DORA vraagt geen checklist maar eigenaarschap: bestuurlijke keuzes, leveranciersafspraken, geteste continuïteit en aantoonbaar bewijs bepalen echte digitale weerbaarheid.
DORA vraagt geen checklist. DORA vraagt eigenaarschap. Sinds 17 januari 2025 moeten financiële organisaties aan deze Europese wet voldoen. Veel organisaties hebben het papierwerk op orde. Maar papier stopt geen storing.
Het verschil zit in vier dingen: keuzes van het bestuur, harde afspraken met leveranciers, continuïteit die echt is getest, en bewijs dat u alles kunt laten zien. Wie deze vier op orde heeft, is niet alleen compliant. Die organisatie werkt ook gewoon door als het misgaat.
Vroeger lag IT-risico bij de IT-afdeling. DORA legt het bij het bestuur. Het leidinggevend orgaan is eindverantwoordelijk voor het beheer van ICT-risico. Dat is geen formaliteit. Bestuurders kunnen hierop persoonlijk worden aangesproken door de toezichthouder.
Dat heeft drie gevolgen.
Kennis is niet meer optioneel. DORA verplicht bestuurders om hun kennis over ICT-risico’s op peil te houden. Dat geldt voor het hele bestuur. Niet alleen voor de CIO of CTO.
Iemand moet de leveranciers volgen. Er moet één bestuurder zijn die de relatie met externe ICT-dienstverleners bewaakt. Die rol moet u expliciet beleggen.
Risicobereidheid is een besluit. Het bestuur stelt vast hoeveel ICT-risico de organisatie accepteert. Dat is een keuze, geen technisch detail. En die keuze bepaalt waar het geld heen gaat.
De kernvraag voor het bestuur: welke diensten mogen nooit uitvallen, en hoe lang mogen ze in het uiterste geval uit zijn?
Alles beschermen kan niet. En het hoeft ook niet. DORA werkt met “kritieke of belangrijke functies”. Dat zijn de processen waarbij uitval echte schade geeft: aan klanten, aan de markt, aan uw vergunning.
Die lijst is de basis onder alles wat daarna komt. De lijst bepaalt welke leveranciers extra eisen krijgen. En de lijst bepaalt wat u moet testen.
Toch is dit vaak het zwakste punt. De lijst is dan gemaakt door de IT-afdeling, niet door de business. Of hij staat in een document dat niemand meer opent.
Veel organisaties zijn zelf goed beveiligd. Toch gaan ze onderuit door een storing bij een leverancier. DORA kijkt daarom scherp naar de keten.
Belangrijk: DORA gaat verder dan klassieke uitbesteding. Het gaat om álle ICT-diensten die u doorlopend afneemt. Ook diensten van bedrijven binnen uw eigen groep.
Wat DORA concreet vraagt:
Het informatieregister is geen administratieve klus. AFM en DNB vragen het jaarlijks op. Is het onvolledig, dan gaat het terug en moet u opnieuw aanleveren. Europa gebruikt deze registers ook om kritieke ICT-dienstverleners aan te wijzen.
En de uiterste consequentie is stevig: de toezichthouder kan eisen dat u een contract met een onveilige leverancier beëindigt. Kunt u dat niet zonder uw dienstverlening te stoppen, dan hebt u een probleem.
Een herstelplan dat nooit is geoefend, is een aanname. Geen zekerheid.
DORA vraagt een testprogramma dat past bij uw risicoprofiel. Denk aan kwetsbaarhedenscans, end-to-end-tests en penetratietests. Minimaal jaarlijks, en extra bij grote veranderingen. De testers moeten onafhankelijk zijn.
Voor grotere en meer risicovolle instellingen komt daar de zwaarste test bij: de TLPT (threat-led penetration test). Daarbij bootsen ethische hackers na wat echte aanvallers doen. Eens per drie jaar, op de live productieomgeving, onder begeleiding van AFM of DNB. Het eigen beveiligingsteam weet van niets. Alleen zo test u wat er echt gebeurt.
Onderschat de inspanning niet. Een TLPT duurt maanden en vraagt mensen en budget. Zie de test niet als examen, maar als leermoment. Een test zonder bevindingen is meestal een test die te makkelijk was.
DORA verschuift de vraag. Niet: “Zijn we veilig?” Maar: “Kunnen we bewijzen dat we in control zijn?”
De toezichthouder kan verplichte rapportages op elk moment opvragen. Dat betekent dat uw bewijs continu op orde moet zijn. Niet pas als er een verzoek komt.
Praktische tip: leg bewijs vast op het moment dat het ontstaat. Bewijs achteraf reconstrueren kost drie keer zoveel tijd en overtuigt zelden.
DORA is streng, maar niet onredelijk. De wet vraagt wat u als organisatie zelf zou willen weten: wat is echt belangrijk, van wie zijn we afhankelijk, wat gebeurt er als het misgaat, en kunnen we dat laten zien?
De organisaties die dit goed doen, zien DORA niet als last. Zij gebruiken het om gaten te dichten tussen beleid en praktijk. Dat begint niet bij een checklist. Dat begint bij eigenaarschap aan de bestuurstafel.
Van bestuurlijke AI-vraag tot DORA, SIRA, BCM of hersteltraject: plan een vrijblijvend gesprek met een specialist.