Wat betekent DORA-wetgeving voor je IT-afdeling?

Sinds 17 januari 2025 is de Digital Operational Resilience Act, beter bekend als DORA, van kracht: een Europese verordening die de digitale weerbaarheid van de financiële sector moet vergroten. Op het eerste gezicht lijkt DORA vooral een wet voor banken, verzekeraars en pensioenfondsen. In de praktijk raakt DORA een bredere groep organisaties dan die eerste lezing doet vermoeden, en dat is precies waar het voor IT-afdelingen interessant wordt.

Tekst: Jesper Oskam

De financiële sector leunt zwaarder dan ooit op digitale systemen en op partijen die deze systemen leveren en onderhouden. Een storing bij een cloudprovider of een IT-dienstverlener raakt daardoor niet alleen die ene organisatie, maar kan doorwerken tot in de kern van het financiële stelsel. Vóór DORA regelde elke EU-lidstaat digitale weerbaarheid op zijn eigen manier, met eigen eisen en eigen tempo. DORA vervangt die lappendeken door één geharmoniseerd kader binnen de EU.

DORA is opgebouwd rond vijf pijlers. Ze klinken op papier vrij technisch, maar in de praktijk blijkt telkens dat organisaties op een ander punt vastlopen dan ze vooraf verwachten.

1. ICT-risicobeheer

Veel organisaties behandelen risicobeheer als een project dat je één keer afrondt. DORA verwacht juist een doorlopend proces, met verantwoordelijkheid die tot op bestuursniveau belegd is. Die verschuiving van eenmalige exercitie naar continue verantwoordelijkheid is voor veel organisaties de eerste hobbel.

2. Incidentenmanagement

De meeste organisaties hebben wel een incidentproces, maar dat proces is vaak ingericht op interne afhandeling. DORA vraagt om externe rapportage aan de toezichthouder binnen vaste termijnen, en dat verandert wie binnen een organisatie eigenaar is van een incident zodra het zich voordoet.

3. Testen van digitale weerbaarheid

Een reguliere pentest is voor een specifieke groep financiële entiteiten niet meer voldoende. Zij krijgen te maken met een threat-led penetration testing, TLPT: een test die niet alleen techniek raakt, maar ook mensen, processen en het vermogen om te detecteren en te reageren. Juist dat laatste onderdeel, detectie en respons, wordt in de praktijk vaak onderschat.

4. Beheer van ICT-risico's bij derde partijen

Deze pijler loopt in de praktijk vaak tegen dezelfde knelpunten aan. Organisaties moeten hun ICT-contracten met derde partijen in een informatieregister vastleggen, inclusief afspraken over kritieke dienstverleners. Bij de eerste aanlevering van dit register lopen veel organisaties tegen dezelfde problemen aan: onvolledige contractdata, ontbrekende einddata, onduidelijke dienstomschrijvingen. Niet omdat de contracten er niet zijn, maar omdat ze nooit met dit doel zijn opgesteld.

5. Informatie-uitwisseling

Deze pijler krijgt het minst aandacht, simpelweg omdat hij vrijwillig is. Financiële instellingen worden aangemoedigd om onderling informatie te delen over cyberdreigingen en kwetsbaarheden. Dat vrijwillige karakter zegt iets over de gedachte achter DORA: weerbaarheid is geen individuele exercitie, maar iets wat de sector als geheel aangaat.

Wie onder de DORA-wetgeving valt, is minder vanzelfsprekend dan de wet doet vermoeden. Financiële entiteiten vallen nagenoeg allemaal onder de verordening: banken, beleggingsondernemingen, verzekeraars, pensioenfondsen en aanbieders van crypto-activa. Voor verzekeringstussenpersonen die als micro-, kleine of middelgrote onderneming kwalificeren, geldt een uitgebreide vrijstelling. Voor micro-ondernemingen binnen de overige categorieën geldt een vereenvoudigd risicobeheerkader, geen algehele vrijstelling.

IT-dienstverleners: verplichting via het contract

IT-dienstverleners vallen niet standaard onder DORA zelf. Toch is dat allesbehalve een vrijbrief. Werkt een financiële instelling samen met een IT-leverancier, dan schrijft DORA voor welke contractuele bepalingen daarin verplicht zijn: afspraken over toegang, controle, beëindiging en medewerking aan tests. De verplichting verschuift daarmee via het contract, niet via directe wetgeving voor de leverancier zelf.

De uitzondering: kritieke ICT-derde partij

Er is één belangrijke uitzondering. Leveranciers die door de Europese toezichthouders (EBA, ESMA en EIOPA) worden aangemerkt als kritieke ICT-derde partij, staan wél onder rechtstreeks EU-toezicht. In november 2025 publiceerden deze toezichthouders de eerste lijst met zulke aangewezen partijen. Voor deze groep gaat het dus niet om een afgeleide verplichting via een klantcontract, maar om directe supervisie, inclusief bevoegdheden voor de toezichthouders om informatie op te vragen, onderzoek te doen en maatregelen op te leggen.

Financiële instellingen

Bij financiële instellingen verandert er het meest in incidentenrespons, contractbeheer en testen. Een IT-afdeling die voorheen incidenten intern afhandelde, moet nu binnen strakke termijnen extern rapporteren. Contractbeheer verschuift van een juridische formaliteit naar een onderwerp waar IT actief bij betrokken is, omdat de techniek achter een contract net zo relevant is als de tekst ervan.

IT-leveranciers

Hier ligt het accent anders. Voor de meeste leveranciers geldt: aantoonbaarheid, niet directe wetgeving. Kunnen laten zien dat processen op orde zijn, dat governance staat, en dat je als partij mee kunt in de weerbaarheidstests van je klant. Dat vraagt iets van de interne organisatie, maar ook van hoe je met klanten communiceert over wat je wel en niet garandeert. Voor de kleine groep die als kritiek wordt aangemerkt, ligt dat anders: die krijgt te maken met rechtstreeks toezicht en de bijbehorende verplichtingen.

DORA staat niet op zichzelf. De Nederlandse Cyberbeveiligingswet, die de Europese NIS2-richtlijn implementeert, treedt op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten. Voor financiële instellingen die onder beide wetten zouden vallen, geldt DORA als specifiekere wetgeving en krijgt die voorrang op de Cyberbeveiligingswet. Voor organisaties buiten de financiële sector die wel met de Cyberbeveiligingswet te maken krijgen, geldt die voorrang niet: voor hen is de Cbw simpelweg het geldende kader. Voor IT-afdelingen betekent dit vooral dat ze moeten weten onder welke wetgeving hun organisatie precies valt, in plaats van te veronderstellen dat één wet automatisch de andere buiten werking stelt.

Wie nog niet begonnen is, doet er goed aan te starten bij het informatieregister: welke ICT-contracten zijn er, wie zijn de kritieke leveranciers, en staat de bijbehorende data op orde. Van daaruit wordt duidelijk waar de grootste gaten zitten, en of dat bij risicobeheer, incidentrapportage of testen ligt.