De Europese DORA-verordening (Digital Operational Resilience Act, EU 2022/2554) is sinds 17 januari 2025 volledig van toepassing. Een jaar later voeren de Europese toezichthoudende autoriteiten (ESA's) en nationale toezichthouders zoals de Franse ACPR het aantal inspecties op. Deze gids vat de praktische verplichtingen samen waaraan financiële entiteiten in 2026 moeten voldoen.
Op wie is DORA van toepassing?
DORA heeft betrekking op meer dan 22.000 financiële entiteiten in de Europese Unie: banken, verzekeraars, vermogensbeheerders, beleggingsondernemingen, aanbieders van betalings- en cryptoactivadiensten, en hun kritieke externe ICT-dienstverleners (cloud, SaaS, datacenters). De sancties kunnen oplopen tot 1% van de gemiddelde dagelijkse omzet, en kritieke dienstverleners staan voortaan onder rechtstreeks toezicht van de ESA's.
De vijf pijlers van DORA
1. Beheer van ICT-risico's
Het leidinggevend orgaan is persoonlijk verantwoordelijk voor het kader voor het beheer van ICT-risico's. Het moet een gedocumenteerd beleid goedkeuren, dat jaarlijks wordt herzien en dat identificatie, bescherming, detectie, respons en herstel omvat. Een volledige inventaris van ICT-activa en kritieke functies is een voorwaarde.
2. Beheer, classificatie en melding van incidenten
Ernstige incidenten moeten worden geclassificeerd aan de hand van zeven criteria (getroffen klanten, duur, kriticiteit, gegevensverlies enz.) en binnen strikte termijnen aan de toezichthouder worden gemeld:
- 4 uur na de classificatie als "ernstig" voor de eerste melding
- 72 uur voor het tussentijdse verslag
- 1 maand voor het eindverslag
3. Testen van de digitale operationele weerbaarheid
Alle entiteiten moeten hun ICT-omgeving jaarlijks testen. De grootste entiteiten (drempel vastgelegd door de ESA's) moeten om de drie jaar een TLPT (Threat-Led Penetration Testing) uitvoeren, in lijn met het TIBER-EU-kader.
4. Beheer van ICT-risico's van derden
DORA vereist een volledig informatieregister van alle contractuele ICT-regelingen (artikel 28, lid 3), dat jaarlijks aan de toezichthouder wordt bezorgd aan de hand van de 15 templates van Uitvoeringsverordening (EU) 2024/2956: zie onze praktische gids over het informatieregister. De minimale contractuele bepalingen zijn vastgelegd in artikel 30 van de verordening. Exit- en concentratiestrategieën worden verplicht.
5. Uitwisseling van informatie over cyberdreigingen
Het delen van indicatoren van compromittering en aanvalstactieken tussen financiële entiteiten wordt aangemoedigd via specifieke gemeenschappen, met inachtneming van de AVG.
Tijdlijn 2026
| Termijn | Vereiste actie |
|---|---|
| K1 2026 | Jaarlijkse indiening van het ICT-informatieregister |
| K1 2026 | Jaarlijkse herziening van het kader voor het beheer van ICT-risico's |
| K2 2026 | Eerste TLPT-oefening voor significante entiteiten |
| Doorlopend | Melding van ernstige incidenten binnen de termijnen van de ESA's |
DORA-compliancechecklist
- Kader voor het beheer van ICT-risico's goedgekeurd door het leidinggevend orgaan
- Volledige inventaris van kritieke activa en functies
- Operationeel proces voor de classificatie van incidenten
- Informatieregister van derden actueel en ingediend
- DORA-bepalingen opgenomen in kritieke ICT-contracten
- Jaarlijks testplan gedocumenteerd en uitgevoerd
- Exitstrategie voor elke kritieke leverancier
- Gedocumenteerde DORA-opleiding voor het senior management
- Geteste meldingsprocedure ENISA/ACPR
Veelgemaakte fouten om te vermijden
De ACPR-inspecties in 2025 brachten verschillende terugkerende zwakke punten aan het licht: onvolledige ICT-registers, ontbrekende exitstrategieën voor cloudleveranciers, niet-geclassificeerde incidenten door onduidelijke drempels, en weerbaarheidstests die beperkt bleven tot theoretische oefeningen. De NIS2-richtlijn, die DORA aanvult, versterkt deze verwachtingen voor essentiële sectoren.
Meer weten
DORA-compliance is geen eenmalig project, maar een doorlopende cyclus. ResiPlan centraliseert het ICT-register, automatiseert de classificatie van incidenten volgens de zeven criteria van de ESA's en genereert regelgevende rapporten in het vereiste formaat.
- Oplossing voor CISO's en operationele weerbaarheid
- Complianceoplossing (DORA, NIS2, ISO)
- DORA vs NIS2: welke regelgeving is van toepassing
- Prijzen en demo
Bronnen: Verordening (EU) 2022/2554, EBA-richtsnoeren EBA/GL/2023/05, ENISA-publicaties 2025, ACPR-nota's over het DORA-toezicht.