Direct antwoord
DORA (Digital Operational Resilience Act) is de Europese verordening die financiële instellingen (banken, verzekeraars, beleggingsondernemingen, betaalinstellingen) verplicht tot digitale operationele weerbaarheid, langs vijf pijlers: ICT-risicobeheer, incidentrapportage, weerbaarheidstesten, beheersing van ICT-derde partijen en informatie-uitwisseling. DORA raakt ook niet-financiële bedrijven: ICT-leveranciers van financiële instellingen krijgen strenge contracteisen, en kritieke ICT-dienstverleners vallen onder direct Europees toezicht.
DORA (Digital Operational Resilience Act) is de Europese verordening die de financiële sector digitaal weerbaar moet maken: niet alleen tegen hackers, maar tegen elke ICT-verstoring die het financiële stelsel kan raken. De verordening geldt rechtstreeks in de hele EU en wordt in Nederland gehandhaafd door DNB en de AFM.
Voor wie geldt DORA?
Vrijwel de hele financiële sector: banken, verzekeraars, beleggingsondernemingen, betaal- en e-geldinstellingen, crypto-dienstverleners, pensioenfondsen en handelsplatformen. En, de verrassing voor veel bedrijven: ICT-derde partijen. Leveranciers van ICT-diensten aan financiële instellingen krijgen de eisen via verplichte contractclausules, en dienstverleners die als kritiek worden aangewezen (grote cloud- en datadiensten) vallen onder rechtstreeks toezicht van de Europese toezichthouders.
De vijf pijlers
- ICT-risicobeheer: een volwaardig raamwerk met bestuursverantwoordelijkheid: identificeren, beschermen, detecteren, reageren en herstellen, inclusief continuïteitsplannen en geteste back-ups.
- Incidentrapportage: classificeren van ICT-incidenten en het melden van ernstige incidenten bij de toezichthouder volgens vaste termijnen en formats.
- Testen van digitale weerbaarheid: een testprogramma van kwetsbaarheidsscans tot, voor de grotere instellingen, dreigingsgestuurde penetratietesten (TLPT) elke drie jaar.
- Beheersing van ICT-derde partijen: een register van alle ICT-contracten, risicobeoordeling vóór contractering, voorgeschreven contractclausules (auditrechten, exit, onderaannemers) en concentratie-risicoanalyse.
- Informatie-uitwisseling: het vrijwillig delen van dreigingsinformatie binnen de sector.
De relatie met ISO 27001
DORA schrijft geen certificering voor, maar de overlap met een ISO 27001-managementsysteem is groot: risicobeheer, incidentproces, continuïteit, leveranciersbeheer en testen zijn allemaal ISMS-onderdelen. Voor financiële instellingen is het ISMS het fundament waarop de DORA-specifieke eisen (rapportageformats, TLPT, contractregister) worden gebouwd; voor hun ICT-leveranciers is het certificaat het efficiëntste antwoord op de due-diligence-golf die DORA veroorzaakt.
Zo werkt dit in Control One
In de portal staat bij elk onderdeel uitleg in gewone taal, precies op het moment dat je het nodig hebt.
Veelgestelde vragen
Ik lever software aan een bank; wat merk ik van DORA?
Strengere contracten: DORA schrijft voor wat er in overeenkomsten met ICT-leveranciers moet staan (auditrechten, exitstrategieën, beveiligingseisen, incidentmelding, onderaannemers), dus verwacht heronderhandeling en due-diligence-vragenlijsten. Een ISO 27001-certificaat beantwoordt een groot deel; specifieke DORA-clausules (audit- en toegangsrechten, exit) komen daar contractueel bij.
Wat is de verhouding tussen DORA en NIS2?
DORA is de sectorspecifieke regeling voor de financiële sector en gaat als lex specialis vóór NIS2: financiële instellingen volgen DORA. DORA is bovendien een verordening (rechtstreeks geldend, geen nationale omzetting nodig) en op onderdelen strenger, vooral rond derde-partijenbeheer en weerbaarheidstesten.