Wat zijn de boetes voor DORA-overtredingen?

DORA-boetes kunnen oplopen tot aanzienlijke bedragen, afhankelijk van de ernst van de overtreding en de omvang van uw organisatie. Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) hebben de bevoegdheid om administratieve sancties op te leggen wanneer financiële instellingen niet voldoen aan de vereisten voor digitale operationele weerbaarheid. Het proportionaliteitsbeginsel bepaalt dat de hoogte van boetes afhangt van factoren zoals de duur van de overtreding, de mate van verwijtbaarheid en de impact op de operationele continuïteit.

Welke boetes riskeert uw organisatie bij DORA-overtredingen?

Organisaties die niet voldoen aan DORA riskeren administratieve sancties die toezichthouders kunnen opleggen op basis van het Europese handhavingskader. DNB en AFM beschikken over ruime bevoegdheden om boetes vast te stellen, variërend van waarschuwingen tot substantiële geldstraffen. Het sanctiekader binnen DORA is gebaseerd op het proportionaliteitsbeginsel, wat betekent dat de ernst van de overtreding, de duur ervan en de mate van verwijtbaarheid bepalend zijn voor de uiteindelijke boetehoogte.

De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners. Daarom kunnen ook kritieke derde dienstverleners die IT-diensten leveren aan financiële instellingen worden gesanctioneerd wanneer zij niet voldoen aan de gestelde eisen. Dit omvat cloudcomputingproviders, softwareleveranciers en datacentra die diensten verlenen aan organisaties binnen de financiële sector.

Hoe bepalen toezichthouders de hoogte van DORA-boetes?

Toezichthouders wegen verschillende factoren mee bij het vaststellen van sancties. De omvang van de organisatie speelt een belangrijke rol, evenals de financiële draagkracht, de mate van medewerking tijdens het onderzoek en eventuele recidive. De impact op de operationele weerbaarheid van de financiële sector als geheel weegt eveneens zwaar mee in de beoordeling.

Naast bestuurlijke boetes kunnen toezichthouders andere handhavingsmaatregelen inzetten. Een last onder dwangsom is een veelgebruikt instrument om organisaties te dwingen binnen een bepaalde termijn aan de vereisten te voldoen. Bij een last onder dwangsom betaalt de organisatie een bedrag voor elke dag dat de overtreding voortduurt. Dit kan oplopen tot aanzienlijke bedragen wanneer organisaties niet tijdig actie ondernemen.

De mate waarin processen en documentatie al op orde zijn, beïnvloedt eveneens de beoordeling. Organisaties die kunnen aantonen dat zij actief bezig zijn met compliance, maar nog niet volledig voldoen, worden anders beoordeeld dan organisaties die geen enkele inspanning hebben geleverd.

Welke DORA-overtredingen leiden tot de zwaarste sancties?

De meest ernstige overtredingen betreffen het volledig ontbreken van ICT-risicomanagement. DORA stelt zes hoofdvereisten aan financiële instellingen, waaronder governance, IT-risicobeheer, incidentrapportage, veerkrachttesten, derdenbeheer en informatie-uitwisseling. Het niet inrichten van een IT-risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen, wordt als zeer ernstig beschouwd.

Andere overtredingen die tot hoge sancties leiden:

• Het niet tijdig melden van ICT-incidenten aan de toezichthouder
• Het niet uitvoeren van periodieke weerbaarheidstesten
• Onvoldoende beheer van risico’s bij uitbesteding aan derde partijen
• Het ontbreken van contractuele afspraken die digitale weerbaarheid waarborgen

Het derdenbeheer onder DORA vereist dat financiële instellingen strikt beheer voeren over hun IT-dienstverleners. Uitbestedingsrisico’s moeten worden geïdentificeerd, gemonitord en beheerst om operationele verstoringen te voorkomen. Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf.

Wat is het verschil tussen DORA-boetes en andere financiële toezichtsancties?

Het DORA-sanctieregime sluit aan bij bestaande boetekaders onder de Wet op het financieel toezicht (Wft) en de AVG/GDPR. Een belangrijk verschil is dat DORA specifiek gericht is op digitale operationele weerbaarheid, terwijl de Wft een breder toezichtskader biedt voor de financiële sector. DORA en NIS2 zijn beide EU-wetgevingen gericht op verbetering van cyberveiligheid, waarbij NIS2 geldt voor een breed scala aan sectoren en DORA specifiek voor de financiële sector.

Bij meerdere overtredingen is cumulatie van sancties mogelijk. Een datalek kan bijvoorbeeld zowel onder de AVG als onder DORA vallen, wat kan leiden tot boetes van beide toezichthouders. De afstemming tussen beide wetgevingen voorkomt overlappende of tegenstrijdige vereisten, maar sluit dubbele sanctionering niet uit wanneer verschillende aspecten van dezelfde gebeurtenis worden overtreden.

Het uniforme EU-regelgevingskader dat DORA biedt, vermindert versnippering en dubbele regels door heldere, uniforme eisen in heel Europa. Dit zorgt voor eerlijke concurrentie tussen financiële instellingen en hun IT-leveranciers.

Hoe kunt u DORA-boetes voorkomen binnen uw organisatie?

Proactieve maatregelen zijn essentieel om DORA-boetes te voorkomen. Een nulmeting is een logisch startpunt om vast te stellen in hoeverre DORA daadwerkelijk is geïmplementeerd binnen uw organisatie. DORA vraagt om aantoonbaarheid, niet alleen om beleid. U moet kunnen laten zien dat u in control bent.

Praktische stappen voor compliance omvatten:

• Implementatie van een IT-risicobeheerkader conform DORA-normen
• Het opzetten van incidentmeldingsprocedures voor snelle opsporing en rapportage
• Het uitvoeren van periodieke penetratietests en ethical hacking
• Het documenteren van third-party riskmanagement en contractuele afspraken
• Het actief delen van cyberdreigingsinformatie binnen de sector

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal. Assurance, bijvoorbeeld via een ISAE 3000-verklaring, kan een manier zijn om naleving aantoonbaar te maken richting toezichthouders en ketenpartners.

Hoe helpt Hoek en Blok IT bij het voorkomen van DORA-boetes?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om uw organisatie compliant te maken én te houden.

Concrete dienstverlening gericht op DORA-compliance:

• IT-audits en assurancerapportages: ISAE 3000-verklaringen, ISAE 3402, SOC 2 en ISO 27001 om naleving aantoonbaar te maken
• Securityassessments en penetratietests: periodieke ethical hacking om digitale weerbaarheid te testen
• Ondersteuning bij ICT-risicomanagement: een op maat gemaakt IT-risicobeheerkader dat voldoet aan DORA-normen
• IT Security Officer as a Service: continue ondersteuning bij governance en compliance
• Nulmeting en gapanalyse: vaststellen waar uw organisatie staat en welke stappen nodig zijn

Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe u uw organisatie kunt voorbereiden op de DORA-vereisten zonder onnodige administratieve lasten.