DNB als DORA-toezichthouder: wat kunt u verwachten in 2026?

DNB heeft in Q1 2025 de eerste DORA-gerichte inspecties uitgevoerd bij systemisch relevante instellingen. Bevindingen uit deze inspecties wees op drie veelvoorkomende tekortkomingen:

• Onvolledig register van ICT-dienstverleners: Veel instellingen hadden geen compleet overzicht van alle derde partijen die ICT-diensten leveren voor kritieke functies.
• Ontbrekende exitstrategieën: Contracten met cloudleveranciers en andere kritieke ICT-providers bevatten geen of onvoldoende concrete exitstrategieën.
• Bestuurlijke betrokkenheid: Het bestuur kon niet aantonen dat het periodiek was geïnformeerd over ICT-risico's en DORA-compliance-status.

Praktische stappen voor DORA-compliance in 2026

• Gap-analyse: Meet uw huidige ICT-risicobeheerkader af tegen de vijf DORA-pijlers. Prioriteer de grootste tekortkomingen.
• ICT-leveranciersregister: Stel een volledig en actueel register op van alle ICT-dienstverleners, inclusief beoordeling van kritikaliteit.
• Contractherziening: Pas bestaande contracten met ICT-leveranciers aan op DORA-vereisten vóór de volgende contractverlenging.
• Incidentrapportageprotocol: Implementeer een gedocumenteerd protocol voor classificatie en melding van ICT-incidenten, inclusief DNB-rapportagesjablonen.
• Bestuursopleiding: Organiseer jaarlijks een briefing voor het bestuur over ICT-risico's en DORA-status.

Veelgestelde vragen over DORA en DNB-toezicht

Geldt DORA ook voor kleine financiële instellingen?

Ja, maar DORA kent een proportionaliteitsbeginsel. Kleine financiële instellingen (micro-ondernemingen, kleine en middelgrote ondernemingen die voldoen aan de drempelwaarden) zijn vrijgesteld van een aantal zwaardere vereisten, zoals TLPT. DNB heeft richtsnoeren gepubliceerd over de toepassing van het proportionaliteitsbeginsel voor kleine instellingen.

Wat is het verschil tussen DORA en NIS2?

NIS2 is een sectoroverstijgende richtlijn voor cybersecurity die van toepassing is op essentiële en belangrijke entiteiten in diverse sectoren. DORA is een sectorspecifieke verordening die uitsluitend geldt voor de financiële sector. Voor financiële entiteiten geldt DORA als lex specialis: DORA-vereisten gaan voor op NIS2 waar beide van toepassing zijn.

Hoe classificeer ik een ICT-incident als ernstig?

DORA (art. 18) en de bijbehorende technische standaarden van EBA/EIOPA/ESMA definiëren criteria voor ernstige incidenten: impact op meer dan 10% van de clienten, financiële verliezen boven een drempel, uitval van kritieke diensten langer dan 4 uur, of een significant databeschermingsincident. Stel een interne classificatiematrix op gebaseerd op deze criteria.

Moeten cloudleveranciers zoals AWS of Azure ook voldoen aan DORA?

Kritieke ICT-derde-partijen (Critical Third-Party Providers, CTPP) die zijn aangewezen door de Europese toezichthouders (ESA's) vallen direct onder DORA-toezicht. Grote cloudleveranciers zijn kandidaat voor CTPP-aanwijzing. Ongeacht de CTPP-status bent u als financiële entiteit verantwoordelijk voor het contractueel vastleggen van DORA-vereisten met al uw kritieke ICT-leveranciers.

Wat zijn de sancties bij niet-naleving van DORA?

DORA zelf bepaalt geen maximale boetebedragen — dit is overgelaten aan de nationale lidstaten. DNB kan op basis van de Wet op het financieel toezicht (Wft) sancties opleggen, variërend van een aanwijzing of last onder dwangsom tot een bestuurlijke boete. De reputatieschade en operationele gevolgen van een DNB-sanctiebesluit zijn in de meeste gevallen zwaarder dan de boete zelf.

Hoe verhoudt DORA zich tot TIBER-NL?

TIBER-NL (Threat Intelligence-Based Ethical Red-teaming) is het Nederlandse raamwerk voor geavanceerde penetratietests bij financiële instellingen. DORA (art. 24–27) vereist TLPT voor significante entiteiten en erkent TIBER-EU als compliant raamwerk. Voor Nederlandse instellingen die al TIBER-NL uitvoeren, tellen die tests mee als DORA TLPT, mits ze voldoen aan de technische standaarden.