DORA-verordening: eisen voor financiële instellingen

Wat is DORA?

DORA is Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector. Als je DORA in een vacature tegenkomt, gaat het over de eisen die deze verordening aan financiële organisaties stelt. Ze stelt uniforme eisen aan het risicobeheer op het gebied van ICT, aan de melding van ernstige ICT-gerelateerde incidenten, aan het testen van de digitale operationele weerbaarheid, aan de uitwisseling van informatie over cyberdreigingen en aan het beheer van het ICT-risico van derde aanbieders.

Een verordening geldt rechtstreeks, zonder dat Nederland er een eigen omzetwet voor hoeft te maken. Dat verschilt van NIS2, dat in Nederland via de Cyberbeveiligingswet is omgezet. Artikel 64 bepaalt dat DORA van toepassing is met ingang van 17 januari 2025. Voor een professional betekent dat: je leest de verordening zelf en de uitwerking in technische standaarden. Deze tekst is de stand op 5 november 2026. Technische standaarden en nationale regels kunnen veranderen, dus controleer de verordening op EUR-Lex, en de actuele informatie van DNB en AFM.

Voor welke financiële organisaties geldt DORA?

DORA geldt voor financiële entiteiten. Artikel 2 noemt onder meer kredietinstellingen, betalingsinstellingen, aanbieders van rekeninginformatiediensten, instellingen voor elektronisch geld, beleggingsondernemingen, aanbieders van cryptoactivadiensten, centrale effectenbewaarinstellingen, centrale tegenpartijen, handelsplatformen, transactieregisters, beheerders van alternatieve beleggingsinstellingen, beheermaatschappijen, aanbieders van datarapporteringsdiensten, verzekerings- en herverzekeringsondernemingen, verzekeringstussenpersonen, instellingen voor bedrijfspensioenvoorziening, ratingbureaus, beheerders van kritieke benchmarks, aanbieders van crowdfundingdiensten en securitisatieregisters.

Ook aanbieders van ICT-diensten aan financiële entiteiten vallen onder de verordening, als aparte categorie. De verordening kent uitzonderingen. Uitgezonderd zijn onder meer verzekeringstussenpersonen die micro-, kleine of middelgrote ondernemingen zijn, en instellingen voor bedrijfspensioenvoorzieningen die pensioenregelingen uitvoeren met samen niet meer dan 15 leden. Rijksoverheid.nl meldt dat kleine ondernemingen niet aan alle regels hoeven te voldoen.

Wie werkt bij een bank, verzekeraar, pensioenfonds, betaalinstelling of beleggingsonderneming, werkt in beginsel onder DORA. Dat geldt voor functies in de financiële dienstverlening en bij verzekeraars en pensioenfondsen. Welke regels precies voor een organisatie gelden, hangt af van haar soort en omvang.

Wat zijn de vijf pijlers van DORA?

De verordening behandelt na de algemene bepalingen vijf onderwerpen. Die worden als pijlers aangeduid, al staat het woord pijler niet in de verordening zelf. De tabel zet ze naast elkaar.

De uitwisseling van informatie verdient een toelichting. Financiële entiteiten kunnen onderling inlichtingen over cyberdreigingen delen, binnen vertrouwensgemeenschappen en via regelingen die vertrouwelijkheid en gegevensbescherming waarborgen. Wie daaraan deelneemt, informeert de bevoegde autoriteiten. Dat delen is een keuze, maar de toezichthouder informeren hoort erbij zodra je meedoet.

Wat vraagt DORA van het bestuur en van ICT-risicobeheer?

Het leidinggevend orgaan bepaalt de regelingen voor het kader voor ICT-risicobeheer, keurt ze goed, houdt toezicht op de uitvoering en is ervoor verantwoordelijk. Het orgaan heeft de eindverantwoordelijkheid voor het beheer van het ICT-risico, keurt de strategie voor digitale operationele weerbaarheid goed en wijst een passend budget toe. De bestuursleden moeten actief voldoende kennis en vaardigheden hebben om ICT-risico te begrijpen en te beoordelen, onder meer door regelmatig opleidingen te volgen.

Het ICT-risicokader maakt deel uit van het bredere risicobeheer. Het moet solide, alomvattend en goed gedocumenteerd zijn, zodat ICT-risico snel, efficiënt en zo volledig mogelijk wordt aangepakt. Het bouwt voort op werk als assetinventaris, risicoanalyses, beleid, change management, back-up en herstel. Nieuw is het gedocumenteerde kader en de directe verantwoordelijkheid van het bestuur. Voor het informatiebeveiligingsbeleid kijk je naar een kader als ISO 27001. Een certificeringsroute voor IT-risicobeheer is de CRISC-certificering.

IT-risico is hier bestuurszaak. Voor een risk manager of CISO betekent dat dat rapportage richting het bestuur een eigen onderdeel van het werk is, en geen bijzaak die je er na de risicoanalyse bij doet.

Hoe werkt incidentmelding onder DORA?

Financiële entiteiten stellen een beheerproces voor ICT-gerelateerde incidenten vast. Ze registreren alle ICT-gerelateerde incidenten en significante cyberdreigingen, en ze classificeren incidenten op basis van criteria. Dat beheerproces is werk voor het incident response-team, en ook de compliance-kant moet het kennen.

Een ernstig ICT-gerelateerd incident meld je aan de relevante bevoegde autoriteit in drie stappen: een eerste kennisgeving, een tussentijds verslag en een eindverslag. De termijnen voor die stappen staan in technische standaarden, niet in de verordeningstekst zelf. Raadpleeg de actuele termijnen bij DNB. Significante cyberdreigingen kun je vrijwillig melden. Als een ernstig incident de financiële belangen van cliënten raakt, informeer je die cliënten onverwijld.

Incidentmelding onder DORA draait om classificeren. Eerst beoordeel je of een incident ernstig is, daarna meld je het aan de toezichthouder. Voor een SOC, een incident responder en een compliance officer betekent dat dat de classificatiecriteria en het meldproces vooraf geoefend moeten zijn, niet pas als het misgaat. Ook onder NIS2 bestaat een meldplicht. Voor banken en marktinfrastructuren gaat DORA voor waar de regels overlappen.

Wat zijn weerbaarheidstests en TLPT?

Financiële entiteiten die geen micro-onderneming zijn, hebben een programma voor het testen van digitale operationele weerbaarheid. De tests worden uitgevoerd door interne of externe onafhankelijke partijen. Ten minste eenmaal per jaar voer je passende tests uit op alle ICT-systemen en -toepassingen die kritieke of belangrijke functies ondersteunen.

Het programma is breder dan een pentest. Mogelijke tests zijn kwetsbaarheidsbeoordelingen en -scans, netwerkbeveiligingsbeoordelingen, kloofanalyses, beoordelingen van broncodes, scenariogebaseerde tests, eind-tot-eindtests en penetratietests. Dat werk valt onder security testing. Een certificeringsroute voor penetratietesten is de OSCP-certificering.

TLPT (threat-led penetration testing, dreigingsgestuurde penetratietest) is de zwaarste vorm. Aangewezen entiteiten voeren die ten minste om de drie jaar uit, en de bevoegde autoriteit bepaalt welke entiteiten dat moeten doen. De test beslaat meerdere of alle kritieke of belangrijke functies en draait op systemen die in het reële leven prestaties verrichten. Gebruikt een entiteit interne testers, dan stelt ze om de drie tests een externe tester aan.

TLPT lijkt op een red team-oefening: een realistisch aanvalsscenario, met een vooraf afgesproken scope en afspraken over veiligheid, op echte productiesystemen. Dat maakt het werk voor een red team specialist en een penetration tester, met de risico's die horen bij testen in productie.

Hoe beheer je ICT-derdenrisico en het register van contractuele afspraken?

Het uitgangspunt is dat de financiële entiteit te allen tijde volledig verantwoordelijk blijft voor de naleving, ook als ze ICT-diensten van derden gebruikt. Daarom houdt ze een informatieregister bij van alle contractuele overeenkomsten over het gebruik van ICT-diensten van derden. Het register maakt onderscheid tussen overeenkomsten voor kritieke of belangrijke functies en de overige. DNB schrijft dat instellingen zo'n register moeten hebben met een overzicht van alle ICT-diensten die ze van derden afnemen.

Ten minste jaarlijks rapporteert de entiteit aan de bevoegde autoriteiten over het aantal nieuwe overeenkomsten, de categorieën derde aanbieders, het soort overeenkomsten en de diensten en functies. Op verzoek stelt ze het register ter beschikking. Voor het sluiten van een overeenkomst beoordeel je of die een kritieke of belangrijke functie ondersteunt, voer je due diligence uit en beoordeel je belangenconflicten.

De Europese toezichthoudende autoriteiten wijzen derde aanbieders van ICT-diensten aan die kritiek zijn voor financiële entiteiten, en stellen voor elk van hen een lead overseer aan. Het register is geen eenmalige lijst. Je houdt het bij, en de autoriteit kan het opvragen.

Dit is de dagelijkse werkruimte van de third party risk manager: de leveranciersinventaris, de risicobeoordeling, de contractclausules en de exit-plannen. De praktische vragen zijn: welke ICT-diensten nemen we af, waarvoor, van wie, wat is kritiek, en wat gebeurt er als de leverancier uitvalt? Daar werken inkoop, third party risk management en security samen. Welke werkgevers deze functie zoeken, zie je op de werkgeverspagina voor third party risk managers. Ook voor leveranciers van ICT-diensten heeft DORA gevolgen: hun klanten zullen indirect om contractuele afspraken en bewijs vragen.

Wie houdt toezicht in Nederland en hoe verhoudt DORA zich tot NIS2?

DNB en AFM houden toezicht op de naleving van DORA. Ze kunnen een boete geven als een financieel bedrijf zich niet aan DORA houdt. De lidstaten stellen zelf regels vast voor administratieve strafmaatregelen, die doeltreffend, in verhouding tot de inbreuk en afschrikkend moeten zijn. Europese toezichthouders houden toezicht op grote IT-leveranciers van financiële instellingen.

DNB schreef op 20 december 2024 over haar toezicht per 17 januari 2025. Volgens die publicatie is het toezicht risicogebaseerd en proportioneel. DNB wijst instellingen aan voor TLPT en coördineert de planning met bestaande TIBER-tests. Voor instellingen binnen de reikwijdte vervangt DORA de Good Practice Informatiebeveiliging. Handhaving gebeurt risicogebaseerd, met informele middelen zoals een gesprek of brief en formele middelen zoals een bestuurlijke boete. Bij een financiële groep met zowel een DNB- als een AFM-vergunning werken DNB en AFM samen over de opzet van TLPT. Dit is de stand van die publicatie, en de details kunnen sindsdien zijn bijgewerkt. Raadpleeg dnb.nl voor actuele informatie.

Naast DORA gelden voor banken en financiële marktinfrastructuren ook NIS2, in Nederland via de Cyberbeveiligingswet, en de CER-richtlijn. Waar de regels overlappen, gaan de DORA-bepalingen voor financiële instellingen voor. Lees meer over NIS2 en de Cyberbeveiligingswet.

Welke functies werken met DORA?

DORA komt terug in meerdere functies. Hieronder staat per functie wat de rol met de verordening te maken heeft. Dit is duiding, geen vaste taakbeschrijving.

Third party risk manager: beoordeelt leveranciers voor en tijdens het contract, beheert het register en stemt af met inkoop en juridische zaken.

Risk manager en IT-risk manager: stellen het ICT-risicokader op, voeren risicoanalyses uit en rapporteren aan het bestuur.

Compliance officer: toetst of de organisatie aan de verordening voldoet, onderhoudt de relatie met DNB of AFM en volgt de technische standaarden. Het werk hoort thuis bij compliance en privacy.

Chief Information Security Officer: eindverantwoordelijk voor de uitvoering van het beveiligingsdeel, de ICT-incidenten en het testprogramma.

Red team specialist en penetration tester: voeren tests uit, waaronder TLPT, of begeleiden die bij een externe partij.

Business continuity manager: werkt aan continuïteit en herstel voor kritieke of belangrijke functies, het werk achter de skill business continuity.

IT-auditor toetst het kader en de uitvoering. Voor risk- en auditfuncties helpt de keuze tussen CISSP, CISM of CISA bij het bepalen van de route.

Bij DORA hoort ook kennis van de financiële sector. Wat een kritieke of belangrijke functie is, verschilt per instelling. Professionals met financiële kennis en security- of risicokennis passen hier dus goed. Wie in deze functies wil werken, kan in vacatures zoeken op de term DORA, die op vacaturepagina's kan voorkomen.