Sinds 17 januari 2025 zijn DORA en de bijbehorende technische normen van toepassing op banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en de andere financiële entiteiten die de verordening opsomt. De volgende termijnen: 31 december 2026 als referentiedatum van het informatieregister, de doorgifte ervan aan de ETA's uiterlijk op 31 maart 2027 (de nationale termijnen vallen vroeger), de jaarlijkse bijwerking van de lijst van kritieke derde aanbieders van ICT-diensten en de evaluatie door de Commissie uiterlijk op 17 januari 2028.
DORA, de Digital Operational Resilience Act (Verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid voor de financiële sector), is een EU-verordening die gemeenschappelijke regels vastlegt voor het beheer van ICT-risico's, de melding van ICT-gerelateerde incidenten, het testen van de digitale operationele weerbaarheid en het ICT-risico van derden in de financiële sector, samen met een EU-oversightkader voor kritieke derde aanbieders van ICT-diensten. De details staan in gedelegeerde verordeningen (technische reguleringsnormen, RTS) en uitvoeringsverordeningen (technische uitvoeringsnormen, ITS) van de Commissie, opgesteld door de drie Europese toezichthoudende autoriteiten: EBA, EIOPA en ESMA (de "ETA's").
De onderstaande tabel geeft de data die door de teksten en door de toezichthouders zijn vastgelegd, elk met de rechtsbron. De inwerkingtreding valt op de twintigste dag na de bekendmaking in het Publicatieblad. Voor een overzicht van de verplichtingen zelf, zie de DORA-pagina van ResiPlan.
Sinds wanneer is DORA van toepassing?
DORA werd op 27 december 2022 bekendgemaakt in het Publicatieblad (PB L 333), trad op 16 januari 2023 in werking en is van toepassing sinds 17 januari 2025 (artikel 64). De begeleidende Richtlijn (EU) 2022/2556, die sectorale richtlijnen aanpast, moest tegen dezelfde datum worden omgezet (artikel 9). Er is geen gefaseerde start: ICT-risicobeheer, de melding van ernstige incidenten (artikel 19) en het informatieregister (artikel 28, lid 3) gelden allemaal vanaf 17 januari 2025. Normen die na die datum zijn bekendgemaakt, zijn van toepassing vanaf hun eigen inwerkingtreding.
DORA-tijdlijn: data, rechtsbronnen en wie betrokken is
| Datum | Wat er gebeurt | Rechtsbron | Wie is betrokken |
|---|---|---|---|
| 27 december 2022 | Bekendmaking van DORA en Richtlijn (EU) 2022/2556 | PB L 333 van 27.12.2022 | Alle financiële entiteiten binnen het toepassingsgebied |
| 16 januari 2023 | Inwerkingtreding van DORA | Art. 64 DORA | Alle financiële entiteiten binnen het toepassingsgebied |
| 19 juni 2024 | Inwerkingtreding van de criteria voor de aanwijzing van kritieke derde aanbieders van ICT-diensten en van de oversightvergoedingen | Gedelegeerde Verordeningen (EU) 2024/1502 en 2024/1505 | ICT-aanbieders, ETA's |
| 15 juli 2024 | Inwerkingtreding van de RTS over het kader voor ICT-risicobeheer (en het vereenvoudigde kader), de classificatie van ICT-gerelateerde incidenten en het beleid voor ICT-diensten die kritieke of belangrijke functies ondersteunen | Gedelegeerde Verordeningen (EU) 2024/1774, 2024/1772 en 2024/1773 | Alle financiële entiteiten (van toepassing samen met DORA) |
| 30 augustus 2024 | Uiterste datum van de vrijwillige dry run van de ETA's over informatieregisters (1.039 entiteiten namen deel) | Rapport van de ETA's over de dry run, 17 december 2024 | Vrijwillig deelnemende entiteiten |
| 22 december 2024 | Inwerkingtreding van de ITS over de modellen voor het informatieregister | Uitvoeringsverordening (EU) 2024/2956 | Alle financiële entiteiten |
| 17 januari 2025 | DORA van toepassing; uiterste omzettingsdatum van Richtlijn (EU) 2022/2556 | Art. 64 DORA; art. 9 Richtlijn 2022/2556 | Alle financiële entiteiten binnen het toepassingsgebied, lidstaten |
| 5 maart 2025 | RTS over de voorwaarden voor de uitvoering van oversightactiviteiten | Gedelegeerde Verordening (EU) 2025/295 | Kritieke ICT-aanbieders, lead overseers |
| 12 maart 2025 | Inwerkingtreding van de RTS over de inhoud en termijnen van verslagen over ernstige incidenten, en van de ITS over de rapportageformulieren | Gedelegeerde Verordening (EU) 2025/301; Uitvoeringsverordening (EU) 2025/302 | Alle financiële entiteiten |
| 31 maart 2025 | Referentiedatum van de eerste informatieregisters | Besluit van de ETA's van 8 november 2024 (ESA 2024 22) | Alle financiële entiteiten |
| 13 april 2025 | RTS over de samenstelling van de gezamenlijke onderzoeksteams | Gedelegeerde Verordening (EU) 2025/420 | ETA's, bevoegde autoriteiten |
| 30 april 2025 | De bevoegde autoriteiten bezorgen de eerste registers aan de ETA's (de termijn van de NBB voor Belgische entiteiten was ook 30 april) | Besluit van de ETA's; NBB | Bevoegde autoriteiten, financiële entiteiten |
| 8 juli 2025 | Inwerkingtreding van de RTS over dreigingsgestuurde penetratietests (TLPT) | Gedelegeerde Verordening (EU) 2025/1190 | Entiteiten aangewezen voor TLPT |
| 22 juli 2025 | RTS over onderaanneming van ICT-diensten die kritieke of belangrijke functies ondersteunen | Gedelegeerde Verordening (EU) 2025/532 | Alle financiële entiteiten |
| 18 november 2025 | De ETA's publiceren de eerste lijst van aangewezen kritieke derde aanbieders van ICT-diensten (19 aanbieders) | Art. 31, lid 9, DORA | Aangewezen aanbieders en hun klanten |
| 19 november 2025 | De Commissie stelt de digitale omnibus voor, die DORA-incidentmeldingen via één centraal toegangspunt zou laten verlopen | COM(2025) 837, procedure 2025/0360(COD) | Alle financiële entiteiten |
| 17 december 2025 | Gezamenlijk verslag van de ETA's aan de Commissie over wettelijke auditors (evaluatie uiterlijk op 17 januari 2026) | Art. 58, lid 3, DORA; JC 2025 85 | Wettelijke auditors en auditkantoren |
| 31 december 2025 | Referentiedatum van de registers die in 2026 worden gerapporteerd | Besluit van de ETA's | Alle financiële entiteiten |
| 13 tot 31 maart 2026 | Nationale indieningstermijnen: NBB 13 maart (OneGate), ACPR en CSSF 31 maart; de autoriteiten rapporteren uiterlijk op 31 maart aan de ETA's | NBB, ACPR, CSSF; besluit van de ETA's | Financiële entiteiten, bevoegde autoriteiten |
| 21 oktober 2026 | De Raad bereikt een akkoord over zijn onderhandelingsmandaat voor de digitale omnibus; de commissies van het Parlement hebben nog niet gestemd | Raad; Wetgevingsobservatorium | Alle financiële entiteiten |
| 31 december 2026 | Referentiedatum van de registers die in 2027 worden gerapporteerd | Besluit van de ETA's | Alle financiële entiteiten |
| 31 maart 2027 | De bevoegde autoriteiten bezorgen de registers van 2027 aan de ETA's | Besluit van de ETA's | Bevoegde autoriteiten (termijnen voor entiteiten vallen vroeger) |
| 17 januari 2028 | Evaluatieverslag van de Commissie over DORA | Art. 58, lid 1, DORA | Iedereen |
Wat zijn de volgende DORA-termijnen?
Vanaf 4 november 2026, in volgorde:
- 31 december 2026: referentiedatum van het informatieregister. Het register dat in 2027 wordt ingediend, weerspiegelt uw contractuele overeenkomsten op die datum.
- Begin 2027: nationaal indieningsvenster. Elke autoriteit legt haar eigen datum vóór 31 maart vast. In 2026 liepen de vensters van 16 februari tot 13 maart bij de NBB (België, OneGate), van 1 januari tot 31 maart bij de ACPR (Frankrijk, OneGate) en van 11 februari tot 31 maart bij de CSSF (Luxemburg, eDesk). Raadpleeg de aankondiging van uw autoriteit voor de data van 2027.
- Uiterlijk op 31 maart 2027: doorgifte aan de ETA's door de bevoegde autoriteiten.
- Elk jaar: bijwerking van de lijst van kritieke derde aanbieders van ICT-diensten door de ETA's (artikel 31, lid 9), op basis van de registers.
- Ten minste om de drie jaar: TLPT voor de entiteiten die door hun autoriteit zijn aangewezen (artikel 26, lid 1).
- Uiterlijk op 17 januari 2028: evaluatie door de Commissie van de criteria voor de aanwijzing van kritieke aanbieders, de vrijwillige melding van cyberdreigingen, aanbieders uit derde landen en het gezamenlijk oversightnetwerk (artikel 58, lid 1).
Doorlopende verplichtingen wachten niet op deze data: ernstige incidenten worden gemeld binnen de hieronder vermelde termijnen, en de autoriteit moet tijdig worden geïnformeerd over elke geplande overeenkomst voor ICT-diensten die een kritieke of belangrijke functie ondersteunen (artikel 28, lid 3). De template en de controles voor het register worden toegelicht in de gids voor het DORA-informatieregister van ResiPlan.
Wat zijn de termijnen voor de melding van een ernstig ICT-gerelateerd incident?
Een ernstig ICT-gerelateerd incident is een incident met grote nadelige gevolgen voor de systemen die kritieke of belangrijke functies ondersteunen (artikel 3, punt 10, DORA). Volgens Gedelegeerde Verordening (EU) 2024/1772 is een incident ernstig wanneer het kritieke diensten treft en ofwel gepaard gaat met een geslaagde, kwaadwillige en ongeoorloofde toegang die tot gegevensverlies kan leiden, ofwel ten minste twee andere materialiteitsdrempels bereikt.
| Melding | Termijn | Bron |
|---|---|---|
| Eerste kennisgeving | Zo snel mogelijk, binnen 4 uur na de classificatie van het incident als ernstig en uiterlijk 24 uur nadat de entiteit er kennis van heeft gekregen | Art. 5, lid 1, punt a), Gedelegeerde Verordening (EU) 2025/301 |
| Eerste kennisgeving na een late classificatie | Binnen 4 uur na de classificatie | Art. 5, lid 2 |
| Tussentijds verslag | Binnen 72 uur na de eerste kennisgeving, ook als er niets is veranderd; onverwijld bijgewerkt, en wanneer de reguliere activiteiten zijn hersteld | Art. 5, lid 1, punt b) |
| Eindverslag | Uiterlijk één maand na het tussentijdse verslag of de laatste bijwerking ervan | Art. 5, lid 1, punt c) |
| Termijn in een weekend of op een feestdag | 12.00 uur op de volgende werkdag, behalve voor eerste kennisgevingen en tussentijdse verslagen van kredietinstellingen, centrale tegenpartijen, exploitanten van handelsplatformen en essentiële of belangrijke entiteiten onder NIS2 | Art. 5, leden 4 en 5 |
| Cliënten | Onverwijld geïnformeerd wanneer hun financiële belangen worden geraakt | Art. 19, lid 3, DORA |
Meldingen gebruiken de formulieren van Uitvoeringsverordening (EU) 2025/302. Een entiteit die een termijn niet kan halen, moet dat vóór het verstrijken ervan aan haar autoriteit meedelen en uitleggen waarom (artikel 5, lid 3). In België verzamelt de NBB de meldingen via OneGate (domein DORA_MIR, open sinds 17 januari 2025), met een terugvalprocedure die is vastgelegd in circulaire NBB_2026_04. Voor de NIS2-volgorde van 24 uur, 72 uur en één maand, zie NIS2-incidentmelding.
Verandert de digitale omnibus de DORA-incidentmelding?
Nog niet. Het voorstel van de Commissie van 19 november 2025 (COM(2025) 837) wijzigt artikel 19, leden 1 en 2, van DORA zodat ernstige incidenten en vrijwillige meldingen van cyberdreigingen verlopen via één centraal toegangspunt dat onder de NIS2-richtlijn wordt opgezet. Het verandert het kanaal, niet de termijnen van Gedelegeerde Verordening (EU) 2025/301. Het centrale toegangspunt zou van toepassing worden 18 maanden na de inwerkingtreding van de verordening, of 24 maanden als de Commissie oordeelt dat het nog niet betrouwbaar is.
Op 4 november 2026 is de tekst niet aangenomen. In het Parlement dienden de commissies ITRE en LIBE op 22 juni 2026 een ontwerpverslag in, maar ze hadden nog niet gestemd. De Raad bereikte op 21 oktober 2026 een akkoord over zijn mandaat en gaf daarbij de voorkeur aan nationale toegangspunten boven één centraal EU-toegangspunt. Zolang er geen definitieve tekst in het Publicatieblad is bekendgemaakt, blijven financiële entiteiten via de bestaande kanalen melden aan hun bevoegde autoriteit.
FAQ
Had DORA een overgangsperiode?
Geen algemene. DORA is sinds 17 januari 2025 volledig van toepassing. Normen die later zijn bekendgemaakt, gelden vanaf hun eigen inwerkingtreding, bijvoorbeeld vanaf 12 maart 2025 voor de termijnen van de incidentverslagen.
Wanneer moet het volgende informatieregister worden ingediend?
De referentiedatum is 31 december 2026. De autoriteiten moeten de registers uiterlijk op 31 maart 2027 aan de ETA's bezorgen en leggen voor entiteiten vroegere termijnen vast: in 2026 was dat 13 maart in België en 31 maart in Frankrijk en Luxemburg.
Verandert de aanwijzing van een aanbieder als kritiek mijn verplichtingen?
Nee. Het oversight op de 19 aangewezen aanbieders wordt uitgeoefend door de ETA's; elke financiële entiteit blijft volledig verantwoordelijk voor haar eigen naleving (artikel 28, lid 1, punt a)).
Zijn de meldtermijnen van DORA en NIS2 dezelfde?
Nee. DORA vraagt een eerste kennisgeving binnen 4 uur na de classificatie (uiterlijk 24 uur na de detectie), daarna 72 uur en één maand. NIS2 begint met een vroegtijdige waarschuwing binnen 24 uur nadat de entiteit kennis heeft gekregen van een significant incident.
Is de digitale omnibus aangenomen?
Nee. Op 4 november 2026 wordt er nog over onderhandeld en gelden de huidige DORA-regels voor incidentmelding.
Bronnen
- Verordening (EU) 2022/2554 (DORA) en Richtlijn (EU) 2022/2556
- Gedelegeerde Verordeningen (EU) 2024/1502, 2024/1505, 2024/1772, 2024/1773, 2024/1774, 2025/295, 2025/301, 2025/420, 2025/532, 2025/1190
- Uitvoeringsverordeningen (EU) 2024/2956 en 2025/302
- ETA's – FAQ over de rapportering van het DORA-informatieregister (termijnen en referentiedata), 28 maart 2025
- ETA's – Resultaten van de dry run, 17 december 2024
- ETA's – Aanwijzing van kritieke derde aanbieders van ICT-diensten, 18 november 2025 en de lijst
- ETA's – Gezamenlijk verslag JC 2025 85 op grond van artikel 58, lid 3
- Voorstel van de Commissie COM(2025) 837 (digitale omnibus) en procedurefiche 2025/0360(COD)
- Raad – Standpunt over de digitale regelgeving, 21 oktober 2026
- NBB – OneGate-domein DOR (DORA_ROI, DORA_MIR)
- ACPR – DORA-webinar van 23 januari 2026
- CSSF – Indieningstermijn voor het informatieregister 2026