders van beleggingsinstellingen, handelsplatformen, centrale tegenpartijen, effectenbewaarinstellingen, transactieregisters, ratingbureaus, beheerders van kritieke benchmarks en crowdfundingdienstverleners.

Daarnaast kunnen ICT-dienstverleners worden aangewezen als kritiek, en dan komen ze zelf onder Europees toezicht. Er zijn uitzonderingen, onder meer voor bepaalde kleine verzekeringstussenpersonen en kleinere pensioenfondsen. Zie de reikwijdte.

Proportionaliteit: niet iedereen hetzelfde

DORA schrijft niet voor elke instelling dezelfde zwaarte voor. De eisen moeten in verhouding staan tot omvang, risicoprofiel en de aard van de dienstverlening. Voor bepaalde kleinere entiteiten bestaat een vereenvoudigd raamwerk, met minder formele vereisten maar hetzelfde doel. Zie het vereenvoudigde raamwerk.

Dat betekent niet dat kleine partijen buiten schot blijven. De basis geldt voor iedereen: weten welke systemen u heeft, wie erbij kan, wat er gebeurt als het misgaat en hoe u herstelt. Een kleine instelling die niet weet waar haar gegevens staan, voldoet ook onder het lichte regime niet.

Wie er toezicht houdt

In Nederland zijn dat De Nederlandsche Bank en de Autoriteit Financiële Markten, elk voor de instellingen die al onder hun toezicht vallen. Er komt geen apart DORA-toezicht en geen aparte inspectieronde: het wordt onderdeel van het toezicht dat er al is.

Op Europees niveau werken de drie toezichthoudende autoriteiten, EBA voor banken, EIOPA voor verzekeraars en pensioenen en ESMA voor de effectenmarkten, de technische standaarden uit die invullen hoe u de verordening precies toepast. Zij houden daarnaast rechtstreeks toezicht op de kritieke ICT-dienstverleners. Zie wie toezicht houdt.

Wat u moet kunnen laten zien

DORA kent geen certificaat. U toont naleving aan met documentatie en met bewijs dat die documentatie leeft. De vier dingen die een toezichthouder als eerste opvraagt:

• Het vastgestelde raamwerk voor ICT-risicobeheer, met de datum en het bestuursbesluit
• Het informatieregister van al uw ICT-contracten
• Het incidentenlogboek, inclusief de incidenten die niet majeur waren
• Testrapporten met een bevindingenregister waaruit blijkt wat er met de uitkomsten is gebeurd

Een volledig overzicht staat in welke documenten u nodig heeft.

Hoe DORA zich verhoudt tot wat u al doet

Voor de meeste instellingen is DORA geen nieuw eiland. Wie onder Solvency of onder het bankentoezicht al werkt met een risicobeheerfunctie, een uitbestedingsbeleid en continuïteitsplannen, herkent het grootste deel. Wie een ISO 27001-systeem heeft, heeft het beleid, de risicoanalyse en de incidentafhandeling al liggen.

Wat u er in beide gevallen bij moet bouwen, zit op dezelfde drie plekken: het informatieregister, de meldketen naar de toezichthouder met de bijbehorende termijnen, en het testprogramma met aantoonbare opvolging. Zie DORA, NIS2 en ISO 27001.

Waar te beginnen

De volgorde die in de praktijk het beste werkt, begint niet bij de tekst van de verordening maar bij uw eigen organisatie: welke bedrijfsfuncties heeft u, welke daarvan zijn kritiek, en welke ICT draagt ze. Daarna volgt het register, daarna de contracten, daarna het beleid. Zie het stappenplan.

De meestgemaakte fout is precies andersom beginnen: eerst een raamwerk schrijven en daarna pas kijken waar het over gaat. Dat levert een document op dat bij de eerste vraag onderuitgaat. Zie de zeven meestgemaakte fouten.

Veelgestelde vragen

Is DORA een norm of een wet?

Een wet. DORA is geen norm zoals ISO 27001 en er bestaat geen DORA-certificaat. U toont naleving aan met een risicobeheerraamwerk, beleid, een informatieregister, testresultaten en incidentrapportages, en met het bewijs dat het bestuur erop stuurt.

Sinds wanneer geldt DORA?

Sinds 17 januari 2025. De verordening trad eerder in werking, maar de verplichtingen gelden vanaf die datum. Er is geen overgangsregime waarin u nog niet hoeft te voldoen.

Vervangt DORA de bestaande toezichteisen?

Nee, het komt erbij. Bestaande eisen rond uitbesteding en beheerste bedrijfsvoering blijven gelden; DORA maakt de digitale kant ervan concreter en uniformer voor de hele Europese financiële sector.

Wat gebeurt er als ik niet voldoe?

De toezichthouder gebruikt de instrumenten die hij voor uw sector al heeft: een normoverdragend gesprek, een aanwijzing, een last onder dwangsom of een boete. In de praktijk begint het vrijwel altijd met een gesprek en een termijn. Belangrijker: DORA maakt digitale weerbaarheid onderdeel van het reguliere toezichtgesprek, dus het komt sowieso aan de orde.

Geldt DORA ook voor mijn ICT-leverancier?

Indirect altijd, via uw contracten. Rechtstreeks alleen als de Europese toezichthouders hem aanwijzen als kritieke dienstverlener. Zie DORA voor ICT-leveranciers.

Moeten wij een aparte DORA-functionaris aanstellen?

Dat schrijft DORA niet voor. Wat wel moet, is dat de verantwoordelijkheid belegd is en dat iemand het overzicht bewaakt. In de praktijk is dat vaak de risicomanager, met de ICT-afdeling als leverancier van de technische kant.