Wat is DORA?
DORA, de Digital Operational Resilience Act, is een Europese verordening over digitale operationele weerbaarheid in de financiële sector. Omdat het een verordening is, geldt ze rechtstreeks in alle EU-lidstaten. DORA trad in werking op 16 januari 2023 en is van toepassing sinds 17 januari 2025.
Het doel is dat financiële entiteiten ICT-risico's niet alleen technisch, maar bestuurlijk en operationeel beheersen. DORA verplicht organisaties om ICT-risico's te identificeren, incidenten te melden, weerbaarheid te testen, ICT-dienstverleners te beheren en dreigingsinformatie te kunnen delen. De Europese toezichthouders werken dit verder uit via technische standaarden.
Voor wie geldt DORA?
DORA geldt voor ongeveer twintig soorten financiële entiteiten. Denk aan kredietinstellingen, betalingsinstellingen, instellingen voor elektronisch geld, beleggingsondernemingen, handelsplatformen, cryptoactivadienstverleners, verzekeraars, herverzekeraars, verzekeringsbemiddelaars, beheervennootschappen, alternatieve beleggingsfondsbeheerders, ratingbureaus, crowdfundingdienstverleners en centrale tegenpartijen.
Niet elke organisatie heeft dezelfde verplichtingen. DORA werkt met proportionaliteit: maatregelen moeten passen bij omvang, risico, activiteiten en complexiteit. Toch vraagt ook een kleinere fintech om aantoonbare structuur. Wie kritieke ICT-diensten uitbesteedt, moet weten welke leveranciers belangrijk zijn, welke contractvoorwaarden gelden en hoe exit of verstoring wordt beheerst.
Wat zijn de vijf pijlers van DORA?
| Pijler | Wat wordt gevraagd | Artikelen |
|---|---|---|
| ICT-risicobeheer | Een gedocumenteerd kader, goedgekeurd door het leidinggevend orgaan | 5–16 |
| Incidentmelding | ICT-incidenten classificeren en ernstige incidenten melden | 17–23 |
| Weerbaarheidstesten | Testprogramma; TLPT minstens om de drie jaar voor aangewezen entiteiten | 24–27 |
| ICT-derdenrisico | Contractvereisten, exitstrategieën en een informatieregister | 28–44 |
| Informatie-uitwisseling | Vrijwillig delen van cyberdreigingsinformatie | 45 |
Welke incidenttermijnen gebruikt DORA?
Voor een belangrijk ICT-gerelateerd incident voorzien de technische standaarden een eerste melding binnen vier uur nadat het incident als belangrijk is geclassificeerd en uiterlijk binnen 24 uur nadat de organisatie er kennis van kreeg. Daarna volgt een tussentijds rapport binnen 72 uur na de eerste melding en een eindrapport uiterlijk één maand na het laatste tussentijdse rapport.
Die termijnen maken voorbereiding belangrijk. Tijdens een incident is er weinig tijd om eigenaars, systemen, leveranciers, bewijs en communicatiekanalen te zoeken. ComplyPilot helpt de basis vooraf vast te leggen: incidentrecords, leveranciers, controls, taken en beleid worden gekoppeld aan het DORA-framework.
Hoe ondersteunt ComplyPilot DORA?
ComplyPilot bevat een DORA-framework per pijler en een dashboard voor DORA-gereedheid. Vereisten worden gekoppeld aan dezelfde controls, risico's, beleid en bewijsstukken die ook voor ISO 27001 en NIS2 worden gebruikt. Een ICT-risicobeleid, backup testlog of toegangscontroleprocedure hoeft dus niet apart voor elk framework te worden bijgehouden.
De leveranciersmodule helpt bij ICT-derdenrisico. Je kunt dienstverleners registreren met kritikaliteit, reviewfrequentie en verantwoordelijke. Taken met deadlines ondersteunen opvolging. Exports geven auditor, toezichthouder of management een gestructureerd overzicht van wat klaar is en waar nog bewijs ontbreekt.
Wat is het verschil tussen DORA, NIS2 en ISO 27001?
| Onderwerp | DORA | NIS2 | ISO 27001 |
|---|---|---|---|
| Type | EU-verordening | EU-richtlijn met nationale omzetting | Internationale norm |
| Doelgroep | Financiële entiteiten en ICT-keten | Essentiële en belangrijke entiteiten | Elke organisatie |
| Focus | ICT-weerbaarheid | Cybersecuritymaatregelen | ISMS en risicobeheer |
| Bewijs | Toezicht en interne aantoonbaarheid | Toezicht en meldplicht | Certificatie-audit |
Hoe begin je met DORA zonder dubbel werk?
Begin met de controles en bewijzen die al bestaan voor ISO 27001 of NIS2. Toegangsbeheer, logging, incidentrespons, backupbeheer, leveranciersbeoordeling en continuïteit zijn vaak al gedeeltelijk aanwezig. Het DORA-werk bestaat dan niet uit opnieuw documenteren, maar uit aantonen welke onderdelen bijdragen aan ICT-risicobeheer, incidentrapportage, testen en derdenrisico.
ComplyPilot maakt die hergebruikstap zichtbaar. Een bestaand bewijsstuk kan aan DORA worden gekoppeld, terwijl de DORA-score apart blijft. Zo ziet een fintech of financiële dienstverlener welke basis al staat en welke specifieke DORA-onderdelen nog extra aandacht vragen, zoals het informatieregister, exitstrategieën of testplanning.
Welke bewijzen verwacht DORA in de praktijk?
DORA draait om aantoonbare werking. Denk aan een goedgekeurd ICT-risicokader, een actuele lijst van kritieke systemen, incidentprocedures, rapportage-afspraken, testplannen, resultaten van backup- en hersteltesten, leveranciersbeoordelingen, contractclausules, exitplannen en managementbesluiten. De exacte diepgang hangt af van de organisatie en proportionaliteit, maar mondelinge uitleg alleen is zelden genoeg.
ComplyPilot bewaart deze stukken niet als losse bestanden zonder context. Elk bewijsstuk krijgt een eigenaar, status en koppeling naar controls, risico's, leveranciers of DORA-vereisten. Daardoor kan het team sneller zien welk bewijs verouderd is, waar nog een review ontbreekt en welke DORA-pijler nog onvoldoende onderbouwd is.
Veelgestelde vragen
Sinds wanneer geldt DORA?
DORA is van toepassing sinds 17 januari 2025.
Vervangt DORA NIS2 voor financiële entiteiten?
Voor ICT-risicobeheer en incidentmelding is DORA de specifieke wet en gaat die voor op overeenkomstige NIS2-regels.
Moet elke financiële entiteit TLPT uitvoeren?
Nee. Threat-led penetration testing geldt minstens om de drie jaar voor aangewezen entiteiten. Andere entiteiten moeten wel passende weerbaarheidstesten uitvoeren.
Helpt ISO 27001 bij DORA?
Ja. ISO 27001 ondersteunt veel ICT-risicobeheer, maar DORA voegt specifieke eisen toe rond incidentmelding, testen en ICT-derdenrisico.