DORA.
De EU-verordening voor digitale operationele weerbaarheid in de financiële sector: toepassingsgebied, hoofdverplichtingen en doorlopende bewijsvoering.
- Verordening (EU) 2022/2554
- Door Derya Altinay
- Stand: 22-10-2026
- Leestijd: 8 min.
Kort antwoord.
DORA is de EU-verordening over digitale operationele weerbaarheid in de financiële sector. Sinds 17 januari 2025 vereist deze van financiële entiteiten die eronder vallen een deugdelijke omgang met ICT-risico’s, incidenten, weerbaarheidstests en afhankelijkheden van dienstverleners. De verplichtingen hangen af van rol en toepassingsgebied; een algemeen certificaat vervangt de doorlopende naleving niet.
De DORA-verordening regelt de doorlopende bedrijfsvoering.
DORA staat voor Digital Operational Resilience Act en verwijst naar Verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid voor de financiële sector. De verordening geldt sinds 17 januari 2025. Het doel is financiële dienstverlening ook bij ernstige ICT-verstoringen te kunnen voortzetten en herstellen. De Europese Commissie beschouwt preventie, beperking van gevolgen en herstel gezamenlijk als een weerbaarheidstaak.
DORA gaat verder dan het afweren van cyberaanvallen. Ook technische uitval, onbruikbare herstelprocedures en afhankelijkheden van externe diensten kunnen de financiële dienstverlening schaden. Bepalend is daarom hoe bedrijfsverantwoordelijken, technologie en dienstverleners samenwerken. Alleen een verzameling beveiligingsrichtlijnen laat nog niet zien of een betalingsproces na een verstoring daadwerkelijk weer werkt.
Aanvullende technische reguleringsnormen en technische uitvoeringsnormen concretiseren de verordening. Het officiële register van de Commissie vermeldt bijvoorbeeld rechtshandelingen over incidentmeldingen en onderuitbesteding. De implementatie vereist daarom de toepasselijke definitieve regels en de voorschriften van de bevoegde toezichthouder. Een oude checklist of algemene meldkalender vervangt die toetsing niet.
Welke financiële entiteiten en dienstverleners onder DORA vallen.
DORA omvat bepaalde rechtspersonen in de financiële sector volgens Art. 2 Verordening (EU) 2022/2554. Daaronder vallen bijvoorbeeld kredietinstellingen, betalingsinstellingen, beleggingsondernemingen en verzekeringsondernemingen, telkens met inachtneming van wettelijke uitzonderingen. De benaming fintech, start-up of mkb beslist deze vraag niet. EIOPA licht in haar definitieve antwoord DORA 136–3193 toe dat de indeling uitgaat van het type rechtspersoon en dat gedeelde ICT niet uitsluitend op basis van afzonderlijke activiteiten kan worden uitgesloten.
Een gewone derde aanbieder van ICT-diensten heeft een andere rol dan een financiële entiteit die onder de verordening valt. Financiële klanten kunnen contractuele toezeggingen, ondersteuning bij incidenten en deugdelijk bewijs verlangen. Daarvan moet de expliciete aanwijzing als kritieke derde aanbieder van ICT-diensten door de Europese toezichthouders volgens Art. 31 DORA worden onderscheiden. Alleen het ondersteunen van een kritieke klantfunctie leidt niet tot die aanwijzing, zoals de ESMA-informatie over het toezichtskader uitlegt.
Evenredigheid betekent een onderbouwde invulling van de verplichtingen op basis van de onderneming en haar risico’s. Het is geen algemene vrijstelling voor kleine ondernemingen. Het vereenvoudigde ICT-risicomanagementkader van Art. 16 DORA moet afzonderlijk worden getoetst. Leg rol, mogelijke uitzonderingen, bevoegde autoriteit en de onderbouwing van uw classificatie samen vast voordat u de implementatieomvang bepaalt.
De DORA-eisen verbinden zes werkgebieden.
De DORA-eisen koppelen bestuur, risicomanagement en toetsbare bedrijfsvoering. Het volgende overzicht bundelt de hoofdgebieden van de verordening; informatie-uitwisseling over cyberdreigingen is vrijwillig. ESMA beschrijft deze onderwerpen en verwijst voor de uitwerking naar de bijbehorende technische normen.
Bestuur en verantwoordelijkheid.
Het leidinggevend orgaan draagt volgens Art. 5 DORA verantwoordelijkheid voor ICT-risicomanagement. Daarbij hoort een kader waarin beslissingen, verantwoordelijkheden en benodigde middelen op elkaar aansluiten. Het inschakelen van externe diensten heft de verantwoordelijkheid van de financiële entiteit niet op. Voor het bestuur moet zichtbaar blijven welke wezenlijke risico’s bestaan en welke beslissingen nog openstaan.
ICT-risicomanagement en continuïteit.
Art. 5 tot en met 16 DORA behandelen het ICT-risicomanagementkader, inclusief de bijzondere regels voor het vereenvoudigde kader. Identificatie, bescherming, detectie, reactie, herstel en leren horen bij elkaar. De betrokken financiële functie met haar systemen en afhankelijkheden is het uitgangspunt. Een gedocumenteerde hersteldoelstelling vereist passende technische en organisatorische capaciteiten.
Incidenten behandelen en melden.
Art. 17 tot en met 23 DORA regelen ICT-gerelateerde incidenten en de melding daarvan. Verantwoordelijken moeten de gevolgen beoordelen, de relevante classificatie uitvoeren en de vereiste meldingen organiseren. De details volgen daarnaast uit de toepasselijke technische normen. Uitval van een leverancier moet daarom eerst inhoudelijk worden beoordeeld, in plaats van automatisch voor elk regelgevend kader dezelfde meldstatus over te nemen.
Digitale operationele weerbaarheid testen.
Art. 24 tot en met 27 DORA behandelen weerbaarheidstests. Verschillende testvormen beantwoorden verschillende vragen: een crisisoefening toetst beslissingen, terwijl een hersteltest technische aannames toetst. Dreigingsgestuurde penetratietests, kortweg TLPT, gelden voor geselecteerde financiële entiteiten. Ze vormen geen algemene eis voor elke financiële dienstverlener of al zijn leveranciers.
ICT-derdenrisico’s beheersen.
Art. 28 tot en met 30 DORA verbinden dienstverlenersrisico’s, contractvereisten en de eigen verantwoordelijkheid van de financiële entiteit. Het informatieregister van contractuele ICT-overeenkomsten moet worden onderscheiden van een willekeurige leverancierslijst. Bijzondere aandacht vereisen de ondersteuning van kritieke of belangrijke functies, afhankelijkheden, contractuele medewerking en uitvoerbare uitstapmogelijkheden. Art. 31 e.v. DORA behandelen het afzonderlijke toezicht op kritieke aanbieders.
Dreigingsinformatie gericht uitwisselen.
Art. 45 DORA maakt afspraken over de uitwisseling van informatie over cyberdreigingen mogelijk. Deelname is vrijwillig en vereist duidelijke regels voor vertrouwelijkheid en gebruik. De informatie-uitwisseling vult de eigen beveiligingsactiviteiten aan; zij vervangt noch de beoordeling van een incident, noch een vereiste melding aan de bevoegde autoriteit.
DORA implementeren: van rol naar getoetste capaciteit.
Rol en bevoegdheden bepalen.
Documenteer voor de relevante rechtspersoon het toepassingsgebied, uitzonderingen, de toezichtsrelatie en verantwoordelijke personen, zodat het verdere werk op een onderbouwde classificatie berust.
Financiële functies en afhankelijkheden in kaart brengen.
Verbind belangrijke functies met de daadwerkelijk gebruikte systemen, informatie en externe diensten om mogelijke gevolgen van verstoringen en gedeelde afhankelijkheden te herkennen.
Risico’s en afspraken beoordelen.
Toets met de vakafdeling, technologie en inkoop of maatregelen, toezeggingen van dienstverleners en contracten de vereiste continuïteit ondersteunen en waar bestuursbeslissingen nodig zijn.
Incidentafhandeling en herstel oefenen.
Oefen aan de hand van passende scenario’s detectie, beoordeling, escalatie en herstel, inclusief de vereiste samenwerking met dienstverleners, en documenteer de resultaten.
Bewijsmateriaal en wijzigingen bijhouden.
Controleer na wezenlijke veranderingen en nieuwe inzichten of verantwoordelijkheden, registers, procedures en tests nog op elkaar aansluiten en of geconstateerde zwaktes daadwerkelijk zijn verholpen.
DORA-bewijsvoering ontstaat in de dagelijkse bedrijfsvoering.
DORA wordt aangetoond met navolgbare beslissingen en toetsbare implementatie. Daarbij horen, afhankelijk van de toepasselijke verplichting, risicobeoordelingen, continuïteitsregelingen, incidentregistraties, testresultaten en documenten over ICT-overeenkomsten. Een bewijsstuk moet laten zien welke rechtspersoon en functie het betreft en wat daadwerkelijk is getoetst. Een testverslag met openstaande problemen bevestigt niet dat die problemen al zijn opgelost.
De bevoegde autoriteiten houden binnen het wettelijke kader toezicht op financiële entiteiten, onder meer volgens Art. 46 e.v. DORA. Daarvan verschilt het Europese toezicht op expliciet aangewezen kritieke derde aanbieders van ICT-diensten volgens Art. 31 tot en met 44. ESMA beschrijft dit toezicht als aanvulling op de eigen verantwoordelijkheid en het bestaande toezicht op financiële entiteiten. Een algemeen DORA-certificaat met een uniforme looptijd vervangt deze relaties en verplichtingen niet.
Verder lezen op de blog.
- DORA-gereedheid voor financiële entiteiten en ICT-dienstverlenersDe uitgebreide operationele leidraad met rollen, afhankelijkheden, tests en een voorbeeld van een betaaldienst.
- Derdenrisico’s onder AVG, NIS2 en DORADe verschillende beslissingen over leveranciers en dienstverleningsrelaties in samenhang houden.
DORA en andere frameworks.
DORA is voor financiële entiteiten die eronder vallen op de relevante gebieden een sectorspecifieke rechtshandeling van de Unie in verhouding tot NIS2; daaruit volgt geen algemene vrijstelling van alle BSIG-verplichtingen voor elke financiële groep of haar toeleveringsketen. ISO 27001 kan een ISMS organisatorisch structureren, maar vervangt de DORA-eisen en de bewijsvoering daarvan niet. Privacyverplichtingen uit de AVG moeten afzonderlijk worden beoordeeld, met name wanneer een verstoring ook persoonsgegevens betreft.
In Secani.
Secani bevat een redactionele DORA-catalogus op basis van Verordening (EU) 2022/2554 met geselecteerde aanvullende rechtshandelingen. Profielgegevens onderscheiden onder meer bevestigde financiële entiteiten en het volledige en vereenvoudigde kader. Deze gegevens ondersteunen gedocumenteerde behandeling; zij voeren geen automatische juridische classificatie uit. De catalogus is noch een officiële vertaling, noch een bevestiging van DORA-conformiteit.
Begin met één rechtspersoon en één functie.
Kies eerst een relevante rechtspersoon en een concrete financiële functie. Verzamel de classificatie, verantwoordelijkheden, systeemafhankelijkheden, dienstverleningsovereenkomsten en laatste testresultaten. Toets vervolgens met de verantwoordelijke personen welke uitspraken al onderbouwd zijn en welke beslissing als volgende nodig is. De uitgebreide blogleidraad werkt deze eerste stap verder uit.
Bronnen.
- Verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid voor de financiële sector
- Europese Commissie: Cyber resilience
- Europese Commissie: gedelegeerde en uitvoeringshandelingen bij DORA
- ESMA: DORA, hoofdgebieden en technische normen
- ESMA: toezicht op kritieke derde aanbieders van ICT-diensten
- EIOPA: DORA Q&A 136–3193 over Art. 2
- Commissierichtsnoeren over Art. 4 NIS2, 2023/C 328/02
Veelgestelde vragen.
Nee. De rechtspersoon, de wettelijke categorie en mogelijke uitzonderingen volgens Art. 2 DORA zijn bepalend. Alleen een marktbenaming of geringe ondernemingsgrootte schept noch toepasselijkheid, noch een vrijstelling.
Nee. De aanwijzing als kritieke derde aanbieder van ICT-diensten vindt plaats binnen het Europese toezichtskader volgens Art. 31 DORA. Alleen een klantrelatie of ondersteuning van een kritieke klantfunctie vervangt deze aanwijzing niet.
Nee. Dreigingsgestuurde penetratietests volgens Art. 26 DORA gelden voor geselecteerde financiële entiteiten. Andere toepasselijke eisen aan weerbaarheidstests moeten afzonderlijk worden getoetst.
Nee. Een ISO 27001-certificaat bevestigt een ISMS binnen de vermelde scope en vervangt de wettelijke DORA-verplichtingen niet. De toepasselijke eisen, feitelijke implementatie en het bewijs daarvan blijven leidend.
Verantwoordelijkheid en bewijsvoering samenbrengen.
Bekijk hoe Secani de behandeling van regelgevingsvereisten ondersteunt.
Deze pagina licht DORA op algemeen niveau toe en vervangt geen juridische toetsing van een concreet geval. De geldende rechtshandelingen en de voorschriften van de bevoegde toezichthouder zijn bepalend.