DORA (Digital Operational Resilience Act)

Wat is DORA?

DORA is de Europese verordening over digitale operationele weerbaarheid voor de financiële sector, officieel Verordening (EU) 2022/2554 van 14 december 2022. Digitale operationele weerbaarheid betekent dat een financiële instelling haar diensten kan blijven leveren, ook als ICT-systemen worden aangevallen of uitvallen. Een korte definitie staat op de begrippagina DORA.

De verordening is op 27 december 2022 gepubliceerd in het Publicatieblad van de Europese Unie, trad op 17 januari 2023 in werking en is van toepassing met ingang van 17 januari 2025 (artikel 64). Omdat DORA een verordening is, geldt de tekst rechtstreeks in elke lidstaat. Nederland hoefde DORA dus niet om te zetten in een eigen wet, anders dan bij de NIS2-richtlijn.

DORA vervangt geen bestaande financiële wetgeving, maar voegt 1 set ICT-regels toe die voor alle financiële entiteiten in de EU hetzelfde is. Daarnaast regelt DORA Europees toezicht op ICT-leveranciers die kritiek zijn voor de financiële sector.

Voor wie geldt DORA?

DORA geldt voor 20 soorten financiële entiteiten en voor derde aanbieders van ICT-diensten (artikel 2, lid 1). De financiële entiteiten zijn onder meer:

• kredietinstellingen (banken), betalingsinstellingen en instellingen voor elektronisch geld;
• beleggingsondernemingen, beheerders van alternatieve beleggingsinstellingen en beheermaatschappijen;
• aanbieders van cryptoactivadiensten;
• handelsplatformen, centrale tegenpartijen en centrale effectenbewaarinstellingen;
• verzekerings- en herverzekeringsondernemingen en verzekeringstussenpersonen;
• instellingen voor bedrijfspensioenvoorziening (pensioenfondsen);
• ratingbureaus en aanbieders van crowdfundingdiensten.

Er zijn uitzonderingen (artikel 2, lid 3). DORA geldt bijvoorbeeld niet voor pensioenfondsen met regelingen van samen niet meer dan 15 leden, en niet voor verzekeringstussenpersonen die een micro-onderneming, kleine of middelgrote onderneming zijn.

De regels gelden naar verhouding. Financiële entiteiten passen DORA toe op basis van hun omvang, risicoprofiel en de aard en complexiteit van hun diensten (artikel 4). Kleine en niet-verweven beleggingsondernemingen en een aantal vrijgestelde instellingen werken met een vereenvoudigd kader voor ICT-risicobeheer (artikel 16).

Wat zijn de 5 pijlers van DORA?

DORA wordt vaak samengevat in 5 pijlers. Die volgen de hoofdstukken II tot en met VI van de verordening. DNB gebruikt dezelfde indeling in haar uitleg.

Pijler	Hoofdstuk en artikelen	Wat een financiële entiteit moet doen
ICT-risicobeheer	Hoofdstuk II, artikel 5 tot en met 16	Een kader inrichten om ICT-risico’s te identificeren, te beschermen, te detecteren, te reageren en te herstellen, inclusief back-ups en continuïteitsplannen
Incidentmelding	Hoofdstuk III, artikel 17 tot en met 23	ICT-incidenten beheren en classificeren, en ernstige ICT-incidenten melden bij de toezichthouder
Testen van digitale weerbaarheid	Hoofdstuk IV, artikel 24 tot en met 27	Een testprogramma uitvoeren; aangewezen entiteiten doen ten minste om de 3 jaar een TLPT
Beheer van ICT-derdenrisico	Hoofdstuk V, artikel 28 tot en met 44	Een strategie voor ICT-leveranciers vaststellen, een informatieregister bijhouden en verplichte bepalingen in contracten opnemen
Informatie-uitwisseling	Hoofdstuk VI, artikel 45	Informatie over cyberdreigingen mogen delen binnen vertrouwensgemeenschappen van financiële entiteiten

De eerste pijler is het fundament. Het kader voor ICT-risicobeheer omvat onder meer risicoanalyse, detectie, incident response en herstel, en beleid voor business continuity. De andere 4 pijlers bouwen daarop voort.

Welke verantwoordelijkheid heeft het bestuur onder DORA?

Het leidinggevend orgaan van een financiële entiteit is eindverantwoordelijk voor het beheer van het ICT-risico (artikel 5, lid 2). Het bestuur bepaalt en keurt het kader voor ICT-risicobeheer goed, houdt toezicht op de uitvoering en is ervoor verantwoordelijk.

Artikel 5 noemt taken die bij het bestuur liggen. Het bestuur stelt de strategie voor digitale operationele weerbaarheid vast, inclusief het risicotolerantieniveau. Het keurt het beleid voor ICT-bedrijfscontinuïteit en de respons- en herstelplannen goed. Ook keurt het de interne ICT-auditplannen goed en wijst het budget toe voor weerbaarheid, inclusief bewustmaking en opleiding. Leden van het bestuur moeten zelf voldoende kennis en vaardigheden over ICT-risico’s bijhouden, onder meer met regelmatige opleidingen (artikel 5, lid 4).

Hoe werkt de meldplicht voor ernstige ICT-incidenten?

Een financiële entiteit meldt elk ernstig ICT-gerelateerd incident bij de bevoegde autoriteit (artikel 19). Een incident is ernstig als het grote nadelige gevolgen heeft voor systemen die kritieke of belangrijke functies ondersteunen. De termijnen staan niet in DORA zelf, maar in Gedelegeerde Verordening (EU) 2025/301 (artikel 5). Een melding verloopt in 3 stappen:

1. Dien de eerste kennisgeving in binnen 4 uur nadat het incident als ernstig is geclassificeerd, en uiterlijk 24 uur nadat de entiteit van het incident weet.
2. Lever uiterlijk 72 uur na de eerste kennisgeving een tussentijds verslag, en een bijgewerkt verslag zodra de reguliere activiteiten zijn hersteld.
3. Dien uiterlijk 1 maand na het (laatste) tussentijdse verslag een eindverslag in, met de analyse van de oorzaak en de werkelijke gevolgen.

Significante cyberdreigingen mag een entiteit vrijwillig melden. In Nederland lopen meldingen via MijnDNB of het portaal van de AFM, afhankelijk van de toezichthouder. De algemene uitleg over melden staat bij meldplicht.

Wat zijn TLPT en TIBER onder DORA?

TLPT staat voor threat-led penetration testing: een test waarin de tactieken, technieken en procedures van echte aanvallers worden nagebootst op de productiesystemen van een financiële entiteit (artikel 3, punt 17). Het is een geavanceerde vorm van een pentest, uitgevoerd als red team-oefening op basis van threat intelligence.

Alle financiële entiteiten, behalve micro-ondernemingen, moeten een testprogramma hebben met passende tests, zoals kwetsbaarheidsscans, scenariotests en penetratietests (artikel 24 en 25). Entiteiten die de toezichthouder aanwijst, voeren daarnaast ten minste om de 3 jaar een TLPT uit (artikel 26, lid 1). De toezichthouder valideert welke kritieke of belangrijke functies in de test vallen.

In Nederland ontvangen aangewezen instellingen hierover een brief van DNB. Volgens DNB worden deze tests uitgevoerd en begeleid op basis van het TIBER-EU-raamwerk. Hoe red teaming en de rol van het verdedigende blue team werken, staat bij red team en blue team.

Hoe regelt DORA het risico van ICT-leveranciers?

Een financiële entiteit blijft volledig verantwoordelijk voor de naleving van DORA, ook als ze ICT-diensten uitbesteedt (artikel 28, lid 1). Uitbesteden verschuift de verantwoordelijkheid dus niet naar de leverancier.

De entiteit stelt een strategie vast voor ICT-risico van derde aanbieders en houdt een informatieregister bij van alle contracten voor ICT-diensten (artikel 28, lid 2 en 3). Volgens DNB is de uitvraag van dat register sinds 2 maart 2026 beschikbaar in MijnDNB. Contracten met ICT-leveranciers moeten verplichte bepalingen bevatten, bijvoorbeeld over de locaties waar gegevens worden verwerkt, gegevensbescherming, bijstand bij incidenten en medewerking aan toezichthouders (artikel 30).

Daarnaast wijzen de Europese toezichthoudende autoriteiten kritieke derde aanbieders van ICT-diensten aan, die rechtstreeks Europees toezicht krijgen (artikel 31). Volgens DNB zijn 19 kritieke ICT-dienstverleners aangewezen voor dit Europese toezicht (bron: DNB).

Wie houdt toezicht op DORA in Nederland?

In Nederland houden De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) toezicht op de naleving van DORA, zo meldt de Rijksoverheid. Welke toezichthouder bevoegd is, hangt af van het soort financiële onderneming. Grote, significante banken melden ernstige incidenten via de nationale toezichthouder, die de melding doorstuurt naar de Europese Centrale Bank (artikel 19, lid 1).

De AFM schrijft dat haar DORA-toezicht vanaf 17 januari 2025 grotendeels bestaat uit onderzoeken, en uit het behandelen van meldingen over ernstige ICT-incidenten, cyberdreigingen en ICT-uitbestedingen die via haar portaal binnenkomen. DORA laat de hoogte van boetes over aan de lidstaten (artikel 50). Volgens DNB kan zij bij overtreding bestuurlijke boetes en lasten onder dwangsom opleggen.

Hoe verhoudt DORA zich tot de Cyberbeveiligingswet?

DORA is voor financiële entiteiten een sectorspecifieke regel ten opzichte van NIS2 (artikel 1, lid 2). Juristen noemen dat lex specialis: de specifieke regel gaat voor op de algemene. De Rijksoverheid schrijft dat bij overlap de bepalingen uit DORA voorrang hebben voor financiële instellingen.

De Cyberbeveiligingswet regelt dat zelf ook. Als een Europese sectorspecifieke regel minstens gelijkwaardige beveiligingsmaatregelen voorschrijft, geldt de zorgplicht uit artikel 21 van de Cyberbeveiligingswet niet (artikel 22). Hetzelfde geldt voor de meldplicht uit artikel 25 tot en met 30 als de sectorspecifieke meldregels gelijkwaardig zijn (artikel 31).

	DORA	Cyberbeveiligingswet
Soort regel	Europese verordening, geldt rechtstreeks	Nederlandse wet ter uitvoering van de NIS2-richtlijn
Geldt sinds	17 januari 2025	15 augustus 2026
Voor wie	Financiële entiteiten en kritieke ICT-dienstverleners	Essentiële en belangrijke entiteiten in 18 sectoren, waaronder bankwezen en financiële marktinfrastructuur
Toezicht in Nederland	DNB en AFM	Per sector een minister, met aangewezen toezichthouders
Eerste melding van een ernstig incident	Binnen 4 uur na classificatie, uiterlijk 24 uur na kennisname	Vroegtijdige waarschuwing binnen 24 uur

Volgens DNB moeten financiële instellingen die ook onder NIS2 vallen, een incident ook bij het NCSC melden. De Cyberbeveiligingswet bepaalt verder dat het centrale contactpunt informatie over incidenten bij financiële entiteiten kan doorsturen naar een CSIRT (artikel 41), en dat de toezichthouders van beide regelingen samenwerken (artikel 57).

Wat betekent DORA voor een security-professional?

Voor security-professionals in de financiële sector is DORA het centrale kader. Een CISO of information security officer vertaalt de 5 pijlers naar beleid, rapporteert aan het bestuur en bereidt audits en tests voor.

Het werk verschuift naar aantoonbaarheid. Een SOC-team zorgt dat een ernstig incident binnen 4 uur na classificatie gemeld kan worden. Security-teams werken samen met inkoop en juridische zaken aan het informatieregister en aan contracten met ICT-leveranciers. Wie bij een grote instelling werkt, krijgt te maken met TLPT en red teaming. Ook ICT-leveranciers van banken en verzekeraars merken DORA, omdat hun klanten strengere eisen in contracten opnemen. Opleidingen in dit vak staan bij informatiebeveiliging.

Veelgestelde vragen

Wat houdt DORA wetgeving in?

DORA verplicht financiële entiteiten sinds 17 januari 2025 om ICT-risico’s te beheersen, ernstige ICT-incidenten te melden, hun digitale weerbaarheid te testen en de risico’s van ICT-leveranciers te beheren. Informatie over cyberdreigingen mogen ze delen. Het bestuur is eindverantwoordelijk. In Nederland houden DNB en de AFM toezicht.

Wat zijn de 5 pijlers van DORA?

De 5 pijlers zijn ICT-risicobeheer, het beheren en melden van ICT-incidenten, het testen van digitale weerbaarheid, het beheer van ICT-risico van derde aanbieders en het uitwisselen van informatie over cyberdreigingen. Ze volgen de hoofdstukken II tot en met VI van Verordening (EU) 2022/2554.

Wat is de DORA-richtlijn?

DORA wordt vaak een richtlijn genoemd, maar het is een verordening. Een verordening geldt rechtstreeks in alle lidstaten, zonder nationale omzettingswet. Dat is anders dan bij de NIS2-richtlijn, die Nederland heeft omgezet in de Cyberbeveiligingswet.

Wat is de DORA-verordening?

De DORA-verordening is Verordening (EU) 2022/2554 van 14 december 2022 over digitale operationele weerbaarheid voor de financiële sector. De verordening trad op 17 januari 2023 in werking en is van toepassing sinds 17 januari 2025. Ze regelt ook Europees toezicht op kritieke ICT-dienstverleners.

Voor wie geldt DORA?

DORA geldt voor 20 soorten financiële entiteiten, zoals banken, betalingsinstellingen, beleggingsondernemingen, verzekeraars, pensioenfondsen en aanbieders van cryptoactivadiensten. Kleine pensioenfondsen met maximaal 15 leden en kleine verzekeringstussenpersonen zijn uitgezonderd. Kritieke ICT-dienstverleners krijgen Europees toezicht.