DORA is een verordening, geen richtlijn. Een nationale omzettingswet is dus niet vereist: de verplichtingen gelden direct. De AFM en DNB houden toezicht op de naleving door financiële entiteiten in Nederland.

DORA geldt voor circa twintig categorieën financiële entiteiten die actief zijn in de EU. De belangrijkste zijn kredietinstellingen, betaalinstellingen, instellingen voor elektronisch geld, beleggingsondernemingen, aanbieders van cryptoactivadiensten, verzekeringsondernemingen, herverzekeringsondernemingen, verzekeringstussenpersonen, pensioenfondsen, beheerders van alternatieve beleggingsfondsen en icbe-beheermaatschappijen. Ook centrale tegenpartijen, handelsplaatsen, ratingbureaus en aanbieders van gegevensdiensten vallen binnen de reikwijdte.

Naast de financiële entiteiten zelf betrekt DORA een tweede doelgroep: kritieke ICT-dienstverleners van derden. ICT-leveranciers die als kritiek worden aangewezen door de drie Europese toezichthoudende autoriteiten (EBA, EIOPA en ESMA, samen de ESAs), vallen rechtstreeks onder Europees toezicht. De ESAs hebben inmiddels de eerste kritieke ICT-dienstverleners aangewezen, waaronder Amazon Web Services, Microsoft, Google, IBM en Bloomberg. Het register van aangewezen dienstverleners wordt periodiek bijgewerkt en gepubliceerd door de ESAs.

ICT-dienstverleners die zelf niet als kritiek zijn aangewezen, ondervinden de gevolgen van DORA indirect: financiële entiteiten zijn verplicht DORA-gerelateerde contractuele eisen door te vertalen in hun ICT-inkoopcontracten. Wie levert aan gereguleerde financiële klanten, krijgt daarmee via de keten met DORA te maken.

Proportionaliteit. DORA erkent dat niet alle financiële entiteiten even groot of complex zijn. Micro- en kleine ondernemingen binnen de reikwijdte gelden een vereenvoudigd regime, maar vallen er niet automatisch buiten. DNB hanteert een risicogebaseerde en proportionele toezichtbenadering: de eisen gelden, maar de manier waarop invulling wordt gegeven, moet passen bij de omvang, het risicoprofiel en de complexiteit van de instelling.

DORA wordt in de praktijk langs vijf thema's uitgelegd. De eerste vier bevatten verplichte verplichtingen; het vijfde betreft een vrijwillige mogelijkheid tot informatie-uitwisseling. De verordening zelf hanteert deze indeling niet als formele structuur, maar zij is bruikbaar als leeswijzer voor de verplichtingen.

Pijler 1: ICT-risicobeheer

Elke financiële entiteit beschikt over een solide, alomvattend en goed gedocumenteerd kader voor ICT-risicobeheer, als onderdeel van het algemene risicobeheersysteem (art. 6 DORA). Dit kader omvat een strategie voor digitale operationele weerbaarheid, beleid en procedures voor de bescherming van ICT-systemen, detectiecapaciteiten, respons- en herstelprocedures en een leercyclus op basis van incidenten en testen.

Het leidinggevend orgaan, de raad van bestuur of raad van commissarissen, is eindverantwoordelijk voor de goedkeuring en het toezicht op dit kader. Bestuurders moeten over voldoende kennis en vaardigheden beschikken om ICT-risico's te begrijpen en te beoordelen. DORA legt deze verantwoordelijkheid uitdrukkelijk bij het bestuur en niet bij de IT-afdeling.

Pijler 2: ICT-incidentmelding

Financiële entiteiten classificeren ICT-gerelateerde incidenten en houden een intern register bij. Ernstige incidenten melden zij bij de bevoegde toezichthouder (DNB of AFM, afhankelijk van het type instelling) volgens een getrapt schema: een initiële melding binnen vier uur na classificatie als ernstig incident (en uiterlijk 24 uur na de eerste vaststelling), een tussentijdse melding binnen 72 uur en een eindrapport binnen een maand na de tussentijdse melding. Significante cyberdreigingen kunnen vrijwillig worden gemeld.

Pijler 3: Digitale weerbaarheidstesten

Alle DORA-plichtige entiteiten voeren regelmatig tests uit op hun ICT-systemen, waaronder kwetsbaarheidsscans, beveiligingsbeoordelingen, scenariotests en, waar passend, sourcecode reviews. Het testprogramma moet proportioneel zijn aan de omvang, het risicoprofiel en de complexiteit van de instelling. Entiteiten die aan de criteria uit DORA en de bijbehorende technische standaarden voldoen en daartoe door de bevoegde autoriteit zijn geselecteerd, voeren bovendien ten minste elke drie jaar een Threat-Led Penetration Test (TLPT) uit. DNB kondigde aan in het eerste kwartaal van 2025 te beginnen met de selectie van instellingen voor TLPT en houdt daarbij rekening met eerder uitgevoerde TIBER-testen.

Pijler 4: Beheer van ICT-risico's van derden

Financiële entiteiten houden een gedetailleerd informatieregister bij van alle ICT-contracten met derde partijen. Dit register vermeldt onder meer de aard van de dienst, het kritieke belang van de dienst voor de instelling, de contractpartij en eventuele subcontractanten. DORA verplicht het register actueel te houden; de toezichthouder kan het opvragen en financiële entiteiten zijn verplicht het op verzoek te verstrekken. De eerste referentieverzameling voor Nederland vond plaats op 30 april 2025.

Voor contracten die kritieke of belangrijke functies van de financiële dienstverlening ondersteunen, gelden aanvullende contractuele eisen: schriftelijke afspraken over het serviceniveau, beveiligingseisen, auditrecht, incidentprocedures en een exit-strategie waarmee de financiële entiteit de dienst kan beëindigen zonder dat haar continuïteit in gevaar komt. DORA schrijft de contractuele minimuminhoud voor; een verwijzing naar goede beveiligingspraktijken volstaat niet.

Pijler 5: Informatie-uitwisseling

DORA biedt financiële entiteiten de mogelijkheid om onderling informatie te delen over cyberdreigingen, kwetsbaarheden en aanvalstechnieken. Deelname aan informatie-uitwisselingsregelingen is vrijwillig. DNB en AFM worden van de deelname in kennis gesteld.

Voor ICT-dienstverleners die door de ESAs als kritiek zijn aangewezen, geldt een afzonderlijk toezichtregime. De ESAs wijzen een lead overseer aan per kritieke dienstverlener, voeren beoordelingen uit en kunnen bindende instructies geven. Bij niet-naleving kunnen de ESAs periodieke dwangsommen opleggen van maximaal 1% van de gemiddelde dagelijkse wereldwijde omzet van de dienstverlener, voor elke dag van voortdurende niet-naleving. Dit toezicht staat naast de DORA-verplichtingen die de financiële entiteiten zelf hebben jegens hun leveranciers.

DORA verplicht lidstaten passende, proportionele en afschrikkende sancties vast te stellen, maar schrijft geen uniforme EU-brede boetetabel voor financiële entiteiten voor. De handhaving door DNB en AFM verloopt via de bestaande boetemechanismen van de Wet op het financieel toezicht en het Besluit EU-verordeningen Wft (Bijlage 35), dat specifiek aanwijst welke DORA-overtredingen met een bestuurlijke boete of last onder dwangsom kunnen worden gehandhaafd. Onder omstandigheden kunnen bestuurders of feitelijk leidinggevenden ook persoonlijk worden aangesproken, op grond van de bevoegdheden die de nationale toezichthouder heeft onder de Wft.

DNB hanteert bij haar toezicht op DORA een risicogebaseerde aanpak en verwacht dat instellingen aantoonbaar voldoen aan de hoofdverplichtingen. DNB benadrukt dat instellingen hun operationele weerbaarheid daadwerkelijk moeten kunnen onderbouwen, niet slechts op papier.

DORA heeft een lex-specialis-werking ten opzichte van de Cyberbeveiligingswet voor wat betreft de ICT-specifieke eisen voor financiële entiteiten: waar de verplichtingen overlappen, prevaleert DORA. Financiële entiteiten die ook als essentiële entiteit onder de Cbw vallen, kunnen DORA-naleving als basis gebruiken voor de invulling van de Cbw-zorgplicht, voor zover de verplichtingen inhoudelijk overlappen. De Cbw voegt hieraan echter verplichtingen toe die buiten de reikwijdte van DORA vallen, zoals de registratieplicht bij het NCSC en de meldplicht via het NCSC-portaal.

De AVG is van toepassing naast DORA. ICT-incidenten die ook persoonsgegevens betreffen, vallen gelijktijdig onder de meldplicht van DORA jegens de financiële toezichthouder én onder de meldplicht van de AVG jegens de AP. De termijnen en de ontvangers zijn niet gelijk: beide meldplichten gelden afzonderlijk en cumulatief.

Sectorale regelgeving zoals MiFID II, Solvency II en EMIR wordt aangevuld door DORA, niet vervangen. Voor financiële entiteiten die al onder die regelgeving werkten met ICT-risicovereisten, biedt DORA een aangescherpt en geharmoniseerd kader. Eerder voldoen aan sectorale ICT-guidelines van DNB of AFM geeft een basis, maar bewijst niet automatisch DORA-compliance.

Lexent voert juridische en technische scans uit die vaststellen in hoeverre uw organisatie voldoet aan de vijf DORA-pijlers, waar de belangrijkste gaps zitten en welke prioriteit daarin past bij uw omvang en risicoprofiel. Voor ICT-leveranciers aan financiële instellingen beoordelen wij welke contractuele eisen uw klanten op grond van DORA aan u moeten stellen, en of uw huidige contracten en beveiligingsmaatregelen daarvoor gereed zijn. Wij begeleiden ook bij de inrichting van het ICT-risicobeheerframework en de bijbehorende bestuursdocumentatie. De scans en beoordelingen worden door onze eigen specialisten uitgevoerd.

Wilt u weten waar uw organisatie staat ten opzichte van DORA? Neem contact met ons op voor een vrijblijvend gesprek.