DORA-toezicht begint met twee vragen: welke financiële entiteit bent u, en welke autoriteit is voor die entiteit bevoegd? In Nederland zijn DNB en AFM belangrijke toezichthouders, maar hun DORA-taken zijn niet simpelweg verdeeld in technische beveiliging tegenover klantgedrag. Ook de AFM onderzoekt ICT-risicobeheer, continuïteit en weerbaarheidstesten. Bij bepaalde banken speelt bovendien de Europese Centrale Bank een eigen toezichtsrol.
Deze gids helpt u een informatieverzoek, registeruitvraag of incidentmelding voor te bereiden. De algemene uitleg van DORA behandelt het Europese kader. Hier staat centraal hoe u uw Nederlandse toezichtsroute bepaalt, welke stukken u samenhangend moet kunnen uitleggen en hoe u voorkomt dat een technisch geaccepteerd bestand wordt aangezien voor volledige naleving.
Bepaal eerst de entiteit en het toepasselijke regime
DORA is sinds 17 januari 2025 van toepassing. Artikel 2 bepaalt welke categorieën financiële entiteiten eronder vallen en welke uitzonderingen gelden. Alleen het aanbieden van software aan een bank maakt een leverancier nog geen financiële entiteit. Voor aangewezen kritieke ICT-dienstverleners bestaat een afzonderlijk Europees oversightkader; dat neemt de verantwoordelijkheid van hun financiële klanten niet over.
Beoordeel de juridische entiteit, vergunning en activiteiten voordat u een rapportageproces kiest. Een groep kan bijvoorbeeld een betaalinstelling en een beleggingsonderneming omvatten. Hetzelfde hoofdkantoor of dezelfde cloudomgeving betekent niet dat beide entiteiten automatisch dezelfde toezichthouder, consolidatiegrens of rapportageverplichting hebben. Leg vast wie eigenaar is van deze beoordeling en herzie haar bij een nieuwe vergunning of groepswijziging.
Proportionaliteit onder artikel 4 houdt rekening met omvang, risicoprofiel en de aard, schaal en complexiteit van activiteiten. Zij geeft geen algemene vrijstelling voor kleine ondernemingen. Het vereenvoudigde ICT-risicobeheerkader van artikel 16 geldt voor specifiek omschreven categorieën. Ook uitzonderingen voor micro-ondernemingen verschillen per bepaling. Een onderbouwde kwalificatie is daarom nuttiger dan de losse conclusie dat een kleine organisatie een lichte versie van alles mag toepassen.
Wie is bevoegd: DNB, AFM of ECB?
De actuele bijlage 35 van het Besluit EU-verordeningen Wft wijst de Nederlandse bevoegde autoriteiten aan. Tot de AFM-categorieën behoren onder meer beleggingsondernemingen, beheerders van beleggingsinstellingen en icbe’s, handelsplatformen, crowdfundingdienstverleners en aanbieders van cryptoactivadiensten. Voor verzekeringsadviseurs en bemiddelaars moet u daarbij ook de DORA-uitzonderingen beoordelen; een vermelding in de nationale lijst maakt een uitgezonderde onderneming niet alsnog onderworpen.
DNB is onder meer aangewezen voor betaaldienstverleners, elektronischgeldinstellingen, verzekeraars, premiepensioeninstellingen, centrale tegenpartijen en centrale effectenbewaarinstellingen. Bij banken geldt de nationale aanwijzing behoudens de bevoegdheid van de ECB op grond van het Europese bankentoezicht. Controleer bij andere pensioencategorieën eveneens het toepasselijke sectorale toezichtskader. Deze voorbeelden zijn geen vervanging van de volledige bevoegdheidscontrole.
Maak ook onderscheid tussen toezicht en een specifieke aanleverroute. Voor significante banken voorziet artikel 19 DORA bijvoorbeeld in incidentrapportage aan de relevante nationale bevoegde autoriteit, die doorzendt aan de ECB. De route voor het informatieregister kan anders zijn. Een intern overzicht hoort daarom per verplichting de entiteit, autoriteit, contactpersoon en het portaal te noemen. Eén algemeen veld met alleen DNB of AFM is onvoldoende.
Wat een toezichthouder uit uw stukken moet kunnen begrijpen
Een beleid beschrijft wat behoort te gebeuren; bewijs laat zien wat daadwerkelijk gebeurt. Bij een belangrijke betaaldienst moet u bijvoorbeeld kunnen verbinden welke dienstverlening uitval kan veroorzaken, welke systemen daarvoor nodig zijn, welke leverancier ze beheert en welke herstelafspraken gelden. Als die informatie in vier bestanden staat, moeten de identificaties en versies op elkaar aansluiten.
Het bestuur blijft verantwoordelijk voor het ICT-risicobeheerkader. Uitbesteding aan een beveiligingsteam of adviseur vervangt die verantwoordelijkheid niet. Leg vast welke besluiten het bestuur heeft genomen, welke risico’s zijn geaccepteerd, welke middelen beschikbaar zijn en hoe voortgang wordt gevolgd. Bestuurders moeten hun kennis en vaardigheden over ICT-risico’s actueel houden; een eenmalige presentatie zonder vervolg toont dat niet vanzelf aan.
Een aanbeveling voor de voorbereiding is om één werkelijk incident of één kritieke dienst door het dossier te volgen. Kunt u de risicoanalyse, contractafspraken, testuitkomsten en verbeteracties terugvinden? Die oefening is geen voorgeschreven vorm van overheidsinspectie, maar maakt inconsistenties zichtbaar voordat verschillende teams tegenstrijdige antwoorden aanleveren.
Het informatieregister is meer dan een leverancierslijst
Artikel 28, lid 3, verlangt een actueel informatieregister van alle contractuele regelingen voor het gebruik van ICT-diensten van derde aanbieders. Maak onderscheid tussen diensten die kritieke of belangrijke functies ondersteunen en overige diensten. Alleen de grootste cloudleveranciers opnemen mist mogelijk kleinere diensten waarvan een cruciaal proces afhankelijk is.
Het register verbindt entiteiten, contracten, diensten, functies en relevante leveranciersrelaties volgens de voorgeschreven structuur. Controleer daarom niet alleen of een naam voorkomt, maar ook of de verbanden kloppen. Een concerncontract kan bijvoorbeeld door meerdere gereguleerde entiteiten worden gebruikt. Een enkele regel op naam van de holding legt niet noodzakelijk vast welke vergunninghouder van welke dienst afhankelijk is.
Het AVG-verwerkingsregister kan informatie over systemen en leveranciers leveren, maar heeft een ander doel en andere verplichte inhoud. DORA bestrijkt ook ICT-diensten zonder persoonsgegevens. Omgekeerd bevat een privacyregister verwerkingen waarvoor geen externe ICT-overeenkomst bestaat. Gebruik waar mogelijk dezelfde betrouwbare brongegevens en behoud twee herkenbare wettelijke overzichten.
Naast het bijhouden van het register bestaan afzonderlijke informatieplichten. DORA verlangt ten minste jaarlijkse informatie over nieuwe regelingen en hun categorieën. De autoriteit kan het volledige register of onderdelen opvragen. Ook moet zij tijdig worden geïnformeerd over voorgenomen ICT-regelingen voor kritieke of belangrijke functies en wanneer een functie die kwalificatie krijgt. Een jaarlijkse bestandslevering vervangt deze andere momenten niet.
Wat de Nederlandse registeruitvraag van 2026 laat zien
De DNB-uitvraag voor maart 2026 opende op 2 maart, met 20 maart 2026 als deadline en 31 december 2025 als peildatum. Dit zijn historische data van die specifieke uitvraag, geen jaarlijks automatisch herhaalde wettelijke kalender. Voor een volgende uitvraag moet u de nieuwe instructie controleren.
DNB vroeg xBRL-CSV en bood daarnaast een gestandaardiseerd Excel-template aan dat DNB converteert. Het consolidatieniveau hangt af van de groep en het toezichtmandaat. De uitvraag vermeldt apart dat banken onder direct ECB-toezicht hun register, inclusief meegeconsolideerde bancaire dochters, bij de ECB rapporteren. Pas een DNB-instructie dus niet zonder beoordeling op iedere Nederlandse financiële onderneming toe.
Na indiening kunnen technische controles en datakwaliteitscontroles tot herstel en herrapportage leiden. Bewaar de ingediende versie, ontvangstbevestiging, validatieresultaten en verwerkte correcties. Een geslaagd bestandsformaat bewijst bijvoorbeeld niet dat een ontbrekende dienst terecht is weggelaten. De inhoudelijke verantwoordelijkheid blijft bij de financiële instelling.
Incidenten: organiseer classificatie en bevoegdheden vooraf
Ernstige ICT-gerelateerde incidenten worden volgens DORA geclassificeerd en gerapporteerd. Niet iedere storing is ernstig; de toepasselijke criteria bepalen dat. Begin de beoordeling zodra relevante feiten bekend worden en houd bij wanneer u het incident ontdekte en wanneer het als ernstig werd geclassificeerd. Die momenten hebben verschillende functies in de rapportagetermijnen.
Volgens de actuele DNB-instructies loopt de melding via Mijn DNB, Aanvragen en meldingen, Major ICT-incidents. De AFM-meldingspagina verwijst naar het DORA-onderdeel van het AFM-portaal en beschrijft machtigingen. Richt toegang, vervanging en beschikbaarheid van de verantwoordelijke personen vooraf in. Een uitgevallen medewerker of ontbrekende portaalmachtiging is geen bruikbaar incidentplan.
De meldtermijnen staan in artikel 5 van Gedelegeerde Verordening 2025/301. De eerste kennisgeving gebeurt zo spoedig mogelijk, uiterlijk vier uur na classificatie als ernstig en uiterlijk 24 uur nadat de entiteit van het incident kennis heeft gekregen. Vindt de classificatie pas na die 24 uur plaats, dan geldt de bijzondere regel van uiterlijk vier uur na classificatie. Wachten op een volledig oorzakenonderzoek is daarmee niet verenigbaar.
Het tussentijdse verslag volgt uiterlijk 72 uur na de eerste kennisgeving, ook wanneer de situatie niet is veranderd. Een bijgewerkt tussentijds verslag volgt zonder onnodige vertraging wanneer reguliere activiteiten zijn hersteld. Het eindverslag volgt uiterlijk één maand na het tussentijdse of het laatste bijgewerkte tussentijdse verslag. Noteer daarom duidelijk welke indiening de toepasselijke maandtermijn laat beginnen.
Kan een termijn niet worden gehaald, dan verlangt artikel 5 dat de autoriteit uiterlijk op dat moment wordt geïnformeerd, met redenen. De regeling kent een beperkte weekend- en feestdagenvoorziening. Voor eerste en tussentijdse meldingen geldt die niet voor kredietinstellingen, centrale tegenpartijen, handelsplatformexploitanten en onder NIS2 als essentieel of belangrijk aangemerkte financiële entiteiten. Ook kan de autoriteit andere significante of systeemrelevante entiteiten hiervan uitsluiten na kennisgeving. Bouw dus geen algemene weekendpauze in.
Een ernstige verstoring kan ook communicatie met klanten vereisen. Volgens artikel 19, lid 3, informeert de financiële entiteit klanten zonder onnodige vertraging zodra zij kennis heeft van een ernstig ICT-incident dat hun financiële belangen raakt, samen met de genomen beperkende maatregelen. Deze klantinformatie is een eigen verplichting en valt niet automatisch samen met een AVG-bericht aan betrokkenen. Spreek daarom vooraf af wie begrijpelijke informatie opstelt en feitelijke wijzigingen verwerkt.
Bij een technisch beletsel waardoor de eerste kennisgeving niet met de voorgeschreven template kan worden ingediend, voorziet artikel 19 in alternatieve middelen. Leg het beletsel en de gebruikte contactroute vast en stem de verdere aanlevering af. Een intern concept dat nooit de autoriteit bereikt, is geen ingediende kennisgeving.
DORA, de Nederlandse CSIRT-route en de AVG
De verhouding tussen DORA en NIS2 vereist meer dan het etiket bijzondere sectorregeling. Bijlage 35, onderdeel 5, van het Nederlandse besluit verlangt dat banken, handelsplatformen, centrale effectenbewaarinstellingen en centrale tegenpartijen de genoemde DORA-incidentmelding ook bij het aangewezen sectorale CSIRT doen. Wanneer zij de genoemde vrijwillige cyberdreigingsmelding indienen, geldt eveneens die aanvullende route. Controleer de actuele Nederlandse uitvoering via de gids over de NIS2-omzetting en de officiële meldinstructies.
De AVG volgt een andere risicotoets. Een persoonsgegevensinbreuk wordt zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisneming bij de AP gemeld, tenzij risico voor personen onwaarschijnlijk is. Bij latere melding worden de redenen voor de vertraging toegelicht. Het enkele feit dat een systeem persoonsgegevens bevat, maakt iedere storing nog geen meldplichtige inbreuk.
Iedere persoonsgegevensinbreuk wordt gedocumenteerd, ook zonder AP-melding. Een datalekregister kan daarvoor het bewijs en de afweging bewaren. Bij waarschijnlijk hoog risico geldt daarnaast de afzonderlijke communicatieplicht aan betrokkenen, met de uitzonderingen van artikel 34. De beveiligingsmaatregelen onder artikel 32 AVG ondersteunen dit proces, maar leveren geen automatische uitkomst voor de meldbeslissing.
Contracten en testen als bewijs van uitvoerbaarheid
Een contract waarin staat dat de leverancier veilig werkt, beantwoordt niet alle DORA-vragen. Artikel 30 stelt basiseisen aan ICT-contracten en aanvullende eisen bij kritieke of belangrijke functies. Denk aan een duidelijke dienstbeschrijving, locaties, gegevensbescherming, bijstand bij incidenten en de toepasselijke beëindigingsafspraken. Voor kritieke functies moeten onder meer uitgebreidere dienstniveaus, toezichts- en auditmogelijkheden en exitafspraken worden uitgewerkt.
Toets wat die bepalingen operationeel betekenen. Kan een leverancier tijdig de feiten voor een incidentrapport leveren? Kan uw organisatie informatie exporteren als de dienst stopt? Een certificaat kan bewijs ondersteunen, maar vervangt geen beoordeling van het contract en de werkelijk gebruikte dienst. Hetzelfde geldt voor Europees toezicht op een aangewezen kritieke ICT-aanbieder: uw eigen afhankelijkheid blijft uw verantwoordelijkheid.
Weerbaarheidstesten moeten aansluiten op risico’s en systemen. Niet iedere financiële entiteit hoeft dezelfde geavanceerde dreigingsgestuurde penetratietest, of TLPT, uit te voeren. Artikel 26 kent een specifieke selectie en voorwaarden; omvang alleen is geen volledige beslisregel. Leg bij een test vast welke tekortkoming is gevonden, wie haar verhelpt en hoe is vastgesteld dat de verbetering werkt. Een afgesloten actie zonder controle kan een terugkerende kwetsbaarheid verhullen.
Reageer samenhangend op een toezichtonderzoek
De AFM beschrijft zowel thematische als instellingsgerichte onderzoeken. Een vraag over continuïteit kan daarom een beperkte selectie van processen betreffen; een onderzoek bij één onderneming kan juist meerdere samenhangende documenten opvragen. Lees eerst de gevraagde periode, entiteiten, definities en aanlevervorm. Vraag tijdig verduidelijking als een onderdeel werkelijk onduidelijk is.
Wijs één coördinator aan die antwoorden afstemt met de inhoudelijk verantwoordelijke teams. Laat die persoon geen ontbrekende feiten invullen om een dossier compleet te laten lijken. Maak onderscheid tussen vastgesteld beleid, daadwerkelijk uitgevoerde controles en voorgenomen verbeteringen. Vermeld bij een open tekortkoming de huidige beheersing, verantwoordelijke en realistische vervolgactie. Een planning is geen bewijs dat herstel al is afgerond.
Artikel 50 DORA voorziet in informatie-, onderzoeks- en correctiebevoegdheden. Het Nederlandse besluit bevat bovendien sanctioneerbare bepalingen. Er bestaat geen algemene toezegging dat een eerste tekortkoming alleen tot advies leidt. De bevoegdheid, overtreding en concrete omstandigheden bepalen de mogelijke maatregel. Een herstelplan is waardevol, maar biedt geen vooraf gegarandeerde vrijstelling van handhaving.
Houd toezichtvoorbereiding werkbaar
Een middelgrote instelling kan beginnen met een beperkte set duidelijk beheerde bronnen: scopebeoordeling, bestuursbesluiten, register, incidentdossier, contracten en testbevindingen. Het gaat niet om zo veel mogelijk documenten, maar om traceerbare en consistente informatie. Controleer bijvoorbeeld of een beëindigd contract ook in het register en in de toegangsadministratie is verwerkt.
Ondersteunende DORA-software voor Nederlandse organisaties kan worden beoordeeld op versiebeheer, verantwoordelijken, export en aansluiting op de vereiste rapportage. De aanschaf bewijst echter geen naleving en verandert de toezichtsbevoegdheid niet. De bredere samenhang met klantgegevens en privacy blijft uitgewerkt in AVG voor de financiële sector.
De bruikbare eindvraag is steeds of uw organisatie een besluit kan uitleggen en het bijbehorende bewijs kan laten zien. Als een leverancier verandert, een incident escaleert of een autoriteit om een register vraagt, moet duidelijk zijn wie handelt, volgens welke verplichting en met welke actuele informatie. Dat maakt de voorbereiding inzetbaar in het dagelijkse beheer én tijdens toezicht.