DORA staat voor Digital Operational Resilience Act. Het is een Europese verordening die op 17 januari 2025 van kracht werd en die financiële instellingen verplicht om hun digitale weerbaarheid en compliance aantoonbaar op orde te hebben. Denk aan banken, verzekeraars, beleggingsondernemingen, betalingsdienstverleners en pensioenfondsen.
De kern van DORA draait om vijf pijlers: ICT-risicobeheer, incidentrapportage, testen van digitale weerbaarheid, informatie-uitwisseling over dreigingen en het beheer van derde partijen. Die laatste pijler is precies waar het voor veel organisaties buiten de financiële sector relevant wordt. Financiële instellingen moeten namelijk aantonen dat ook hun toeleveranciers en IT-dienstverleners voldoen aan strenge eisen op het gebied van continuïteit en beveiliging.
Stel, je levert als logistiek softwarebedrijf een planningsapplicatie aan een grote bank. Die bank valt onder DORA en moet jouw organisatie contractueel verplichten tot bepaalde beveiligings- en continuïteitsgaranties. Jij als leverancier moet die garanties kunnen waarmaken en aantonen.
Voor wie geldt DORA direct en voor wie indirect?
Directe toepassing geldt voor financiële entiteiten zoals gedefinieerd in de verordening. Dat zijn organisaties die onder toezicht staan van De Nederlandsche Bank of de Autoriteit Financiële Markten. Zij moeten per 17 januari 2025 volledig compliant zijn.
Indirecte toepassing geldt voor kritieke ICT-aanbieders. Dat zijn leveranciers van IT-diensten aan financiële instellingen die door toezichthouders als systeemrelevant worden aangemerkt. Zij vallen rechtstreeks onder DORA-toezicht. Maar ook kleinere IT-dienstverleners die niet als kritiek zijn aangemerkt, krijgen via contractuele verplichtingen te maken met DORA-eisen.
Een concreet voorbeeld: een zakelijke dienstverlener met 200 medewerkers die IT-beheer verzorgt voor meerdere regionale banken, krijgt vanuit die opdrachtgevers contractuele clausules opgelegd. Auditrecht, incidentmeldingsplicht, continuïteitsgaranties, documentatie van toegangsbeheer. Dat zijn allemaal DORA-vereisten die via de keten bij jou terechtkomen.
Wat verwachten financiële opdrachtgevers concreet van jou?
Financiële instellingen zijn verplicht om contractuele afspraken te maken met hun IT-leveranciers. DORA schrijft voor wat die afspraken minimaal moeten bevatten. Als leverancier krijg je te maken met eisen op een aantal concrete vlakken.
Continuïteitsgaranties: jij moet kunnen aantonen dat jouw dienstverlening beschikbaar blijft, ook bij een incident of calamiteit. Dat betekent gedocumenteerde herstelprocessen, duidelijke RTO- en RPO-doelstellingen en regelmatig testen van back-ups en failoverscenario’s.
Incidentrapportage: als er een verstoring is die impact heeft op jouw dienstverlening aan de financiële instelling, moet je dat snel en gestructureerd melden. DORA stelt eisen aan de tijdigheid en inhoud van die meldingen.
Auditrechten: jouw opdrachtgever, of een toezichthouder, kan het recht opeisen om jouw omgeving te auditen. Dat vereist dat jouw documentatie, logging en processen op orde zijn.
SPS ondersteunt organisaties bij het inrichten van deze processen. Via Managed IT-Regie voert SPS de regie over de gehele IT-keten, inclusief rapportage, documentatie en het beheer van derden. Zodat jij als leverancier kunt aantonen dat je aan de eisen voldoet, zonder dat je daar zelf een volledig compliance-team voor hoeft op te tuigen.
Het verschil tussen DORA en NIS2: wat geldt voor jou?
Veel organisaties kennen NIS2 al. Die Europese richtlijn verplicht organisaties in kritieke sectoren tot cybersecuritymaatregelen en incidentmelding. DORA en NIS2 overlappen deels, maar zijn niet hetzelfde.
NIS2 is breed en geldt voor organisaties in sectoren als energie, transport, zorg, digitale infrastructuur en overheidsdiensten. DORA is specifiek en geldt primair voor de financiële sector en haar toeleveranciers. Voor financiële entiteiten geldt DORA als lex specialis: DORA gaat voor op NIS2 waar beide van toepassing zijn. Voor organisaties die zowel financiële als niet-financiële opdrachtgevers bedienen, kunnen beide regelgevingen tegelijk relevant zijn.
Een productiebedrijf met 300 medewerkers dat software levert aan zowel een logistieke dienstverlener als aan een betalingsdienstverlener, kan dus te maken hebben met zowel NIS2-verplichtingen als DORA-contractvereisten. Dat vraagt om een gecoördineerde aanpak, niet om twee losse complianceprojecten naast elkaar.
Hoe zorg je dat jouw IT-omgeving DORA-proof is?
DORA-gereedheid is geen eenmalig project. Het is een doorlopend proces van beheer, monitoring, testen en documenteren. Dat begint bij inzicht: weet wat er in jouw IT-omgeving draait, wie toegang heeft, welke systemen kritisch zijn en hoe snel je kunt herstellen bij een incident.
Gensys, het eigen monitoring- en CMDB-platform van SPS, geeft precies dat inzicht. Het biedt een actueel overzicht van jouw volledige IT-landschap: welke systemen er zijn, hoe ze met elkaar verbonden zijn en wat de status is. Dat is geen overbodige luxe als een opdrachtgever vraagt om een actueel overzicht van jouw IT-configuratie of als een auditor inzicht wil in jouw incidenthistorie.
Concrete stappen richting DORA-gereedheid zijn:
Het documenteren van jouw kritische processen en de bijbehorende IT-systemen.
Het inrichten van een helder incidentresponsproces met gedefinieerde escalatiepaden.
Het regelmatig testen van jouw back-up- en herstelcapaciteit.
Het vastleggen van contractuele afspraken met jouw eigen subleveranciers.
Voor een organisatie met 150 tot 500 eindgebruikers is dat behapbaar, mits je het gestructureerd aanpakt en de juiste partij aan jouw zijde hebt.
Managed Continuity als fundament onder jouw compliance
Compliance is geen doel op zich. Het is een uitkomst van goed geregelde IT. Organisaties die hun IT-beheer op orde hebben, hun omgeving continu monitoren en incidenten snel en gestructureerd afhandelen, voldoen automatisch aan een groot deel van de DORA-vereisten.
Managed Continuity is de kernbelofte van SPS: jouw IT-omgeving blijft stabiel, beschikbaar en aantoonbaar beveiligd. Dat geldt voor jouw dagelijkse operatie, maar ook voor de momenten waarop jij verantwoording moet afleggen aan een opdrachtgever of toezichthouder. SPS neemt de regie over jouw IT-keten, inclusief de documentatie, de monitoring en de communicatie bij incidenten. Geen vingerwijzen tussen leveranciers bij een storing. Geen zoektocht naar wie verantwoordelijk is. Directe actie en heldere rapportage.
Voor sectoren zoals zakelijke dienstverlening en logistiek, die steeds vaker samenwerken met financiële instellingen, is dit fundament geen optie meer. Het is een voorwaarde om mee te kunnen doen.
DORA raakt meer organisaties dan de wet op het eerste gezicht suggereert. Als jij zakendoet met de financiële sector, is het geen kwestie van of jij te maken krijgt met deze eisen, maar wanneer. Goed geregelde IT is daarvoor het fundament. SPS helpt je dat fundament te leggen en aantoonbaar te houden.
Wil je weten waar jouw organisatie nu staat? Plan een gesprek met SPS en ontdek hoe wij jouw IT-omgeving DORA-ready maken met Managed Services
Veelgestelde vragen over DORA
Geldt DORA ook voor Nederlandse organisaties die niet in de financiële sector zitten?
DORA is primair van toepassing op financiële entiteiten die onder Europees toezicht staan. Maar als jouw organisatie IT-diensten levert aan zo’n financiële instelling, krijg je via contractuele verplichtingen te maken met DORA-eisen. Jouw opdrachtgever is verplicht om die eisen contractueel aan jou door te leggen. Dat betekent dat ook organisaties buiten de financiële sector concreet actie moeten ondernemen.
Wat is het verschil tussen een kritieke ICT-aanbieder onder DORA en een gewone IT-leverancier?
Kritieke ICT-aanbieders zijn organisaties die door Europese toezichthouders als systeemrelevant worden aangemerkt. Zij vallen rechtstreeks onder DORA-toezicht en kunnen worden geauditeerd door toezichthouders. Gewone IT-leveranciers vallen niet automatisch in deze categorie, maar krijgen via hun contracten met financiële instellingen wel vergelijkbare verplichtingen opgelegd. Het verschil zit in de directe toezichthouder, niet in de inhoud van de eisen.
Hoe weet ik of mijn huidige IT-omgeving voldoet aan wat DORA vereist?
Dat begint bij een eerlijke beoordeling van jouw huidige situatie. Heb je een actueel overzicht van alle kritische systemen? Zijn jouw herstelprocessen gedocumenteerd en getest? Heb je een werkend incidentresponsproces? Als je op een van deze vragen twijfelt, is er werk aan de winkel. SPS kan samen met jou beoordelen waar de hiaten zitten en hoe je die gestructureerd aanpakt, zonder grote projecten of onnodige investeringen vooraf.
perts
