DORA (Digital Operational Resilience Act, EU-verordening 2022/2554) is op 17 januari 2025 van toepassing geworden. Een jaar later markeert 2026 de eerste volledige auditcyclus van financiële entiteiten door de bevoegde autoriteiten. Dit artikel beschrijft wat de ESA's (European Supervisory Authorities — EBA, ESMA, EIOPA) en de nationale toezichthouders (ACPR, BaFin, CNMV, FINMA, AMF…) prioritair zullen onderzoeken, de tijdlijn voor 2026, de verwachte deliverables en de mogelijke sancties.
De kalender van de eerste auditcyclus 2026
| Periode | Deadline |
|---|---|
| Q1 2026 | Verplichte indiening van het Register of Information (RoI, Art. 28(3)) bij uw nationale toezichthouder, in het formaat van ITS 2024/2956 van de ESA's |
| Q1–Q2 2026 | Eerste documentaire audits ter plaatse (ACPR Frankrijk, BaFin Duitsland) — focus op ICT-risico en CIF's |
| T2 2026 | Halfjaarlijkse rapportering van grote incidenten volgens Art. 17, indien van toepassing |
| Q3 2026 | Planning van TLPT voor tier 1-entiteiten (systeembanken, marktinfrastructuren) — Art. 26-27 |
| Q4 2026 | Eerste jaarlijks DORA-compliancerapport aan het leidinggevend orgaan, ondertekend door CEO/CRO/CISO |
De 7 prioritaire controlepunten
1. Het Register of Information (Art. 28(3))
Het RoI is de spil van de DORA-audit. Het formaat is vastgelegd in Uitvoeringsverordening (EU) 2024/2956: 15 templates (B_01.01 tot B_99.01) die de entiteit en haar toepassingsgebied, de contractuele regelingen, de ICT-leveranciers en hun keten van onderaannemers, de ondersteunde functies en de beoordeling van kritieke diensten omvatten. Templates en veelvoorkomende fouten bij de indiening: Praktische gids voor het DORA Register of Information.
Typische fouten vastgesteld in Q4 2025:
- Ontbrekende of foutieve LEI (Legal Entity Identifier).
- CIF's niet afgestemd op hun ICT-leveranciers (lege mappings).
- ICT-onderaanneming (Art. 29) niet getraceerd tot op tier-N.
- Land van hosting en type clouddienst niet aangegeven.
De auditor zal het RoI vergelijken met uw werkelijke mapping en elke inconsistentie signaleren.
2. ICT-governance (Art. 5)
Het leidinggevend orgaan moet het kader voor het beheer van ICT-risico's hebben goedgekeurd en het regelmatig herzien. De auditor zoekt naar:
- Notulen van comités die het kader goedkeuren,
- Driemaandelijkse rapporten aan CISO/CRO en jaarlijkse aan de raad van bestuur,
- Spoor van beslissingen over kritieke functies (CIF's) en kritieke leveranciers.
Zie /features/cif-evaluation voor de methodologie.
3. De cartografie van de CIF's en hun RTO/RPO/MTPD
Elke CIF moet gekwantificeerde en geteste continuïteitsdoelstellingen hebben. De auditor controleert:
- Rechtvaardiging van de kriticiteit conform Art. 3(22) (4 criteria),
- RTO/RPO/MTPD aangegeven en aangetoond door middel van een oefening,
- Gedocumenteerd herstelplan voor elke CIF.
Zie onze praktijkgids voor de BIA en RTO vs RPO 2026.
4. Beheer van kritieke ICT-derde partijen (Art. 28)
Voor elke ICT-leverancier die een CIF ondersteunt, controleert de auditor:
- Exitstrategie Art. 28(7)(j) — gedocumenteerd en testbaar.
- Verplichte contractuele clausules Art. 30 (continuïteit, beveiliging, audit, beëindiging).
- Concentratierisico Art. 29 berekend en gedocumenteerd.
- Zie CRA-contractclausules (vergelijkbaar patroon).
5. Melding van grote incidenten (Art. 17)
Workflow en termijnen afgestemd op de ITS van de ESA's: vroegtijdige waarschuwing 4 u, melding 24 u, tussentijds rapport 1 maand, eindrapport ≤ 30 d na afsluiting. De auditor zal uw incidenten van 2025 onderzoeken:
- Hebt u tijdig gemeld?
- Was de inhoud volledig (impact, grondoorzaak, remediëring, geleerde lessen)?
- Hebt u de klanten verwittigd van wie de diensten getroffen waren?
6. Weerbaarheidstests (Art. 24-25)
Jaarlijks testprogramma, met minstens:
- Continuïteitstests (DRP, BCP, triggerscenario's),
- Penetratietests op kritieke ICT-systemen,
- Voor tier 1-entiteiten: TLPT (Threat-Led Penetration Test) om de 3 jaar, met scenario's gestuurd door threat intelligence.
7. Traceerbaarheid van het leidinggevend orgaan
De directiecomités moeten aantonen dat zij tijd hebben besteed aan ICT-weerbaarheid: agenda's, notulen, gedocumenteerde beslissingen. Geen "rubber-stamping".
DORA-sancties bij niet-naleving
De ESA's en de nationale toezichthouders kunnen het volgende opleggen:
- Administratieve boetes tot 2% van de totale jaarlijkse wereldwijde omzet bij ernstige inbreuken.
- Voor door de ESA's aangewezen kritieke ICT-derde dienstverleners: tot 1% van de gemiddelde dagelijkse wereldwijde omzet per dag van inbreuk, met een maximum van 6 maanden.
- Publieke waarschuwingen, intrekking van de vergunning bij recidive.
De ACPR heeft in maart 2026 bevestigd dat zij voor de eerste cyclus voorrang zal geven aan waarschuwingen en remediëringsplannen, maar ernstige inbreuken (niet-geïdentificeerde CIF's, ontbrekend of vals RoI, niet-gemelde incidenten) zullen onmiddellijk worden gesanctioneerd.
Checklist in 60 dagen om de audit van 2026 te doorstaan
D-60 → D-45 : Interne audit van het RoI t.o.v. de werkelijke cartografie.
Start herziening van alle CIF's (rechtvaardiging, RTO/RPO).
D-45 → D-30 : Vervolledig ontbrekende mappings CIF ↔ ICT-leverancier.
Controleer clausules Art. 30 in 100% van de contracten.
D-30 → D-15 : Test de workflow voor incidentmelding (oefening).
Documenteer ICT-governance (notulen comités vorig kwartaal).
D-15 → D-7 : Proefaudit met externe consultant of interne auditor.
D-7 → D-0 : Bereid het auditdossier voor (notulen, RoI, rapporten, KPI's).
Stem de kernboodschappen af tussen CEO/CRO/CISO.
D-0 : Audit. Antwoorden voorbereid, toegang tot de artefacten.
Hoe ResiPlan uw DORA-compliance 2026 versnelt
ResiPlan wordt voorgeconfigureerd geleverd met:
- Register of Information samengesteld uit uw leveranciers, contracten en kritieke functies, met controles vóór de indiening — zie /features/dora-cif.
- Methodologie voor CIF-evaluatie Art. 3(22) — zie /features/cif-evaluation.
- Incidentworkflow Art. 17 (4u/24u/1 maand/na afsluiting).
- DORA-compliancedashboard in realtime.
- TLPT-scenario's + integratie met gecertificeerde penetratietesters.