Het verschil tussen DORA en NIS2 voor financiële instellingen is een kwestie van voorrang. DORA is een sectorspecifieke verordening: voor banken en andere financiële entiteiten gelden haar regels inzake ICT-risico, incidentmelding, testen en derde aanbieders in plaats van die van NIS2. Banken en marktinfrastructuren komen nog steeds voor in NIS2, en hun incidentmeldingen bereiken nog steeds de NIS2-autoriteiten. Hieronder vergelijkt één tabel DORA, NIS2, de CRA en de AI Act.
In het EU-recht betekent lex specialis dat een specifiekere handeling van toepassing is in plaats van een algemene handeling over hetzelfde onderwerp. NIS2 legt die regel vast in artikel 4 en DORA roept haar in via artikel 1(2). De Cyber Resilience Act (CRA, de cyberweerbaarheidsverordening) is een productverordening voor verbonden hardware en software, en de AI Act (de AI-verordening) is een risicogebaseerde verordening voor AI-systemen en AI-modellen voor algemene doeleinden. Beide zijn van toepassing naast DORA en NIS2, niet in plaats ervan.
Deze pagina is het overzicht van de vier teksten. Voor een diepere analyse van alleen DORA en NIS2 leest u DORA vs NIS2.
DORA, NIS2, CRA en AI Act naast elkaar
| DORA | NIS2 | CRA | AI Act | |
|---|---|---|---|---|
| Rechtsvorm en referentie | Verordening (EU) 2022/2554, rechtstreeks toepasselijk. Gedetailleerde regels in technische normen, bv. Gedelegeerde Verordeningen (EU) 2024/1772, 2025/301 en 2025/1190, Uitvoeringsverordening (EU) 2024/2956 | Richtlijn (EU) 2022/2555. Ze is van toepassing via nationale omzettingswetten, dus de details verschillen per lidstaat | Verordening (EU) 2024/2847, rechtstreeks toepasselijk | Verordening (EU) 2024/1689, rechtstreeks toepasselijk. Gewijzigd bij Verordening (EU) 2026/1744 (Digitale omnibus inzake AI) |
| Wie valt eronder | 20 soorten financiële entiteiten (art. 2(1)(a)–(t)): krediet-, betalings- en e-geldinstellingen, beleggingsondernemingen, aanbieders van cryptoactivadiensten, verzekeraars, pensioenfondsen, fondsbeheerders, marktinfrastructuren en andere. Derde aanbieders van ICT-diensten via contracten en, indien aangewezen als kritiek, via rechtstreeks toezicht (oversight) op EU-niveau | Middelgrote en grote entiteiten (sommige ongeacht hun omvang) in 18 sectoren die in bijlagen I en II zijn opgenomen, ingedeeld als essentieel of belangrijk. Bankwezen en infrastructuur voor de financiële markt staan in bijlage I | Fabrikanten, importeurs en distributeurs van producten met digitale elementen die een gegevensverbinding met een apparaat of netwerk hebben (art. 2(1)). Cloud en SaaS vallen in plaats daarvan onder NIS2, tenzij het gaat om de gegevensverwerking op afstand van een product (overwegingen 11–12) | Aanbieders, gebruiksverantwoordelijken, importeurs en distributeurs van AI-systemen, en aanbieders van AI-modellen voor algemene doeleinden, inclusief aanbieders buiten de EU waarvan de output in de EU wordt gebruikt (art. 2(1)) |
| Wat het beschermt | Digitale operationele weerbaarheid van financiële entiteiten en van het financiële stelsel | Beveiliging van de netwerk- en informatiesystemen achter diensten die belangrijk zijn voor de samenleving en de economie | Cyberbeveiliging van producten gedurende hun volledige levenscyclus, inclusief de ondersteuningsperiode | Gezondheid, veiligheid en grondrechten die aan AI-risico's zijn blootgesteld |
| Kernverplichtingen | Kader voor ICT-risicobeheer (art. 5–16), beheer en classificatie van incidenten (art. 17–18), testen van de weerbaarheid (art. 24–27), ICT-risico van derde aanbieders, inclusief het informatieregister (art. 28(3)) en contractuele bepalingen (art. 30) | Governance (art. 20) en een reeks van ten minste tien risicobeheersmaatregelen volgens een benadering die alle gevaren omvat (art. 21(2)(a)–(j)), van incidentenbehandeling en bedrijfscontinuïteit tot beveiliging van de toeleveringsketen en multifactorauthenticatie | Essentiële cyberbeveiligingsvereisten (bijlage I, deel I), behandeling van kwetsbaarheden met een softwarestuklijst (SBOM) (bijlage I, deel II), conformiteitsbeoordeling en CE-markering | Verboden praktijken (art. 5), maatregelen voor AI-geletterdheid (art. 4), eisen voor systemen met een hoog risico (art. 9–15), verplichtingen van gebruiksverantwoordelijken (art. 26), beoordeling van de gevolgen voor de grondrechten (art. 27), transparantie (art. 50), verplichtingen voor AI-modellen voor algemene doeleinden (art. 53–55) |
| Melding van incidenten of kwetsbaarheden en termijnen | Ernstige ICT-gerelateerde incidenten, gemeld aan de financiële toezichthouder. Eerste kennisgeving binnen 4 uur na classificatie als ernstig en uiterlijk 24 uur nadat de entiteit er kennis van heeft gekregen. Tussentijds verslag binnen 72 uur na de eerste kennisgeving. Eindverslag binnen 1 maand na het laatste tussentijdse verslag (art. 19; Gedelegeerde Verordening (EU) 2025/301, art. 5) | Significante incidenten, gemeld aan het CSIRT of de bevoegde autoriteit. Vroegtijdige waarschuwing binnen 24 uur nadat de entiteit er kennis van heeft gekregen. Incidentmelding binnen 72 uur. Tussentijds verslag op verzoek. Eindverslag binnen 1 maand na de incidentmelding (art. 23(4)) | Actief uitgebuite kwetsbaarheden en ernstige incidenten, door de fabrikant gemeld via het centrale meldingsplatform van ENISA (Single Reporting Platform). Vroegtijdige waarschuwing binnen 24 uur. Melding binnen 72 uur. Eindverslag 14 dagen nadat een correctie beschikbaar is (kwetsbaarheid) of 1 maand na de melding (incident) (art. 14) | Ernstige incidenten met AI-systemen met een hoog risico, door de aanbieder gemeld aan de markttoezichtautoriteit. Melding zodra een oorzakelijk verband is vastgesteld, en uiterlijk binnen 15 dagen. Binnen 2 dagen bij een wijdverbreide inbreuk of een ernstige verstoring van kritieke infrastructuur. Binnen 10 dagen bij overlijden (art. 73) |
| Aansprakelijkheid van het leidinggevend orgaan | Het leidinggevend orgaan bepaalt het kader voor ICT-risicobeheer, keurt het goed, houdt er toezicht op en draagt de eindverantwoordelijkheid voor het ICT-risico (art. 5(2)). Regelmatige opleiding (art. 5(4)). Nationale sancties kunnen bestuursleden treffen (art. 50(5)) | Bestuursorganen keuren de maatregelen van art. 21 goed, houden toezicht op de uitvoering ervan en kunnen aansprakelijk worden gesteld (art. 20(1)). Verplichte opleiding (art. 20(2)). Voor essentiële entiteiten is een tijdelijk verbod op het uitoefenen van leidinggevende functies mogelijk (art. 32(5)(b)) | Geen specifieke bepaling voor het bestuur. De verplichtingen liggen bij de marktdeelnemer | Geen specifieke bepaling voor het bestuur. Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen voor de AI-geletterdheid van hun personeel (art. 4) |
| Derde partijen en toeleveringsketen | Strategie inzake ICT-risico van derde aanbieders, informatieregister (art. 28(3); Uitvoeringsverordening (EU) 2024/2956), verplichte contractuele bepalingen (art. 30), exitstrategieën. De Europese toezichthoudende autoriteiten (ETA's) houden toezicht op kritieke derde aanbieders van ICT-diensten (art. 31–44) en publiceerden op 18 november 2025 hun eerste lijst van aangewezen aanbieders | Beveiliging van de toeleveringsketen, inclusief de relaties met rechtstreekse leveranciers en de kwaliteit van hun producten en ontwikkelpraktijken (art. 21(2)(d) en 21(3)). Gecoördineerde risicobeoordelingen op EU-niveau van kritieke toeleveringsketens (art. 22) | Passende zorgvuldigheid ten aanzien van componenten van derden, inclusief opensourcecomponenten (art. 13(5)). SBOM die ten minste de afhankelijkheden op het hoogste niveau omvat. Verplichtingen voor importeurs (art. 19) en distributeurs (art. 20) | Verplichtingen verdeeld over de AI-waardeketen (art. 25). De aanbieder van een systeem met een hoog risico en zijn leveranciers van modellen, instrumenten en componenten moeten een schriftelijke overeenkomst sluiten (art. 25(4)), die Verordening (EU) 2026/1744 heeft toegevoegd aan de beboetbare verplichtingen (art. 99(4)(da)) |
| Testen | Programma voor het testen van de digitale operationele weerbaarheid voor alle entiteiten (art. 24–25). Dreigingsgestuurde penetratietests (TLPT) ten minste om de 3 jaar voor aangewezen entiteiten (art. 26; Gedelegeerde Verordening (EU) 2025/1190) | Procedures om te beoordelen of de maatregelen doeltreffend zijn (art. 21(2)(f)). Autoriteiten kunnen audits en beveiligingsscans opleggen (art. 32(2)) | Doeltreffende en regelmatige beveiligingstests en -evaluaties (bijlage I, deel II, punt 3). Conformiteitsbeoordeling door een derde partij voor sommige productcategorieën (art. 32) | Testen van systemen met een hoog risico voordat ze in de handel worden gebracht (art. 9). Nauwkeurigheid, robuustheid en cyberbeveiliging (art. 15). Tests gericht op het ontdekken van kwetsbaarheden (adversarial testing) van AI-modellen voor algemene doeleinden met een systeemrisico (art. 55) |
| Sancties (maximale boetes) | Bedragen vastgesteld door het nationale recht (art. 50); geen EU-plafond voor financiële entiteiten. Voor kritieke ICT-aanbieders een dwangsom tot 1 % van de gemiddelde dagelijkse wereldwijde omzet, per dag, gedurende maximaal 6 maanden (art. 35(6)–(8)) | Essentiële entiteiten: maximum van ten minste 10 miljoen euro of 2 % van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Belangrijke entiteiten: ten minste 7 miljoen euro of 1,4 % (art. 34(4)–(5)). Nationale wetten mogen hogere maxima vaststellen | 15 miljoen euro of 2,5 % (essentiële vereisten, art. 13 en 14). 10 miljoen euro of 2 % (andere opgesomde verplichtingen). 5 miljoen euro of 1 % (onjuiste of misleidende informatie). Telkens het hoogste bedrag (art. 64) | 35 miljoen euro of 7 % (verboden praktijken). 15 miljoen euro of 3 % (de meeste andere verplichtingen, inclusief transparantie). 7,5 miljoen euro of 1 % (onjuiste informatie). Telkens het hoogste bedrag; het laagste bedrag voor kmo's en, sinds 2026, voor kleine midcapondernemingen buiten verboden praktijken (art. 99). De Commissie beboet aanbieders van AI-modellen voor algemene doeleinden tot 15 miljoen euro of 3 % (art. 101) |
| Toezichthoudende autoriteiten | Nationale financiële toezichthouders (art. 46), bijvoorbeeld de NBB en de FSMA in België. Voor significante kredietinstellingen worden de meldingen doorgestuurd naar de ECB. De ETA's (EBA, EIOPA, ESMA) treden op als lead overseer van kritieke ICT-aanbieders | Nationale bevoegde autoriteiten, CSIRT's en centrale contactpunten, bijvoorbeeld het CCB in België. Samenwerkingsgroep en CSIRT-netwerk op EU-niveau | Nationale markttoezichtautoriteiten (art. 52). Meldingen gaan naar de als coördinator aangewezen CSIRT's en naar ENISA. Aangemelde instanties voeren de beoordelingen door derden uit | Nationale markttoezichtautoriteiten. Voor AI die financiële instellingen gebruiken om financiële diensten te verlenen: de financiële toezichthouder (art. 74(6)). Het AI-bureau (Commissie) houdt toezicht op AI-modellen voor algemene doeleinden |
| Toepassingsdata | In werking getreden op 16 januari 2023; van toepassing vanaf 17 januari 2025 (art. 64) | In werking getreden op 16 januari 2023; omzettingstermijn 17 oktober 2024, nationale maatregelen van toepassing vanaf 18 oktober 2024 (art. 41) | In werking getreden op 10 december 2024. Hoofdstuk over aangemelde instanties: 11 juni 2026. Melding (art. 14): 11 september 2026. Al het overige: 11 december 2027 (art. 71) | In werking getreden op 1 augustus 2024. Verboden en AI-geletterdheid: 2 februari 2025. AI-modellen voor algemene doeleinden en sancties: 2 augustus 2025. Algemene datum, inclusief transparantie: 2 augustus 2026. Systemen met een hoog risico: 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I), zoals gewijzigd in 2026 |
Wat veranderde er in 2025 en 2026: wet of voorstel?
| Onderdeel | Status op 4 november 2026 |
|---|---|
| Digitale omnibus inzake AI, Verordening (EU) 2026/1744 | Wet. Bekendgemaakt op 24 juli 2026, in werking sinds 27 juli 2026. Ze verschuift de verplichtingen voor systemen met een hoog risico naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). Ze vervangt artikel 10(5) door een nieuw artikel 4a over het opsporen van vertekeningen (bias). AI-geletterdheid wordt een plicht om "maatregelen te nemen om de ontwikkeling van AI-geletterdheid te ondersteunen". Een beoordeling van de gevolgen voor de grondrechten kan verwijzen naar de DPIA. Twee nieuwe verboden, op AI-systemen die niet-consensuele intieme beelden van identificeerbare personen of materiaal van seksueel misbruik van kinderen genereren, gelden vanaf 2 december 2026 |
| CRA-meldingen (art. 14) | Van toepassing sinds 11 september 2026, via het centrale meldingsplatform van ENISA. Ze gelden ook voor producten die al op de markt zijn (art. 69(3)) |
| DORA-oversight van kritieke ICT-aanbieders | In werking. De ETA's publiceerden op 18 november 2025 hun eerste lijst van aangewezen aanbieders |
| Digitale omnibus over data en incidentmelding, COM(2025) 837, procedure 2025/0360(COD) | Voorstel. De Commissie (19 november 2025) stelde één centraal meldpunt voor, beheerd door ENISA, voor incidentmeldingen op grond van NIS2, de AVG, DORA, eIDAS en CER. Inbreuken in verband met persoonsgegevens zouden alleen nog worden gemeld bij een hoog risico, binnen 96 uur. Op 21 oktober 2026 stelde de Raad zijn onderhandelingsmandaat vast, dat het meldpunt op EU-niveau vervangt door nationale meldpunten. Het Parlement heeft zijn standpunt nog niet vastgesteld. Tot de tekst is aangenomen, behoudt elke melding haar eigen kanaal en termijn (bijvoorbeeld AVG: 72 uur) |
| Gerichte wijzigingen van NIS2, COM(2026) 13, procedure 2026/0012(COD) | Voorstel (januari 2026, onderdeel van het pakket voor de herziening van de cyberbeveiligingsverordening). Het Parlement zit nog in de commissiefase |
Wat is het verschil tussen DORA en NIS2 voor financiële instellingen?
Artikel 4(1) van NIS2 bepaalt dat wanneer een sectorspecifieke rechtshandeling van de Unie verplichtingen oplegt inzake het beheer van cyberbeveiligingsrisico's of de melding van incidenten die "ten minste gelijkwaardig" zijn, de overeenkomstige bepalingen van NIS2, met inbegrip van toezicht en handhaving, niet van toepassing zijn. Artikel 1(2) van DORA verklaart zichzelf zo'n handeling voor financiële entiteiten die op grond van NIS2 zijn geïdentificeerd. Overweging 28 van NIS2 zegt het uitdrukkelijk: de regels van DORA over ICT-risicobeheer, incidentmelding, testen, informatie-uitwisseling en risico van derde aanbieders zijn in plaats daarvan van toepassing.
Wat NIS2 nog betekent voor een bank of een marktinfrastructuur:
- Op papier blijft ze binnen NIS2. Bankwezen en infrastructuur voor de financiële markt zijn sectoren van bijlage I, en artikel 1(2) van DORA is geschreven voor financiële entiteiten die op grond van de nationale NIS2-regels zijn geïdentificeerd. Hoe elke lidstaat die identificatie aanpakt, verschilt.
- Haar meldingen bereiken nog steeds de cyberautoriteiten. De financiële toezichthouder stuurt DORA-incidentmeldingen door naar de CSIRT's, bevoegde autoriteiten of centrale contactpunten van NIS2 (art. 19(6)(c) DORA). Lidstaten kunnen ook eisen dat een kopie rechtstreeks aan hen wordt bezorgd (art. 19(1)).
- Geen uitstel tijdens het weekend. Kredietinstellingen, centrale tegenpartijen, handelsplatformen en elke andere financiële entiteit die op grond van NIS2 is geïdentificeerd, mogen de eerste kennisgeving of het tussentijdse verslag niet uitstellen tot de volgende werkdag (Gedelegeerde Verordening (EU) 2025/301, art. 5(5)).
- De groep kan nog onder NIS2 vallen. Niet-financiële dochterondernemingen, zoals een interne ICT-dienstenonderneming, volgen hun nationale NIS2-wet, net als veel leveranciers van de bank (cloud, datacenters, beheerde diensten).
- Toezichthouders werken samen. Wanneer NIS2-autoriteiten toezicht houden op een entiteit die ook een aangewezen kritieke ICT-aanbieder is, informeren zij het DORA-oversightforum (art. 32(10) en 33(6) NIS2).
Meer details: DORA-kader en NIS2-kader.
Wat is het verschil tussen de Cyber Resilience Act en NIS2?
NIS2 regelt entiteiten: hoe een organisatie de netwerken en systemen achter haar diensten beveiligt. De CRA regelt producten: wat een fabrikant op de EU-markt mag brengen en hoe hij die onderhoudt. Veel organisaties hebben met beide te maken, en de twee teksten zijn zo opgezet dat ze in elkaar grijpen:
- Gedeelde begrippen en kanalen. De CRA neemt de NIS2-definities van "incident" en "bijna-incident" over. CRA-meldingen gaan naar de CSIRT's die op grond van artikel 12(1) van NIS2 als coördinator zijn aangewezen, en naar ENISA.
- Toeleveringsketen. NIS2 verplicht entiteiten rekening te houden met de kwetsbaarheden van elke rechtstreekse leverancier, de kwaliteit van diens producten en diens praktijken voor veilige ontwikkeling (art. 21(3)). Volgens overweging 24 van de CRA moeten producten die veilig zijn door ontwerp (secure by design) en tijdig beveiligingsupdates krijgen, entiteiten helpen aan deze NIS2-vereisten voor de toeleveringsketen te voldoen. In de praktijk worden een product met CE-markering, een SBOM en een opgegeven ondersteuningsperiode bewijsstukken bij de aankoop.
- Certificering. Op grond van artikel 24 van NIS2 kunnen lidstaten essentiële en belangrijke entiteiten verplichten ICT-producten te gebruiken die volgens Europese regelingen zijn gecertificeerd. Op grond van artikel 8 van de CRA kan de Commissie een Europees cyberbeveiligingscertificaat verplicht stellen voor kritieke producten (bijlage IV). Beide steunen op regelingen die zijn vastgesteld op grond van de cyberbeveiligingsverordening (Verordening (EU) 2019/881).
- Cloud en SaaS. NIS2 omvat clouddiensten zoals SaaS, PaaS en IaaS. De CRA omvat verwerking op afstand alleen wanneer een product die nodig heeft om te functioneren (overwegingen 11–12 van de CRA).
- Dubbele blootstelling. Een middelgrote of grote fabrikant van computers en elektronische en optische producten valt onder NIS2 (bijlage II) en is ook fabrikant in de zin van de CRA. Een aanval die een fout in zijn product uitbuit en zijn eigen netwerk treft, kan zowel een CRA-melding (art. 14) als een NIS2-melding (art. 23) vereisen.
Voor contracten met leveranciers van digitale producten, zie CRA-contractbepalingen.
Hoe verhouden de EU AI Act en de AVG zich tot elkaar?
De AVG blijft volledig van toepassing. Artikel 2(7) van de AI Act, zoals vervangen bij Verordening (EU) 2026/1744, bepaalt dat het Unierecht inzake gegevensbescherming van toepassing is en dat de AI Act de AVG "onverlet laat", onverminderd artikel 4a en artikel 59 (testomgevingen voor regelgeving). Een gebruiksverantwoordelijke in de zin van de AI Act is doorgaans ook verwerkingsverantwoordelijke in de zin van de AVG, dus de regels over rechtsgrond, transparantie en rechten van betrokkenen blijven gelden.
Bijzondere categorieën voor het opsporen van vertekeningen. Artikel 10(5) stond aanbieders van systemen met een hoog risico toe bijzondere categorieën persoonsgegevens te verwerken, voor zover strikt noodzakelijk om vertekeningen (bias) op te sporen en te corrigeren, onder zes cumulatieve waarborgen, waaronder pseudonimisering, geen doorgifte aan andere partijen, verwijdering zodra de vertekening is gecorrigeerd en een vastgelegde reden waarom andere gegevens niet zouden volstaan. Verordening (EU) 2026/1744 heeft deze rechtsgrond verplaatst naar een nieuw artikel 4a, van toepassing sinds 27 juli 2026. Lid 1 behoudt de voorwaarden voor aanbieders van systemen met een hoog risico. Lid 2 breidt de grondslag uit tot aanbieders en gebruiksverantwoordelijken van andere AI-systemen en -modellen, en tot gebruiksverantwoordelijken van systemen met een hoog risico, met dezelfde waarborgen en dezelfde toets van "strikt noodzakelijk". Het schept geen verplichting om vertekeningen op te sporen.
DPIA en FRIA. Gebruiksverantwoordelijken van systemen met een hoog risico gebruiken de instructies van de aanbieder (art. 13) voor hun gegevensbeschermingseffectbeoordeling (DPIA) op grond van de AVG (art. 26(9) AI Act, art. 35 AVG). Artikel 27 voegt daar een beoordeling van de gevolgen voor de grondrechten (FRIA) aan toe, uit te voeren vóór de ingebruikname, voor publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen, en gebruiksverantwoordelijken van systemen uit bijlage III, punt 5(b) en (c): kredietwaardigheid en kredietscores, en risicobeoordeling en prijsbepaling bij levens- en ziektekostenverzekeringen. Banken en verzekeraars zijn dus rechtstreeks betrokken. Sinds 2026 mag de FRIA verwijzen naar de DPIA of delen ervan hergebruiken (art. 27(4)), en moet het AI-bureau een model-vragenlijst ter beschikking stellen (art. 27(5)). De FRIA is van toepassing vanaf 2 december 2027 voor systemen uit bijlage III.
Wat het EDPB zegt. Verklaring 3/2024 (16 juli 2024) beveelt aan gegevensbeschermingsautoriteiten aan te wijzen als markttoezichtautoriteiten voor de systemen met een hoog risico die in artikel 74(8) zijn opgesomd. Advies 28/2024 (17 december 2024) stelt dat AI-modellen die op persoonsgegevens zijn getraind niet altijd anoniem zijn en beschrijft een toets in drie stappen voor het gerechtvaardigd belang. Gezamenlijk advies 1/2026 met de EDPS (21 januari 2026) vroeg om de uitbreiding voor het opsporen van vertekeningen beperkt te houden. Het aangenomen artikel 4a behoudt de toets van "strikt noodzakelijk".
Nog een voorstel: de AVG-wijzigingen van de Digitale omnibus COM(2025) 837, waaronder een afwijking voor residuele verwerking van bijzondere categorieën tijdens de ontwikkeling van AI (zie de statustabel hierboven).
Waar overlappen de vier teksten voor een onderneming die onder meerdere ervan valt?
Neem een financiële groep die een verbonden softwareproduct verkoopt, een AI-systeem voor kredietscores gebruikt en op cloudaanbieders steunt.
Eén incident, meerdere meldingen. Een ransomwareaanval buit een fout in het eigen product van de groep uit, verstoort betalingen en stelt klantgegevens bloot. Die ene gebeurtenis kan tot vier klokken in gang zetten:
| Melding | Ontvanger | Vroegste termijn |
|---|---|---|
| DORA: ernstig ICT-gerelateerd incident | Financiële toezichthouder, die de melding doorstuurt naar de NIS2-autoriteiten | 4 uur na classificatie, uiterlijk 24 uur nadat de entiteit er kennis van heeft gekregen |
| AVG: inbreuk in verband met persoonsgegevens | Gegevensbeschermingsautoriteit | 72 uur, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt (art. 33) |
| CRA: actief uitgebuite kwetsbaarheid of ernstig incident | Als coördinator aangewezen CSIRT en ENISA, via het centrale meldingsplatform | 24 uur |
| AI Act: ernstig incident (vanaf 2 december 2027, als een systeem met een hoog risico dat de groep aanbiedt erbij betrokken is) | Markttoezichtautoriteit, die voor financiële diensten de financiële toezichthouder is (art. 74(6)) | Uiterlijk 15 dagen, korter in sommige gevallen |
Twee regels beperken dubbele sancties: artikel 35(2) van NIS2 sluit een NIS2-boete uit voor gedrag waarvoor al een AVG-boete is opgelegd, en artikel 99(7)(c) van de AI Act vereist dat rekening wordt gehouden met boetes die andere autoriteiten voor dezelfde activiteit hebben opgelegd. Artikel 73(9) van de AI Act beperkt bovendien de meldingsplicht voor systemen uit bijlage III tot inbreuken op grondrechten wanneer de aanbieder al meldt op grond van gelijkwaardige Unieregels. Of DORA als gelijkwaardig geldt, moet geval per geval worden beoordeeld.
Eén risicokader. De teksten belonen één gemeenschappelijke controlebasis:
- Gebruik het DORA-kader voor ICT-risicobeheer (art. 6) als ruggengraat. Het kan de maatregelen van artikel 21 van NIS2 voor niet-financiële groepsentiteiten onderbrengen, net als het productbeveiligingsproces dat de CRA vereist en het systeem voor risicobeheer van de AI Act (art. 9).
- Steun op de gelijkwaardigheden voor de financiële sector die in de AI Act zijn ingebouwd. Financiële instellingen voldoen grotendeels aan het systeem voor kwaliteitsbeheer van de AI Act (art. 17(4)) en aan de monitoringplicht van gebruiksverantwoordelijken (art. 26(5)) via hun governanceregels voor financiële diensten.
- Houd één leveranciersinventaris bij. Het DORA-informatieregister (art. 28(3)) kan ook de NIS2-beoordelingen van leveranciers vastleggen, de schriftelijke overeenkomsten die artikel 25(4) van de AI Act vereist en de SBOM's die op grond van de CRA zijn ontvangen.
- Schrijf één incidentdraaiboek met een classificatiestap per tekst en de klokken hierboven.
ResiPlan beoordeelt elke controle één keer en koppelt die aan DORA, NIS2, de CRA, de AVG en andere kaders: compliancekaders.
FAQ
Moet een bank hetzelfde incident zowel onder DORA als onder NIS2 melden?
Nee. Ze meldt onder DORA aan haar financiële toezichthouder, die de melding doorstuurt naar de NIS2-autoriteiten (art. 19(6) DORA). Een lidstaat kan daarnaast een rechtstreekse kopie eisen. Een melding van een inbreuk op grond van de AVG blijft afzonderlijk.
Is de Cyber Resilience Act van toepassing op SaaS?
In het algemeen niet. NIS2 omvat clouddiensten, inclusief SaaS. De CRA omvat gegevensverwerking op afstand alleen wanneer een product die nodig heeft om een van zijn functies te vervullen.
Zijn de verplichtingen voor AI-systemen met een hoog risico uitgesteld?
Ja, bij wet. Verordening (EU) 2026/1744 legt 2 december 2027 vast voor systemen uit bijlage III en 2 augustus 2028 voor systemen uit bijlage I. Verboden, AI-geletterdheid, regels voor AI-modellen voor algemene doeleinden en transparantie (art. 50) zijn al van toepassing. Generatieve systemen die vóór 2 augustus 2026 in de handel zijn gebracht, hebben tot 2 december 2026 om hun output te markeren (art. 50(2) en 111(4)).
Bestaat er één EU-portaal voor incidentmeldingen?
Nog niet. Het centrale meldingsplatform van ENISA dient alleen voor CRA-meldingen van fabrikanten. Het centrale meldpunt voor NIS2-, AVG-, DORA- en andere meldingen is nog een voorstel (COM(2025) 837), en de Raad wil in plaats daarvan nationale meldpunten.
Hoe verhouden de maximale boetes zich tot elkaar?
De AI Act gaat tot 35 miljoen euro of 7 % van de wereldwijde omzet voor verboden praktijken. Daarna volgen de AVG (20 miljoen euro of 4 %), de CRA (15 miljoen euro of 2,5 %) en NIS2 (ten minste 10 miljoen euro of 2 % voor essentiële entiteiten). DORA laat de bedragen voor financiële entiteiten over aan het nationale recht.
Bronnen
- Verordening (EU) 2022/2554 (DORA), art. 1, 2, 5, 19, 26, 28, 30, 35, 46, 50, 64
- Gedelegeerde Verordening (EU) 2025/301 (inhoud van en termijnen voor incidentmeldingen), art. 5
- Gedelegeerde Verordening (EU) 2024/1772 (classificatie van incidenten)
- Gedelegeerde Verordening (EU) 2025/1190 (dreigingsgestuurde penetratietests)
- Uitvoeringsverordening (EU) 2024/2956 (templates voor het informatieregister)
- ETA's: aanwijzing van kritieke derde aanbieders van ICT-diensten, 18 november 2025
- Richtlijn (EU) 2022/2555 (NIS2), overweging 28, art. 4, 20, 21, 23, 24, 32–35, 41, bijlagen I en II
- Verordening (EU) 2024/2847 (Cyber Resilience Act), overwegingen 11, 12, 24, art. 2, 8, 13, 14, 64, 69, 71, bijlage I
- ENISA: centraal meldingsplatform van de CRA (Single Reporting Platform)
- Europese Commissie: meldingsverplichtingen van de CRA
- Verordening (EU) 2024/1689 (AI Act), art. 2, 17, 25–27, 73, 74, 99, 101, 113, bijlage III
- Verordening (EU) 2026/1744 (Digitale omnibus inzake AI)
- Verordening (EU) 2016/679 (AVG), art. 33, 35, 83
- Commissievoorstel COM(2025) 837 (Digitale omnibus) en procedurefiche van het Europees Parlement 2025/0360(COD)
- Procedurefiche van het Europees Parlement 2026/0012(COD) (gerichte wijzigingen van NIS2)
- EDPB-verklaring 3/2024 over de rol van de gegevensbeschermingsautoriteiten in het kader van de AI Act
- EDPB-advies 28/2024 over AI-modellen
- EDPB en EDPS: gezamenlijk advies 1/2026 over de Digitale omnibus inzake AI, persbericht van 21 januari 2026