EU-verordening voor de financiële sector
DORA-eisen voor digitale operationele weerbaarheid
DORA, de Digital Operational Resilience Act, is een EU-verordening die financiële instellingen verplicht IT-risico’s te beheersen, na storingen te herstellen en IT-leveranciers te controleren. DORA geldt sinds 17 januari 2025 en stelt ook eisen aan die leveranciers.
- Soort
- EU-verordening
- Geldt vanaf
- 17 januari 2025
- Financiële sector
- 20 soorten financiële instellingen
- IT-leveranciers
- Via contracten; direct toezicht op kritieke leveranciers
Voor wie dit geldt
Financiële instellingen en IT-leveranciers
- Banken, betaalinstellingen en elektronischgeldinstellingen.
- Verzekeraars, beleggingsondernemingen en aanbieders van cryptoactivadiensten met een vergunning.
- IT-leveranciers via contracten met hun financiële klanten, en kritieke leveranciers die rechtstreeks onder toezicht staan van Europese financiële toezichthouders.
Er gelden uitzonderingen en voor bepaalde kleine bedrijven gelden lichtere regels. IT-leveranciers hebben andere verplichtingen dan financiële instellingen.
Datums om rekening mee te houden
Sinds wanneer DORA geldt
17 januari 2025
De DORA-verplichtingen zijn gaan gelden voor de financiële instellingen die de verordening noemt.
Wat je moet doen
Voer IT-beveiliging in en controleer die
-
Leg vast wie beslist over IT-risico’s
Het bestuur houdt toezicht op de risico’s, het beleid en de verantwoordelijken voor systemen die je financiële diensten ondersteunen.
-
Leg vast waarvan je diensten afhangen
Noteer welke systemen en leveranciers de diensten ondersteunen die niet mogen uitvallen.
-
Handel incidenten af en meld ze
Leg vast hoe je ernstige ICT-gerelateerde incidenten beoordeelt, gebeurtenissen vastlegt en je toezichthouder informeert.
-
Oefen je herstelplannen
Test back-ups en herstelprocedures. Los daarna de problemen op die uit de tests komen.
-
Houd toezicht op je IT-leveranciers
Houd de verplichte leverancierslijst bij, beoordeel contracten en plan hoe je zo nodig overstapt naar een andere leverancier.
-
Bereid je voor op geavanceerde aanvalstests
Toezichthouders kunnen bepaalde financiële instellingen verplichten hun systemen met realistische aanvalssimulaties te testen. Ze selecteren die instellingen op omvang, belang en IT-risico.
Hoe we helpen
Beoordeel DORA-compliance en pak tekortkomingen aan
We toetsen je ICT-risicobeheer en operationele weerbaarheid aan DORA en vertalen bevindingen naar een plan met prioriteiten. We helpen je team afgesproken verbeteringen uitvoeren en doorlopend toezicht inrichten.
Veelgestelde vragen
Veelgestelde vragen
Bijbehorende wetten en normen
- NIS2
Voor financiële instellingen die onder DORA vallen, vervangt DORA de beveiligings- en meldregels van NIS2. Groepsmaatschappijen buiten DORA moeten nog nagaan of NIS2 voor hen geldt.
- MiCA
Een cryptobedrijf met een MiCA-vergunning behoort tot de financiële instellingen die DORA noemt. De IT-regels van DORA gelden daarom vanaf de dag waarop het bedrijf de vergunning krijgt.
Gratis gesprek van 30 minuten
Plan de volgende fase van je DORA-werk
Bespreek de verzoeken van je toezichthouder en je huidige IT-risico’s in een gratis gesprek van 30 minuten.
