INZICHT · 5 March 2026

DORA: digitale weerbaarheid begint bij eigenaarschap

DORA vraagt geen checklist maar eigenaarschap: bestuurlijke keuzes, leveranciersafspraken, geteste continuïteit en aantoonbaar bewijs bepalen echte digitale weerbaarheid.

DORA vraagt geen checklist. DORA vraagt eigenaarschap. Sinds 17 januari 2025 moeten financiële organisaties aan deze Europese wet voldoen. Veel organisaties hebben het papierwerk op orde. Maar papier stopt geen storing.

Het verschil zit in vier dingen: keuzes van het bestuur, harde afspraken met leveranciers, continuïteit die echt is getest, en bewijs dat u alles kunt laten zien. Wie deze vier op orde heeft, is niet alleen compliant. Die organisatie werkt ook gewoon door als het misgaat.

1. De verschuiving: van IT-afdeling naar bestuurstafel

Vroeger lag IT-risico bij de IT-afdeling. DORA legt het bij het bestuur. Het leidinggevend orgaan is eindverantwoordelijk voor het beheer van ICT-risico. Dat is geen formaliteit. Bestuurders kunnen hierop persoonlijk worden aangesproken door de toezichthouder.

Dat heeft drie gevolgen.

Kennis is niet meer optioneel. DORA verplicht bestuurders om hun kennis over ICT-risico’s op peil te houden. Dat geldt voor het hele bestuur. Niet alleen voor de CIO of CTO.

Iemand moet de leveranciers volgen. Er moet één bestuurder zijn die de relatie met externe ICT-dienstverleners bewaakt. Die rol moet u expliciet beleggen.

Risicobereidheid is een besluit. Het bestuur stelt vast hoeveel ICT-risico de organisatie accepteert. Dat is een keuze, geen technisch detail. En die keuze bepaalt waar het geld heen gaat.

De kernvraag voor het bestuur: welke diensten mogen nooit uitvallen, en hoe lang mogen ze in het uiterste geval uit zijn?

2. Bestuurlijke keuzes: bepaal wat kritiek is

Alles beschermen kan niet. En het hoeft ook niet. DORA werkt met “kritieke of belangrijke functies”. Dat zijn de processen waarbij uitval echte schade geeft: aan klanten, aan de markt, aan uw vergunning.

Die lijst is de basis onder alles wat daarna komt. De lijst bepaalt welke leveranciers extra eisen krijgen. En de lijst bepaalt wat u moet testen.

Toch is dit vaak het zwakste punt. De lijst is dan gemaakt door de IT-afdeling, niet door de business. Of hij staat in een document dat niemand meer opent.

Wat werkt

  • Laat de business bepalen wat kritiek is, niet IT.
  • Koppel elke kritieke functie aan systemen, data én leveranciers.
  • Herzie de lijst minstens één keer per jaar en na elk groot incident.
  • Zorg voor onafhankelijke controle. DORA verwacht een controlefunctie en een auditfunctie die los staan van de uitvoering (het “three lines”-model).

3. Leveranciersafspraken: uw risico blijft uw risico

Veel organisaties zijn zelf goed beveiligd. Toch gaan ze onderuit door een storing bij een leverancier. DORA kijkt daarom scherp naar de keten.

Belangrijk: DORA gaat verder dan klassieke uitbesteding. Het gaat om álle ICT-diensten die u doorlopend afneemt. Ook diensten van bedrijven binnen uw eigen groep.

Wat DORA concreet vraagt:

  • Informatieregister — Een actueel overzicht van alle contracten voor ICT-diensten. Met onderscheid tussen kritiek en niet-kritiek.
  • Contractafspraken — Duidelijke beschrijving van de dienst, locatie van data, serviceniveaus, meldtermijnen, opzegrechten en hulp bij incidenten.
  • Concentratierisico — Weten wat er gebeurt als één grote leverancier wegvalt. Is die vervangbaar? Tegen welke kosten?
  • Exitplan — Een plan om over te stappen zonder de dienstverlening te stoppen. Gedocumenteerd én getest.

Het informatieregister is geen administratieve klus. AFM en DNB vragen het jaarlijks op. Is het onvolledig, dan gaat het terug en moet u opnieuw aanleveren. Europa gebruikt deze registers ook om kritieke ICT-dienstverleners aan te wijzen.

En de uiterste consequentie is stevig: de toezichthouder kan eisen dat u een contract met een onveilige leverancier beëindigt. Kunt u dat niet zonder uw dienstverlening te stoppen, dan hebt u een probleem.

4. Geteste continuïteit: oefenen, niet aannemen

Een herstelplan dat nooit is geoefend, is een aanname. Geen zekerheid.

DORA vraagt een testprogramma dat past bij uw risicoprofiel. Denk aan kwetsbaarhedenscans, end-to-end-tests en penetratietests. Minimaal jaarlijks, en extra bij grote veranderingen. De testers moeten onafhankelijk zijn.

Voor grotere en meer risicovolle instellingen komt daar de zwaarste test bij: de TLPT (threat-led penetration test). Daarbij bootsen ethische hackers na wat echte aanvallers doen. Eens per drie jaar, op de live productieomgeving, onder begeleiding van AFM of DNB. Het eigen beveiligingsteam weet van niets. Alleen zo test u wat er echt gebeurt.

Onderschat de inspanning niet. Een TLPT duurt maanden en vraagt mensen en budget. Zie de test niet als examen, maar als leermoment. Een test zonder bevindingen is meestal een test die te makkelijk was.

Vier vragen om uw testaanpak te toetsen

  • Testen we op de echte omgeving, of alleen op een testomgeving?
  • Zitten onze belangrijkste leveranciers in de scope?
  • Oefenen we ook het herstel, of alleen de aanval?
  • Wat is er verbeterd na de vorige test? Kunt u dat aanwijzen?

5. Aantoonbaar bewijs: kunnen laten zien wat u doet

DORA verschuift de vraag. Niet: “Zijn we veilig?” Maar: “Kunnen we bewijzen dat we in control zijn?”

De toezichthouder kan verplichte rapportages op elk moment opvragen. Dat betekent dat uw bewijs continu op orde moet zijn. Niet pas als er een verzoek komt.

Wat u paraat moet hebben

  • Het risicobeheerkader, jaarlijks geëvalueerd en na ernstige incidenten.
  • Besluiten van het bestuur, met datum en onderbouwing.
  • Het volledige informatieregister.
  • Testrapporten en de opvolging van bevindingen.
  • Een incidentenoverzicht, inclusief meldingen aan de toezichthouder.
  • Bewijs van opleiding en bewustwording, ook voor het bestuur.

Praktische tip: leg bewijs vast op het moment dat het ontstaat. Bewijs achteraf reconstrueren kost drie keer zoveel tijd en overtuigt zelden.

6. Waar het meestal misgaat

  • Beleid zonder werking. Het document is er, de praktijk wijkt af.
  • Een register dat veroudert. Nieuwe contracten worden niet toegevoegd.
  • Exitplannen op papier. Nooit getest, dus onbekend of ze werken.
  • DORA als IT-project. Zonder eigenaar in het bestuur zakt het weg.
  • Wachten op duidelijkheid. Wie wacht op de laatste details, loopt achter.

7. Uw agenda voor de komende maanden

Eerste 30 dagen

  • Stel vast wie in het bestuur eigenaar is van DORA en van de leveranciersrelaties.
  • Controleer of de lijst met kritieke functies actueel en door de business gedragen is.

Dag 30 tot 60

  • Toets het informatieregister op volledigheid. Vul de gaten.
  • Bepaal per kritieke leverancier: hoe vervangbaar is die partij?

Dag 60 tot 90

  • Plan een oefening van één exitplan en één herstelscenario.
  • Richt uw bewijsdossier in: wie levert wat, hoe vaak, waar staat het?

Tot slot

DORA is streng, maar niet onredelijk. De wet vraagt wat u als organisatie zelf zou willen weten: wat is echt belangrijk, van wie zijn we afhankelijk, wat gebeurt er als het misgaat, en kunnen we dat laten zien?

De organisaties die dit goed doen, zien DORA niet als last. Zij gebruiken het om gaten te dichten tussen beleid en praktijk. Dat begint niet bij een checklist. Dat begint bij eigenaarschap aan de bestuurstafel.

— Laten we praten —

Dit vraagstuk verder bespreken?

Van bestuurlijke AI-vraag tot DORA, SIRA, BCM of hersteltraject: plan een vrijblijvend gesprek met een specialist.