DORA uitgelegd

Tijdlijn

1. 16 januari 2023

   De Verordening is in werking getreden, op de twintigste dag na publicatie in het Publicatieblad op 27 december 2022 (Art. 64).

2. 2 december 2024

   Uitvoeringsverordening (EU) 2024/2956 met de standaardsjablonen voor het register van informatie is gepubliceerd in het Publicatieblad (Art. 28(9)).

3. 17 januari 2025

   De Verordening is van toepassing (Art. 64).

4. 2 juli 2025

   Gedelegeerde Verordening (EU) 2025/532 over de elementen die een financiële entiteit moet bepalen en beoordelen bij onderaanbesteding van ICT-diensten voor kritieke of belangrijke functies is gepubliceerd in het Publicatieblad (Art. 30(5)).

5. 18 november 2025

   De Europese toezichthouders (EBA, EIOPA en ESMA) publiceren de eerste lijst van aangewezen kritieke ICT-derdenaanbieders (Art. 31(9)).

Wie valt eronder

DORA geldt voor de financiële entiteiten die Art. 2(1) opsomt: onder meer kredietinstellingen, betalingsinstellingen, instellingen voor elektronisch geld, beleggingsondernemingen, aanbieders van cryptoactivadiensten, centrale effectenbewaarinstellingen, centrale tegenpartijen, handelsplatformen, beheerders van alternatieve beleggingsinstellingen, beheermaatschappijen, verzekeraars en herverzekeraars, verzekeringstussenpersonen, instellingen voor bedrijfspensioenvoorziening, ratingbureaus, crowdfundingplatformen en securitisatieregisters (Art. 2(1), punten (a) tot en met (t)).

Er zijn uitzonderingen, bijvoorbeeld voor pensioeninstellingen met samen hooguit 15 deelnemers en voor verzekeringstussenpersonen die micro-, kleine of middelgrote ondernemingen zijn (Art. 2(3)). Lidstaten mogen bepaalde andere entiteiten uitsluiten (Art. 2(4)). De maatregelen worden toegepast naar evenredigheid, op basis van de aard, omvang en complexiteit van de ICT-afhankelijkheden en het belang van de dienst (Art. 28(1)(b)).

ICT-derdenaanbieders staan zelf ook in Art. 2(1), punt (u), maar zijn volgens Art. 2(2) geen financiële entiteit. De verplichtingen voor het beheer van ICT-risico van derden (Art. 28 tot en met 30) rusten op de financiële entiteit, en een leverancier krijgt ze in de praktijk via het contract. Alleen voor aanbieders die als kritiek zijn aangewezen geldt een direct toezichtskader (zie hieronder). Een ICT-dienst is ruim gedefinieerd: digitale en gegevensdiensten die via ICT-systemen doorlopend aan gebruikers worden geleverd, inclusief hardware als dienst (Art. 3(21)).

ICT-risico van derden: register, contract en exit

Een financiële entiteit blijft te allen tijde volledig verantwoordelijk voor de naleving van de Verordening, ook als ze ICT-diensten afneemt (Art. 28(1)(a)). Ze houdt een register van informatie bij van alle contractuele afspraken over ICT-diensten van derden, op het niveau van de entiteit en, waar van toepassing, op gesubconsolideerd en geconsolideerd niveau. Afspraken over kritieke of belangrijke functies worden daarin onderscheiden van de overige (Art. 28(3)). De entiteit rapporteert minstens jaarlijks aan de toezichthouder en stelt het register op verzoek beschikbaar. De standaardsjablonen staan in Uitvoeringsverordening (EU) 2024/2956.

Voor ze een contract sluit, beoordeelt de entiteit onder meer of de dienst een kritieke of belangrijke functie ondersteunt, welke risico's er zijn, of de leverancier geschikt is en of er belangenconflicten zijn (Art. 28(4)). Daarbij kijkt ze naar concentratierisico: een leverancier die niet gemakkelijk te vervangen is, of meerdere afspraken voor kritieke of belangrijke functies bij dezelfde of nauw verbonden leveranciers (Art. 29(1)). Bij onderaanbesteding weegt ze de risico's van lange of complexe ketens en van onderaannemers in derde landen. Bij een leverancier in een derde land betrekt ze ook de naleving van de Uniegegevensbeschermingsregels en de effectieve handhaving van het recht in dat land (Art. 29(2)).

Voor ICT-diensten die kritieke of belangrijke functies ondersteunen, moet de entiteit exitstrategieën hebben. Ze moet kunnen afscheid nemen van een leverancier zonder verstoring van de bedrijfsvoering, zonder de naleving van regelgeving te beperken en zonder nadeel voor de continuïteit en kwaliteit van de dienstverlening aan klanten. Exitplannen zijn gedocumenteerd, worden getest en periodiek herzien. De entiteit identificeert alternatieven en maakt overgangsplannen om diensten en gegevens veilig en volledig over te dragen aan een andere aanbieder of weer zelf onder te brengen (Art. 28(8)). Contracten moeten kunnen worden beëindigd bij onder meer een ernstige schending, aangetoonde zwaktes in het ICT-risicobeheer van de leverancier of als de toezichthouder niet meer effectief toezicht kan houden (Art. 28(7)).

Art. 30 bepaalt wat er minimaal in het contract staat. Voor onderaanbesteding specificeert Gedelegeerde Verordening (EU) 2025/532 onder meer dat het contract aangeeft welke diensten mogen worden uitbesteed en onder welke voorwaarden, dat de leverancier verantwoordelijk blijft voor de diensten van onderaannemers, dat hij wezenlijke wijzigingen tijdig aankondigt met een redelijke termijn waarbinnen de entiteit kan instemmen of bezwaar maken, en dat de entiteit bij bepaalde wijzigingen een beëindigingsrecht kan bedingen (Art. 4 tot en met 6 van die Verordening).

Toezicht op kritieke ICT-aanbieders

De Europese toezichthouders (EBA, EIOPA en ESMA, samen de ESA's) wijzen via het Gemengd Comité kritieke ICT-derdenaanbieders (CTPP's) aan. Ze toetsen daarbij de systemische impact bij een grootschalige storing, het systemische belang van de afnemende financiële entiteiten, de afhankelijkheid voor kritieke of belangrijke functies en de mate van vervangbaarheid (Art. 31(1) en (2)). Eén van de ESA's wordt Lead Overseer voor elke aangewezen aanbieder (Art. 31(1)(b)).

Actuele stand: op 18 november 2025 hebben de ESA's de eerste lijst van aangewezen CTPP's gepubliceerd, op basis van de registers van informatie die financiële entiteiten bijhouden. De lijst staat op de website van de ESA's, op alfabetische volgorde, en bevat onder meer aanbieders van clouddiensten. Art. 31(9) schrijft voor dat de lijst jaarlijks wordt bijgewerkt. Raadpleeg de ESA's voor de actuele versie.

Een aangewezen aanbieder informeert zijn klanten over de aanwijzing, en het toezicht begint uiterlijk een maand na de kennisgeving (Art. 31(5)). De Lead Overseer beoordeelt of de aanbieder over degelijke regels en procedures beschikt om het ICT-risico voor financiële entiteiten te beheersen, inclusief dataportabiliteit, applicatieportabiliteit en interoperabiliteit (Art. 33(2) en (3)(f)), en kan aanbevelingen doen, ook over onderaanbesteding (Art. 35). Een aanbieder uit een derde land moet binnen twaalf maanden na aanwijzing een dochteronderneming in de Unie hebben, anders mogen financiële entiteiten zijn diensten niet gebruiken (Art. 31(12)).

De aanwijzing neemt de verantwoordelijkheid van de financiële entiteit niet weg (Art. 28(1)(a)). Of een leverancier op de lijst staat, is wel een gegeven dat je in je risicobeoordeling en in het register kunt betrekken.

Incidentmelding en de relatie met NIS2

Een financiële entiteit meldt grote ICT-gerelateerde incidenten aan de bevoegde autoriteit: een eerste melding, een tussentijds verslag en een eindverslag (Art. 19(1) en (4)). Een groot incident is een ICT-incident met een grote negatieve impact op de systemen die kritieke of belangrijke functies ondersteunen (Art. 3(10)). De termijnen en het formaat volgen uit technische standaarden op grond van Art. 20. Heeft het incident gevolgen voor de financiële belangen van klanten, dan informeert de entiteit hen ook (Art. 19(3)). Het melden mag worden uitbesteed, maar de entiteit blijft verantwoordelijk (Art. 19(5)). Voor jou als inkoper betekent dit dat de leverancier moet helpen: het contract bevat de plicht tot bijstand bij een incident, kosteloos of tegen een vooraf bepaald tarief (Art. 30(2)(f)).

DORA is lex specialis ten opzichte van NIS2, Richtlijn (EU) 2022/2555 (overweging 16). Voor financiële entiteiten die onder de nationale NIS2-regels als essentiële of belangrijke entiteit zijn aangemerkt, geldt DORA als sectorspecifieke rechtshandeling van de Unie in de zin van Art. 4 van die Richtlijn (Art. 1(2)). Lidstaten kunnen bepalen dat meldingen ook naar de CSIRT's gaan (Art. 19(1)). Het DORA-toezicht op kritieke aanbieders laat NIS2 en andere Unieregels voor aanbieders van cloudcomputing onverlet (Art. 32(8)). De CRA richt zich daarentegen op producten en hun fabrikanten, terwijl DORA gaat over het gebruik van ICT-diensten door financiële entiteiten.

Wat je een leverancier kunt vragen

Gebruik de punten hieronder in aanbestedingen, vragenlijsten en contractonderhandelingen. Het zijn vragen die voortkomen uit Art. 28 tot en met 30 en uit Gedelegeerde Verordening (EU) 2025/532. Ze zijn geen volledige lijst; gaat het om een kritieke of belangrijke functie, dan gelden de aanvullende eisen van Art. 30(3).

• Dienstbeschrijving en onderaanbesteding: welke functies en diensten levert de leverancier, mag hij ze onderaanbesteden en onder welke voorwaarden? Wie zijn de onderaannemers die kritieke of belangrijke functies ondersteunen (Art. 30(2)(a); Verordening (EU) 2025/532, Art. 4)?
• Locaties: in welke regio's of landen worden de diensten geleverd en gegevens verwerkt en opgeslagen, ook door onderaannemers, en meldt de leverancier vooraf als dat verandert (Art. 30(2)(b))?
• Gegevensbescherming: welke afspraken gelden voor beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van persoonsgegevens en andere gegevens (Art. 30(2)(c))?
• Toegang en teruggave: hoe krijg je gegevens in een goed toegankelijk formaat terug bij insolventie, stopzetting of beëindiging van het contract (Art. 30(2)(d))?
• Incidenten: biedt de leverancier bijstand zonder extra kosten of tegen een vooraf bepaald tarief, en werkt hij volledig samen met de toezichthouders (Art. 30(2)(f) en (g))?
• Beëindiging: welke opzegrechten en minimale opzegtermijnen gelden, en kun je het contract beëindigen in de gevallen van Art. 28(7) (Art. 30(2)(h))?
• Kritieke of belangrijke functies: zijn er servicelevels met meetbare kwantitatieve en kwalitatieve doelen, meldingsplichten bij ontwikkelingen die de dienstverlening kunnen raken, geteste continuïteitsplannen en een verplichte medewerking aan bedreigingsgestuurde penetratietests (TLPT) (Art. 30(3)(a) tot en met (d))?
• Audit: heb je, en heeft de toezichthouder, onbeperkte rechten op toegang, inspectie en audit, en werkt de leverancier daaraan mee (Art. 30(3)(e))?
• Exit: is er een verplichte, passende overgangsperiode waarin de leverancier de dienst blijft leveren zodat je kunt migreren of de dienst weer zelf kunt draaien (Art. 30(3)(f))?
• Register: kan de leverancier de gegevens aanleveren die je nodig hebt voor de sjablonen van Uitvoeringsverordening (EU) 2024/2956, en staat hij op de ESA-lijst van kritieke aanbieders?
• Concentratie: hoe sterk ben je afhankelijk van deze leverancier of van aan hem verbonden leveranciers, en is er een realistisch alternatief (Art. 29(1))?

DORA, CLOUD Act en digitale soevereiniteit

DORA noemt de CLOUD Act en digitale soevereiniteit niet. De Verordening vraagt wel om inzicht in locatie en afhankelijkheid: contracten bevatten de regio's of landen waar diensten worden geleverd en gegevens worden verwerkt en opgeslagen (Art. 30(2)(b)), bij een leverancier in een derde land weegt de entiteit de Uniegegevensbeschermingsregels en de effectieve handhaving van het recht in dat land (Art. 29(2)), en bij onderaanbesteding beoordeelt de leverancier de risico's die samenhangen met de locatie van onderaannemers, hun moedermaatschappij en de plek van waaruit de dienst wordt geleverd (Verordening (EU) 2025/532, Art. 4(1)(d)). DORA gaat zelf uit van aanbieders in derde landen en stelt voorwaarden, zoals een dochteronderneming in de Unie voor kritieke aanbieders (Art. 31(12)).

De Amerikaanse CLOUD Act heeft Art. 2713 toegevoegd aan 18 U.S.C. (Pub. L. 115-141, div. V, 23 maart 2018). Die bepaalt dat een aanbieder van elektronische communicatiediensten of van diensten voor gegevensverwerking op afstand gegevens moet bewaren, back-uppen of verstrekken die onder zijn bezit, beheer of controle vallen, ongeacht of ze zich binnen of buiten de Verenigde Staten bevinden. De bepaling is dus gekoppeld aan de aanbieder en niet aan de opslaglocatie. De opslaglocatie volgens het contract is daarom één vraag, en waar de aanbieder en zijn moedermaatschappij zijn gevestigd een andere. Of de bepaling op een concrete aanbieder van toepassing is en hoe ze zich tot het EU-recht verhoudt, is een juridische beoordeling die deze pagina niet maakt.

Voor de vijf dimensies van de score: JES laat zien waar de leverancier en zijn uiteindelijke moedermaatschappij gevestigd zijn, DRS gaat over dataresidentie, PLS over lock-in en portabiliteit en SRS over open source en zelf hosten. Die onderwerpen raken aan de contractpunten over locatie, exit en terugname in eigen beheer. De score is geen beoordeling van naleving: of een financiële entiteit aan DORA voldoet, hangt af van haar eigen register, contracten, tests en risicobeoordeling.

Veelgestelde vragen

Bronnen

• Verordening (EU) 2022/2554, tekst in het Publicatieblad (EUR-Lex)
• Uitvoeringsverordening (EU) 2024/2956: standaardsjablonen voor het register van informatie (EUR-Lex)
• Gedelegeerde Verordening (EU) 2025/532: onderaanbesteding van ICT-diensten (EUR-Lex)
• EBA, EIOPA en ESMA: persbericht over de aanwijzing van kritieke ICT-derdenaanbieders (18 november 2025)
• ESA's: lijst van aangewezen kritieke ICT-derdenaanbieders
• 18 U.S.C. § 2713, ingevoegd door de CLOUD Act (GovInfo)