Misschien ben je geen bank, verzekeraar of financiële instelling. Toch kan DORA ineens op je bord belanden.
Niet omdat je organisatie rechtstreeks onder de verordening valt, maar omdat een klant in de financiële sector wil weten hoe jij omgaat met ICT-risico’s, incidenten, continuïteit en leveranciers. Zeker wanneer je ICT-diensten levert, SaaS aanbiedt, gevoelige informatie verwerkt of onderdeel bent van een digitale keten, kan DORA indirect heel relevant worden.
Veel organisaties zoeken dan niet naar een juridische uitleg van Europese regelgeving. Ze willen vooral weten: moeten wij hier iets mee? En zo ja, wat moeten we praktisch kunnen aantonen?
In deze blog leggen we uit wat DORA is, voor wie de verordening rechtstreeks geldt, wanneer je als leverancier indirect geraakt kunt worden en hoe je je organisatie voorbereidt op DORA-vragen van klanten.
Wat is DORA in gewone taal?
DORA staat voor de Digital Operational Resilience Act. Het is een Europese verordening die financiële organisaties verplicht om digitaal weerbaar te zijn.
Dat gaat verder dan alleen cybersecurity. Natuurlijk speelt beveiliging een belangrijke rol, maar DORA kijkt breder. Een organisatie moet niet alleen proberen incidenten te voorkomen, maar ook kunnen aantonen dat zij verstoringen tijdig herkent, schade beperkt en herstel organiseert.
In gewone taal draait DORA om de vraag: kan een financiële organisatie blijven functioneren als digitale processen onder druk komen te staan?
Denk aan situaties zoals een cyberaanval, langdurige systeemuitval, een storing bij een cloudleverancier, problemen bij een softwarepartner of een incident waardoor klantdata of financiële processen geraakt worden. DORA verplicht financiële organisaties om ICT-risico’s structureel te beheersen, passende maatregelen te nemen, incidenten zorgvuldig af te handelen en afhankelijkheden van ICT-leveranciers inzichtelijk te houden.
Belangrijk daarbij: DORA is geen algemene cybersecuritywet voor elk bedrijf. De verordening is primair gericht op de financiële sector. Omdat financiële organisaties sterk afhankelijk zijn van ICT-leveranciers, SaaS-platformen, cloudomgevingen en andere ketenpartners, werkt DORA in de praktijk wel breder door.
Voor wie geldt DORA rechtstreeks?
DORA geldt rechtstreeks voor veel financiële entiteiten. Denk aan banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, aanbieders van cryptoactivadiensten en andere gereguleerde financiële partijen.
Daarnaast introduceert DORA een Europees oversight framework voor ICT-dienstverleners die als kritiek voor de financiële sector worden aangemerkt. Dat betekent niet dat iedere softwareleverancier of ICT-dienstverlener automatisch onder volledig DORA-toezicht valt. Het gaat om specifieke aanbieders die als kritisch worden aangemerkt.
Voor de meeste leveranciers en dienstverleners zal de impact vooral via klanten en contracten lopen. Als je zelf niet onder de financiële sector valt, betekent dat dus niet automatisch dat DORA irrelevant is. Zodra je levert aan financiële organisaties, kan je klant verplicht zijn om jouw rol in de keten beter te beoordelen en vast te leggen.
Wanneer raakt DORA jouw organisatie indirect?
Voor leveranciers zit de relevantie vaak in ketenwerking. Je klant moet aantonen dat digitale risico’s en afhankelijkheden beheerst worden. Daardoor kunnen vragen bij jou terechtkomen.
Je levert ICT of SaaS aan een financiële klant
Lever je software, hosting, beheer, support of andere ICT-diensten aan een bank, verzekeraar, pensioenpartij, fintech of administratieve dienstverlener in de financiële keten? Dan kan jouw dienstverlening relevant zijn voor hun digitale weerbaarheid.
Zeker wanneer jouw dienst belangrijk is voor operationele processen, klantbediening, financiële transacties, rapportages of informatieverwerking, zal je klant willen weten hoe betrouwbaar jouw organisatie is ingericht.
Dat kan leiden tot vragen over beveiliging, beschikbaarheid, incidentafhandeling, back-ups, herstelafspraken en onderaannemers.
Je verwerkt of beheert gevoelige informatie
Ook wanneer je geen kernsysteem levert, kun je relevant zijn. Bijvoorbeeld wanneer je toegang hebt tot klantdata, financiële data, gebruikersaccounts, rapportages of operationele informatie.
Voor een financiële organisatie is het niet alleen belangrijk of een leverancier technisch kritisch is. Ook de gevoeligheid van de informatie en de mogelijke impact van een incident tellen mee.
Ook een leverancier met een beperkte rol kan daardoor onderdeel zijn van een groter risicobeeld.
Je klant vraagt om aantoonbaarheid
DORA zorgt ervoor dat financiële organisaties meer aandacht moeten geven aan bewijs. Niet alleen: “we hebben beveiliging geregeld”, maar: “waar blijkt dat uit?”
Dat werkt door naar leveranciers. Klanten kunnen vragen stellen over je ICT-risico’s, incidentproces, continuïteitsafspraken, leveranciersbeheer en opvolging van verbetermaatregelen.
Dit zijn geen vreemde vragen. Ze passen bij een volwassen manier van kijken naar digitale weerbaarheid.
Je bent onderdeel van een leveranciersketen
Veel organisaties leveren niet alleen zelf een dienst, maar zijn ook afhankelijk van anderen. Denk aan cloudproviders, hostingpartijen, externe beheerders, softwarecomponenten, supportpartners of datacenters.
Als jouw klant onder DORA valt, wil die klant niet alleen weten wat jij zelf doet. De klant wil ook begrijpen waar jij weer afhankelijk van bent. Daarmee verschuift de aandacht van losse leverancier naar ketenrisico.
Dat vraagt niet om perfectie. Het vraagt wel dat je kunt uitleggen hoe je afhankelijkheden kent, beoordeelt en opvolgt.
Welke onderwerpen komen bij DORA steeds terug?
DORA kent meerdere onderdelen, maar in klantvragen zie je vaak dezelfde thema’s terugkomen. Het helpt om die praktisch te vertalen naar je eigen organisatie.
ICT-risicomanagement
De basisvraag is eenvoudig: welke digitale risico’s kunnen jouw dienstverlening verstoren?
Denk aan uitval van systemen, ransomware, datalekken, ongeautoriseerde toegang, afhankelijkheid van één cloudleverancier, kwetsbaarheden in software of onvoldoende beheer van gebruikersrechten.
Daarvoor heb je niet meteen een omvangrijk risicoprogramma nodig. Maar je moet wel kunnen laten zien dat je de belangrijkste risico’s kent, beoordeelt en koppelt aan maatregelen.
Een risico-overzicht zonder opvolging is daarbij niet genoeg. Het gaat er juist om dat duidelijk is welke risico’s prioriteit hebben, wie eigenaar is en wat er gebeurt om ze te beperken.
Incidentbeheer
Incidenten zijn onvermijdelijk. De vraag is vooral hoe je ermee omgaat.
Kun je incidenten centraal registreren? Kun je beoordelen wat de impact is? Is duidelijk wie actie moet nemen? Worden oorzaken onderzocht? En worden verbetermaatregelen vastgelegd?
Als leverancier krijg je meestal niet dezelfde meldplicht als je financiële klant. Maar je klant kan wel van jou verwachten dat je incidenten tijdig herkent, vastlegt en informatie kunt aanleveren wanneer jouw dienstverlening impact heeft op hun processen.
Incidentbeheer gaat dus niet alleen over oplossen. Het gaat ook over aantonen wat er is gebeurd, welke keuzes zijn gemaakt en wat je hebt geleerd.
Continuïteit en herstel
Digitale weerbaarheid betekent dat je nadenkt over verstoringen voordat ze plaatsvinden.
Denk aan de beschikbaarheid van je applicatie, kritieke systemen, herstelafspraken, besluitvorming bij verstoringen en het testen van back-ups. Voor veel organisaties bestaat continuïteit vooral impliciet. Iedereen weet ongeveer wat er moet gebeuren als iets misgaat.
Dat werkt zolang de verstoring klein blijft. Zodra de druk toeneemt, wil je niet afhankelijk zijn van geheugen en improvisatie.
Een beknopt continuïteitsplan, duidelijke herstelafspraken en periodieke tests geven veel meer rust.
Testen van weerbaarheid
Een plan is pas waardevol als je weet dat het werkt.
DORA legt bij financiële organisaties nadruk op het testen van digitale operationele weerbaarheid. Voor leveranciers betekent dit niet automatisch dat zij dezelfde zware testverplichtingen hebben. Klanten kunnen wel vragen hoe jij controleert of maatregelen effectief zijn.
Dat kan praktisch blijven. Denk aan hersteltests, scenario-oefeningen, technische controles, periodieke evaluaties of interne audits. Het belangrijkste is dat maatregelen niet alleen beschreven zijn, maar ook aantoonbaar worden gecontroleerd.
Leveranciersbeheer
Leveranciersbeheer is een belangrijk onderdeel van digitale weerbaarheid. Zeker bij ICT-diensten is vrijwel niemand volledig zelfstandig.
Gebruik je externe hosting? Draait je applicatie op een cloudplatform? Maak je gebruik van externe ontwikkelaars, supportpartijen of softwarecomponenten? Dan moet je kunnen uitleggen hoe je die afhankelijkheden beheerst.
Dat betekent niet dat je iedere leverancier volledig moet auditen. Wel wil je weten welke leveranciers kritisch zijn, welke afspraken zijn gemaakt, welke risico’s bestaan en wanneer je opnieuw beoordeelt of de samenwerking nog passend is.
Wat betekent dit praktisch voor jouw organisatie?
Voor veel organisaties is de belangrijkste conclusie: begin niet bij een zwaar programma, maar bij structuur.
Als je niet rechtstreeks onder DORA valt, hoef je meestal geen volledige DORA-implementatie op te tuigen. Wat je wél nodig hebt, is een praktische basis waarmee je klantvragen goed kunt beantwoorden.
Die basis begint bij inzicht in je belangrijkste ICT-risico’s. Welke diensten zijn kritisch voor klanten? Welke systemen, leveranciers of toegangsrechten spelen daarin een rol? Welke maatregelen zijn genomen? Wie is verantwoordelijk voor opvolging? En kun je bij een klantvraag snel laten zien hoe dit is georganiseerd?
Daar zit de kern.
DORA raakt veel leveranciers niet als directe wettelijke verplichting, maar als volwassenheidsvraag vanuit de keten. Klanten willen niet alleen vertrouwen op goede bedoelingen. Ze willen kunnen zien dat risico’s, incidenten, continuïteit en leveranciers serieus worden beheerd.
Dat hoeft niet zwaar te zijn. Maar het moet wel uitlegbaar zijn.
Hoe verhoudt DORA zich tot ISO 27001 en NIS2?
DORA wordt vaak in één adem genoemd met ISO 27001 en NIS2. Dat is begrijpelijk, want alle drie raken aan informatiebeveiliging, risicobeheer en continuïteit. Toch zijn het verschillende dingen.
ISO 27001 is een internationale norm voor het opzetten en onderhouden van een managementsysteem voor informatiebeveiliging. De norm helpt je om risico’s te beoordelen, maatregelen te kiezen, interne audits uit te voeren en continu te verbeteren.
Heb je ISO 27001 goed ingericht, dan heb je een sterke basis voor veel DORA-gerelateerde klantvragen. Je kunt dan vaak al laten zien hoe je informatiebeveiligingsrisico’s beheerst, hoe je maatregelen opvolgt en hoe je verbetering borgt.
Maar ISO 27001 is niet hetzelfde als DORA. DORA is specifieker gericht op digitale operationele weerbaarheid in de financiële sector. Thema’s zoals incidentrapportage, testen van weerbaarheid en ICT-risico’s bij derde partijen krijgen binnen DORA een specifieke context.
NIS2 is Europese cybersecuritywetgeving die zich richt op essentiële en belangrijke entiteiten in meerdere sectoren. De richtlijn is breder dan de financiële sector en raakt onder meer sectoren zoals energie, zorg, digitale infrastructuur, transport en bepaalde digitale diensten.
Praktisch gezegd: ISO 27001 helpt je informatiebeveiliging structureel te organiseren. NIS2 legt cybersecurityverplichtingen op aan bepaalde sectoren. DORA kijkt specifiek naar digitale weerbaarheid in en rond de financiële sector.
Voor leveranciers aan financiële klanten is vooral de combinatie relevant. Een klant kan vragen stellen die voortkomen uit DORA, terwijl jouw antwoord deels gebaseerd is op ISO 27001, je ISMS, je incidentproces, je continuïteitsafspraken en je leveranciersbeheer.
Waar begin je als je DORA-vragen van klanten verwacht?
De beste voorbereiding is niet om meteen een juridische analyse te starten. Begin met je positie in de keten.
Maak eerst inzichtelijk welke klanten actief zijn in de financiële sector. Kijk daarna welke diensten je aan hen levert en hoe belangrijk die diensten zijn voor hun processen.
Lever je een kritisch systeem, verwerk je gevoelige informatie of ondersteun je operationele processen? Dan zal een financiële klant sneller willen begrijpen hoe jouw dienstverlening is ingericht en hoe afhankelijkheden worden beheerst.
Daarna breng je ICT-risico’s en afhankelijkheden in kaart. Kijk niet alleen naar je eigen software of systemen, maar ook naar hosting, cloud, support, onderaannemers, toegangsbeheer en beheerprocessen. Het doel is niet om elk denkbaar risico te beschrijven. Het doel is om de belangrijkste risico’s zichtbaar te maken en te bepalen welke maatregelen daarbij horen.
Richt vervolgens incidentbeheer aantoonbaar in. Leg vast hoe incidenten worden gemeld, geregistreerd, beoordeeld en opgevolgd. Zorg dat duidelijk is wie verantwoordelijk is en hoe je leert van terugkerende incidenten.
Ook continuïteit verdient aandacht. Bepaal welke diensten kritisch zijn, welke verstoringen grote impact kunnen hebben en hoe herstel georganiseerd is. Denk aan back-ups, hersteldoelen, verantwoordelijkheden, communicatie en testmomenten.
Tot slot: voorkom dat bewijsvoering een aparte papierberg wordt. Veel organisaties schieten door zodra klanten om bewijs vragen. Er ontstaan mappen vol documenten, losse screenshots, exports, Excelbestanden en beleidsstukken. Dat lijkt volledig, maar maakt het vaak juist lastiger om snel antwoord te geven.
Beter is een centrale structuur waarin risico’s, maatregelen, incidenten, leveranciers en verbeteracties logisch samenkomen. Dan ontstaat bewijs als onderdeel van je normale manier van werken, in plaats van als stressvolle verzameling achteraf.
Wanneer is tooling zinvol?
Tooling wordt zinvol wanneer je merkt dat de informatie die nodig is voor digitale weerbaarheid te verspreid raakt.
Risico’s staan in losse Excelbestanden. Incidenten worden via e-mail opgevolgd. Leveranciersinformatie staat verspreid over mappen. Verbeteracties blijven liggen. Klantvragen kosten telkens opnieuw veel handwerk. Audits of assurancevragen zorgen voor onrust omdat bewijs achteraf bij elkaar gezocht moet worden.
Dat zijn signalen dat structuur nodig is.
Belangrijk is wel om tooling niet te overschatten. Een systeem maakt je niet automatisch DORA-proof. Tooling vervangt geen keuzes, geen eigenaarschap en geen goed gesprek over risico’s.
Wat goede tooling wél doet, is helpen om informatie gestructureerd vast te leggen, op te volgen en uit te leggen. Juist voor organisaties waar compliance naast de dagelijkse operatie wordt opgepakt, is dat waardevol. Niet omdat je een zwaar enterprise-platform nodig hebt, maar omdat je voldoende structuur wilt om aantoonbaar grip te houden.
Met CompliTrack kun je risico’s, incidenten, maatregelen, leveranciers en verbeteracties samenbrengen in één praktisch systeem. Daardoor wordt het eenvoudiger om klantvragen te beantwoorden, audits voor te bereiden en continuïteit aantoonbaar te organiseren.
Conclusie
DORA geldt niet voor iedere organisatie rechtstreeks. Maar wie levert aan financiële organisaties, ICT-diensten ondersteunt of onderdeel is van een digitale keten, kan wel degelijk met DORA-vragen te maken krijgen.
De kern is niet dat je meteen een groot complianceprogramma moet starten. De kern is dat je moet kunnen uitleggen hoe je digitale risico’s, incidenten, continuïteit en leveranciers beheerst.
Voor veel organisaties begint dat niet bij juridische complexiteit, maar bij praktische structuur. Weet wat je levert, welke risico’s daarbij horen, welke maatregelen zijn genomen en hoe je opvolging aantoonbaar maakt.
Juist dan wordt DORA geen paniekdossier, maar een logische aanleiding om digitale weerbaarheid beter te organiseren.
Verder lezen
Wil je dieper ingaan op de thema’s uit deze blog? Deze artikelen sluiten goed aan:
ISO 27001 Continuïteitsplan: Zo blijft jouw bedrijf draaien
Over continuïteit, herstelmaatregelen en het voorbereiden van je organisatie op verstoringen.
ISO 27001 en NIS2: Hoe risicobeheer helpt bij cyberweerbaarheid
Over risicobeheer, incidentrespons, leveranciersrisico’s en de samenhang tussen informatiebeveiliging en compliance.
Van incident naar verbetering: Hoe organisaties incidentbeheer optimaliseren met GRC-software
Over het registreren, opvolgen en structureel verbeteren naar aanleiding van incidenten.
De risicoanalyse: Een onmisbaar instrument voor elke ondernemer
Over het praktisch in kaart brengen, beoordelen en opvolgen van risico’s zonder onnodige complexiteit.
Ontdek hoe CompliTrack helpt bij digitale weerbaarheid
Krijg je steeds vaker vragen over digitale weerbaarheid, continuïteit of leveranciersbeheer?
Met CompliTrack breng je risico’s, incidenten, maatregelen en leveranciers samen in één praktisch systeem. Geen zware enterpriseoplossing, maar voldoende structuur om aantoonbaar grip te houden.