DORA (Digital Operational Resilience Act) versterkt digitale weerbaarheid in de Europese financiële sector. Banken, verzekeraars, beleggingsondernemingen en kritieke ICT-dienstverleners moeten ICT-risico’s, incidenten, testen en keten aantoonbaar beheersen.
Wat is DORA?
DORA bundelt eisen rond ICT-risicomanagement, incidentrapportage, digitale operationele resilience testing, ketenrisico’s en informatiedeling. Het vult bestaand financieel toezicht aan met expliciete ICT-verwachtingen — vooral waar cloud, SaaS en uitbesteding dominant zijn.
Voor wie relevant?
Financiële entiteiten onder EU-toezicht en organisaties die als critical ICT third-party service provider aan die sector leveren. Ook indirect: leveranciers die via due diligence en contracten DORA-bewijs moeten leveren aan banken en verzekeraars.
Praktische stappen
- Inventariseer kritieke ICT-diensten en subverwerkers — koppel aan je leveranciersbeheer.
- Leg incident- en meldroutes vast (intern én richting toezicht waar van toepassing).
- Plan resilience tests (inclusief scenario’s voor uitval cloud/SaaS).
- Actualiseer contracten: auditrechten, exit, subverwerkers, locatie data.
- Koppel bewijs aan je ISMS en ISO 27001-route waar overlap is.
Relatie met NIS2 en AVG
NIS2 en de Cybersecuritybeveiligingswet raken bredere sectoren; DORA is sectorspecifiek voor finance. Bij persoonsgegevens in incidenten blijft de AVG parallel relevant — stem SOC- en privacyprocessen af.
Zie ook EU hosting en dataopslag voor datalocatie en subverwerkers in cloudcontracten.