Waarom de verwarring tussen DORA en NIS2?
Toen de EU eind 2022 binnen enkele weken tijd de Digital Operational Resilience Act (DORA, Verordening (EU) 2022/2554) en de herziene richtlijn inzake netwerk- en informatiebeveiliging (NIS2, Richtlijn (EU) 2022/2555) publiceerde, vroegen veel complianceteams zich af of ze het ene kader, het andere of beide moesten implementeren. Die verwarring is begrijpelijk: beide teksten gaan over cyberweerbaarheid, beide hanteren een gelijkaardige terminologie rond incidentmelding en beide leggen verplichtingen op aan externe ICT-dienstverleners. Toch verschillen hun juridische aard, sectorale toepassingsgebied en handhavingsmechanismen aanzienlijk.
Dit artikel verduidelijkt de grens tussen DORA en NIS2, overloopt hun overlappende en uiteenlopende vereisten en biedt u een beslissingskader om uw compliance-roadmap te prioriteren.
De belangrijkste verschillen in één oogopslag
| Dimensie | DORA | NIS2 |
|---|---|---|
| Juridisch instrument | Verordening (rechtstreeks toepasselijk in alle EU-lidstaten) | Richtlijn (omgezet in nationaal recht) |
| Toepasselijke sectoren | Uitsluitend de financiële sector (20 soorten entiteiten) | 18 sectoren met essentiële en belangrijke entiteiten |
| Bevoegde autoriteit | Financiële toezichthouders (ECB, EBA, ESMA, nationale NCA's) | Nationale CSIRT / NIS-autoriteiten |
| Inwerkingtreding | 17 januari 2025 | 17 oktober 2024 (omzettingstermijn) |
| Toezicht op externe ICT-dienstverleners | Gecentraliseerd toezichtskader voor CTPP's (EBA/ESMA/EIOPA) | Maatregelen voor de beveiliging van de toeleveringsketen (art. 21) |
| Termijn voor incidentmelding | 4 uur (initieel) / 72 uur (tussentijds) / 1 maand (definitief) | 24 uur (vroegtijdige waarschuwing) / 72 uur (melding) / 1 maand (definitief) |
| Sancties | Tot 1 % van de wereldwijde gemiddelde dagomzet (per dag) | Tot € 10 M of 2 % van de wereldwijde omzet (essentiële entiteiten) |
Toepassingsgebied: wie valt onder welke regelgeving?
DORA — uitsluitend financiële entiteiten
Het toepassingsgebied van DORA is vastgelegd in artikel 2. De verordening is van toepassing op 20 categorieën financiële entiteiten, waaronder:
- Kredietinstellingen (banken)
- Betalingsinstellingen en instellingen voor elektronisch geld
- Beleggingsondernemingen en aanbieders van cryptoactivadiensten (CASP's)
- Verzekerings- en herverzekeringsondernemingen
- Centrale tegenpartijen (CTP's) en transactieregisters
- Beheervennootschappen en AIFM's
- Externe ICT-dienstverleners die bovenstaande entiteiten bedienen (aangewezen als kritieke externe dienstverleners — CTPP's)
Micro-ondernemingen onder bepaalde drempels (< 10 werknemers en < € 2 M omzet) genieten een vereenvoudigd regime op grond van artikel 16. DORA is niet van toepassing op entiteiten buiten de financiële sector, zelfs niet als die kritieke infrastructuur beheren.
NIS2 — een bredere sectorale reikwijdte
NIS2 (artikelen 2–4) breidt de oorspronkelijke NIS-richtlijn uit tot 18 sectoren, onderverdeeld in:
- Zeer kritieke sectoren (bijlage I): energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (B2B), overheid, ruimtevaart
- Andere kritieke sectoren (bijlage II): post, afvalbeheer, chemische stoffen, levensmiddelen, vervaardiging (medische hulpmiddelen, elektronica, machines, voertuigen), digitale aanbieders, onderzoek
Lidstaten kunnen naar eigen goeddunken entiteiten toevoegen. Belangrijk: bankwezen en infrastructuur voor de financiële markt staan in bijlage I van NIS2, wat betekent dat financiële entiteiten in theorie onder beide kaders kunnen vallen.
De lex-specialisregel: DORA primeert voor financiële entiteiten
Artikel 1, lid 2, van DORA behandelt de overlapping expliciet: wanneer financiële entiteiten die onder DORA vallen ook binnen het toepassingsgebied van NIS2 (bijlage I) vallen, primeert DORA als lex specialis. Financiële entiteiten leven DORA na, en die naleving wordt geacht te voldoen aan de gelijkwaardige NIS2-verplichtingen voor hun sector. Zo wordt dubbele regelgeving voor banken en verzekeraars vermeden.
In de praktijk moet een financiële groep die ook entiteiten buiten de financiële sector exploiteert (bv. een telecomdochter of een fintechtak in de gezondheidszorg) echter elke juridische entiteit afzonderlijk beoordelen: de financiële entiteiten volgen DORA; de niet-financiële entiteiten volgen de NIS2-omzetting in elke lidstaat.
Overlappende verplichtingen: wat gelijkaardig lijkt, maar het niet is
Beheer van ICT-incidenten
Zowel DORA als NIS2 leggen een verplichte incidentmelding op, maar de drempels en ontvangers verschillen:
- Onder DORA (artikelen 17–23) worden "ernstige ICT-gerelateerde incidenten" gemeld aan de bevoegde financiële toezichthouder aan de hand van de gestandaardiseerde sjablonen die het Gemengd Comité van EBA, ESMA en EIOPA heeft gepubliceerd. De termijn van 4 uur voor de initiële melding begint te lopen vanaf de classificatie van het incident als ernstig door de entiteit.
- Onder NIS2 (artikel 23) worden "significante incidenten" gemeld aan de nationale CSIRT of bevoegde autoriteit. De vroegtijdige waarschuwing binnen 24 uur begint te lopen vanaf het moment dat de entiteit kennis krijgt van het incident.
Het verschil in startmoment is van belang: de classificatiestap van DORA biedt een kleine praktische buffer; het kennisnamecriterium van NIS2 is strenger.
Risico's van externe ICT-dienstverleners
Het hoofdstuk van DORA over risico's van derden (artikelen 28–44) is veel prescriptiever dan de maatregel van NIS2 voor de toeleveringsketen (artikel 21, lid 2, punt d):
- DORA verplicht contractuele bepalingen met alle ICT-dienstverleners (art. 30), een verplicht informatieregister (art. 28) en exitstrategieën.
- Voor CTPP's kan het Joint Oversight Network (JON) onder leiding van EBA/ESMA/EIOPA rechtstreekse inspecties uitvoeren bij cloud- en datacenteraanbieders — een bevoegdheid waarvoor er geen NIS2-equivalent bestaat.
Governance en testen
| Verplichting | Referentie DORA | Equivalent NIS2 |
|---|---|---|
| Verantwoordelijkheid van het leidinggevende orgaan | Art. 5 | Art. 20 |
| Kader voor ICT-risicobeheer | Art. 6–10 | Art. 21 (risicobeheersmaatregelen) |
| Penetratietests | Art. 26 (TLPT — Threat-Led Penetration Testing) | Art. 21, lid 2, punt m (algemene beveiligingstests) |
| Bedrijfscontinuïteit | Art. 11 | Art. 21, lid 2, punt c |
Het Threat-Led Penetration Testing (TLPT)-regime van DORA — gebaseerd op het TIBER-EU-kader — vereist om de drie jaar red-teamoefeningen voor significante entiteiten. NIS2 verwijst algemener naar "beveiligingstests" en laat de details over aan de lidstaten.
Beslissingskader: welke regelgeving is op u van toepassing?
Gebruik deze test in drie stappen:
- Bent u een financiële entiteit die vermeld staat in art. 2 van DORA? Zo ja → DORA is uw primaire kader. Ga na of een vereenvoudigd regime van toepassing is (drempel voor micro-ondernemingen).
- Exploiteert u ook niet-financiële entiteiten of dochterondernemingen in een sector uit bijlage I/II van NIS2? Zo ja → die entiteiten vallen afzonderlijk onder NIS2 zoals omgezet in elke lidstaat.
- Bent u een ICT-dienstverlener die financiële entiteiten bedient? Zo ja → u kunt onder DORA als CTPP worden aangewezen, ongeacht uw NIS2-status. Volg het aanwijzingsproces voor CTPP's dat door het Joint Oversight Network wordt beheerd.
Voor zuiver niet-financiële ondernemingen (retailers, fabrikanten, ziekenhuizen, universiteiten) is DORA niet relevant; de NIS2-omzetting in uw lidstaat vormt uw kader.
Praktische compliance-roadmap
Voor financiële entiteiten (DORA primair)
- Voer de gap-analyse van uw kader voor ICT-risicobeheer uit ten opzichte van de gezamenlijke richtsnoeren van EBA/ESMA/EIOPA (gepubliceerd in december 2023).
- Stel uw informatieregister op voor alle contracten met externe ICT-dienstverleners — vereist door art. 28, lid 3, van DORA en opgevraagd door de bevoegde autoriteiten vanaf januari 2025.
- Breng uw criteria voor incidentclassificatie in overeenstemming met de drempels in de RTS inzake de classificatie van ernstige incidenten (Gedelegeerde Verordening (EU) 2024/1772 van de Commissie).
- Plan TLPT-oefeningen in afstemming met uw nationale TIBER-programma.
Voor niet-financiële ondernemingen (NIS2 primair)
- Bepaal de classificatie van uw entiteit (essentieel vs. belangrijk) volgens de nationale omzettingswet — de drempels verschillen licht per lidstaat.
- Implementeer de tien beveiligingsmaatregelen van art. 21, waaronder beleid voor risico's in de toeleveringsketen en cryptografische normen.
- Registreer u bij uw nationale NIS-autoriteit (de registratietermijnen verschillen; de meeste vereist tegen Q1 2025).
Voor ICT-dienstverleners die beide sectoren bedienen
- Hanteer een programma met twee sporen: DORA-contractverplichtingen voor financiële klanten, NIS2-maatregelen voor de beveiliging van de toeleveringsketen voor niet-financiële klanten.
- Standaardiseer uw runbooks voor incidentmelding zodat ze zowel de DORA-termijn van 4 uur als de NIS2-termijn van 24 uur afdekken.
Samenvatting
DORA en NIS2 zijn complementaire, geen concurrerende kaders. DORA regelt de digitale weerbaarheid van de Europese financiële sector met chirurgische precisie; NIS2 bestrijkt een brede waaier aan kritieke sectoren via een aanpak op basis van een richtlijn die door de lidstaten wordt geïmplementeerd. De lex-specialisregel lost de meeste overlapping voor financiële entiteiten op, maar ICT-dienstverleners en conglomeraten die in beide werelden actief zijn, hebben een geïntegreerd complianceprogramma nodig dat aan beide voldoet.
Precies begrijpen welke verplichtingen van toepassing zijn — en volgens welke tijdlijn — is de eerste stap naar een verdedigbare, auditklare weerbaarheidshouding.