Valt mijn organisatie onder DORA? Zo bepaal je of je in scope bent
Of jouw organisatie onder DORA valt, hangt af van de aard van je activiteiten en je positie binnen de financiële sector. De Digital Operational Resilience Act is van toepassing op financiële instellingen zoals banken, verzekeraars en beleggingsondernemingen, maar ook op kritieke ICT-dienstverleners die deze sector bedienen. Sinds 17 januari 2025 geldt de DORA-verordening direct in alle EU-lidstaten. In dit artikel beantwoorden we de belangrijkste vragen over het DORA-toepassingsgebied en helpen we je bepalen of jouw organisatie in scope is.
Wat is DORA en voor welke organisaties geldt deze verordening?
DORA is een Europese verordening die de digitale operationele weerbaarheid van de financiële sector versterkt. De wetgeving verplicht financiële instellingen en hun IT-dienstverleners om de beveiliging van netwerk- en informatiesystemen te verbeteren en beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken.
Het DORA-toepassingsgebied omvat een breed scala aan organisaties binnen de financiële sector. Hieronder vallen onder meer:
- Banken en kredietinstellingen
- Verzekeraars en herverzekeraars
- Beleggingsondernemingen
- Betalingsinstellingen en elektronische geldinstellingen
- Beheerders van alternatieve beleggingsfondsen
- Instellingen voor collectieve belegging in effecten
- Kritieke ICT-dienstverleners aan de financiële sector
De DORA-regelgeving heeft in Nederland directe werking, wat betekent dat organisaties die binnen de scope vallen, zonder nationale omzetting aan de verplichtingen moeten voldoen. Het doel is een uniform beschermingsniveau te creëren binnen de Europese financiële sector.
Welke specifieke criteria bepalen of je organisatie in scope is voor DORA?
De DORA-criteria zijn vastgelegd in de verordening en benoemen expliciet 21 categorieën financiële entiteiten die onder de wetgeving vallen. Of jouw organisatie in scope is, hangt primair af van de vraag of je activiteiten onder een van deze categorieën vallen en of je onder EU-financiële regelgeving opereert.
De belangrijkste vraag die je moet beantwoorden, is: valt mijn organisatie onder DORA op basis van de primaire bedrijfsactiviteiten? Elke organisatie die financiële diensten verleent onder EU-toezicht, moet haar IT-systemen, processen en uitbestedingsrelaties aanpassen aan de DORA-vereisten.
Het proportionaliteitsbeginsel speelt een belangrijke rol bij de invulling van de verplichtingen. Dit betekent dat de omvang, complexiteit en het risicoprofiel van je organisatie bepalen hoe uitgebreid je aan de eisen moet voldoen. Kleinere organisaties met minder complexe IT-omgevingen hebben doorgaans minder uitgebreide verplichtingen dan grote, systeemrelevante instellingen.
Vallen ICT-dienstverleners en leveranciers ook onder DORA?
ICT-dienstverleners kunnen zowel direct als indirect onder DORA vallen. Kritieke derde aanbieders die IT-diensten leveren aan financiële instellingen, worden direct gereguleerd via een specifiek toezichtkader. Dit betreft met mate cloudcomputingproviders, softwareleveranciers en datacentra die kritieke of belangrijke functies ondersteunen voor de financiële sector.
De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom een rol spelen in de digitale weerbaarheid van de financiële sector. IT-serviceorganisaties moeten hun beveiligingsmaatregelen en operationele processen aanpassen om te voldoen aan de DORA-eisen.
Niet-kritieke leveranciers worden indirect geraakt via contractuele eisen. Financiële instellingen moeten namelijk een register van uitbestedingsovereenkomsten bijhouden en contractuele afspraken maken die digitale weerbaarheid waarborgen. Dit betekent dat ook leveranciers die niet als kritiek worden aangewezen, aan strengere eisen moeten voldoen via de contracten met hun klanten in de financiële sector.
Welke organisaties zijn uitgezonderd van DORA?
De DORA-uitzonderingen zijn beperkt en zorgvuldig gedefinieerd in de verordening. Kleine ondernemingen die onder bepaalde drempelwaarden vallen, kunnen in aanmerking komen voor verlichte verplichtingen. Dit geldt bijvoorbeeld voor micro-ondernemingen met minder dan 10 werknemers en een jaaromzet onder de 2 miljoen euro.
Specifieke categorieën financiële instellingen kennen eveneens uitzonderingen of verlichte regimes. Denk hierbij aan bepaalde pensioenfondsen of instellingen met een zeer beperkt risicoprofiel. Het proportionaliteitsbeginsel zorgt ervoor dat kleinere entiteiten niet dezelfde uitgebreide verplichtingen hebben als grote, complexe organisaties.
Wees voorzichtig met het aannemen dat jouw organisatie is uitgezonderd. De uitzonderingen zijn eng geformuleerd en vereisen een zorgvuldige juridische analyse. Wanneer je twijfelt of je organisatie onder een uitzondering valt, is het verstandig om dit te laten toetsen door een specialist.
Hoe bepaal je stap voor stap of jouw organisatie onder DORA valt?
Het bepalen van je DORA-scope vereist een systematische aanpak. Gebruik onderstaande stappen om te beoordelen of jouw organisatie onder de verordening valt en documenteer je analyse voor compliance-doeleinden.
Stap 1: Identificeer je primaire activiteiten
Vergelijk je activiteiten met de categorieën financiële entiteiten die expliciet in DORA worden genoemd. Valt je organisatie onder een van deze categorieën?
Stap 3: Beoordeel eventuele uitzonderingen
Lever je IT-diensten aan financiële instellingen? Bepaal of je als kritieke derde aanbieder wordt aangemerkt of indirect via contractuele eisen wordt geraakt.
Documenteer elke stap van je analyse. Deze documentatie is waardevol voor eventuele vragen van toezichthouders en vormt de basis voor je verdere DORA-compliancetraject.
Wat zijn de gevolgen als je wel onder DORA valt maar niet compliant bent?
Non-compliance met DORA kan leiden tot aanzienlijke sancties en operationele consequenties. In Nederland houden DNB en AFM toezicht op de naleving van de DORA-verplichtingen voor financiële instellingen onder hun toezicht. Deze toezichthouders beschikken over handhavingsbevoegdheden die variëren van waarschuwingen tot boetes.
Naast formele sancties brengt non-compliance ook reputatierisico’s met zich mee. Klanten en zakelijke partners verwachten dat financiële instellingen hun ICT-risicobeheer volgens DORA op orde hebben. Een incident dat voortkomt uit gebrekkige digitale weerbaarheid kan het vertrouwen in je organisatie ernstig schaden.
De operationele consequenties zijn eveneens substantieel. Zonder adequate maatregelen voor incidentrapportage, veerkrachttesten en derdenbeheer loop je een verhoogd risico op verstoringen die je bedrijfscontinuïteit bedreigen. DORA-compliance is daarom niet alleen een wettelijke verplichting, maar ook een investering in de operationele stabiliteit van je organisatie.
Hoe helpt Hoek en Blok IT bij het bepalen van je DORA-scope en compliance?
Hoek en Blok IT ondersteunt organisaties bij elke stap van hun DORA-traject, van scope-analyse tot volledige implementatie. Met NOREA-gecertificeerde EDP-auditors en een pragmatische aanpak helpen wij je efficiënt te voldoen aan de vereisten, zonder onnodige administratieve lasten.
Onze dienstverlening omvat:
- DORA-scope-analyse: bepalen of en in welke mate jouw organisatie onder DORA valt
- Gap-assessment: grondige analyse van huidige maatregelen versus DORA-vereisten
- Op maat gemaakt ICT-risicobeheerkader: ontwikkeling conform DORA-normen en aansluitend bij je organisatiespecifieke situatie
- Implementatieondersteuning: begeleiding bij incidentrapportage, veerkrachttesten en derdenbeheer
- IT Security Officer as a Service: doorlopende ondersteuning bij het waarborgen van compliance
Wil je weten of jouw organisatie onder DORA valt en wat dit concreet betekent voor je bedrijfsvoering? Neem contact op voor een vrijblijvend gesprek waarin we je situatie bespreken en de eerste stappen naar compliance in kaart brengen.
