Jarenlang was cyberbeveiliging in de financiële sector vooral een kwestie van richtlijnen van toezichthouders, interne beleidslijnen en best practices. Iedereen was het er over eens dat ze belangrijk waren, maar omdat ze verspreid lagen over verschillende kaders en toezichthouders, was er veel onduidelijkheid. En ze werkten gewoon niet goed genoeg.
Sinds januari 2025 is dat gelukkig anders. Sindsdien is de Digital Operational Resilience Act (DORA) van kracht en geldt die voor een hele reeks financiële entiteiten in de Europese Unie. Denk aan banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen, aanbieders van cryptoactivadiensten en vele anderen. Al die verschillende instellingen delen nu één gemeenschappelijk regelboek voor het beheer van digitale risico’s.
Tegelijk legt NIS2 de lat voor cyberbeveiliging hoger in een veel breder scala aan sectoren. Van energie en gezondheidszorg tot digitale infrastructuur en overheid.
Twee Europese regelgevingen, allebei gericht op weerbaarheid. Waarin ligt dan precies het verschil? Welke is van toepassing op jouw organisatie? En wat betekent het voor jou als ICT-leverancier voor de financiële sector?
1. Van cyberbeveiliging naar operationele weerbaarheid
DORA vertrekt van een eenvoudige vaststelling: financiële diensten zijn digitale diensten geworden.
- Betalingen
- Trading
- Schadeafhandeling
- Klantonboarding
- …
Bijna elk kritiek proces hangt af van ICT-systemen, netwerken, cloudplatformen en externe leveranciers. Een storing in een van die schakels heeft al snel grote gevolgen. Valt een van die schakels weg, dan voelen klanten en markten dat meteen. In het ergste geval staat zelfs de hele financiële stabiliteit op het spel.
Daarom kijkt DORA niet alleen of een organisatie beschermd is tegen cyberaanvallen. De regelgeving stelt een bredere vraag:
“Kun je je kritieke diensten blijven leveren als er iets misgaat?”
De focus verschuift van preventie alleen naar het vermogen om verstoringen te doorstaan én er vlot van te herstellen. Of het nu gaat om een cyberaanval, een technische storing of een probleem bij een externe leverancier.
De zes pijlers van DORA
DORA steunt op zes pijlers.
- ICT-risicobeheer: een vast, gedocumenteerd kader, goedgekeurd door het leidinggevend orgaan. Met als doel dreigingen snel te identificeren en detecteren en erop reageren. Om zo de organisatie te beschermen en vlot te kunne herstellen.
- Beheer en melding van ICT-gerelateerde incidenten: incidenten classificeren en ernstige incidenten melden aan de bevoegde autoriteit, via een standaardformat.
- Testen van de digitale operationele weerbaarheid: systemen regelmatig testen en, voor bepaalde entiteiten, minstens om de drie jaar geavanceerde Threat-Led Penetration Testing (TLPT).
- Beheer van ICT-risico’s door derden: een volledig informatieregister van alle contractuele ICT-regelingen, verplichte contractclausules en exitstrategieën.
- Informatie-uitwisseling: vrijwillige uitwisseling van informatie over cyberdreigingen tussen financiële entiteiten.
- Toezicht op kritieke externe ICT-dienstverleners: rechtstreeks Europees toezicht op de technologieleveranciers waar de financiële sector het meest van afhangt. Daarover later meer.
DORA is een verordening, ondersteund door een groot aantal technische regulerings- en uitvoeringsnormen (RTS en ITS). Die leggen in detail vast hoe incidenten geclassificeerd moeten worden, wat er in het informatieregister moet staan en hoe Threat-Led Penetration Testing (TLPT) uitgevoerd moet worden.
DORA en NIS2: zelfde ambitie, andere aanpak
Wie al met NIS2 aan de slag ging, zal veel van deze thema’s herkennen: Risicobeheer, incidentmelding, beveiliging van de toeleveringsketen en de verantwoordelijkheid van het management staan in beide centraal.
En dat is geen toeval. Beide regelgevingen zijn ontwikkeld binnen dezelfde Europese strategie om de digitale weerbaarheid in de hele Europese Unie te verhogen.
Maar er zijn ook belangrijke verschillen:
- Rechtsvorm: NIS2 is een richtlijn, dus elke lidstaat zet ze om in nationale wetgeving. In België is dat de NIS2-wet, met het CCB als toezichthouder. DORA is een verordening en geldt dus rechtstreeks en op dezelfde manier in elke lidstaat. Nationale financiële toezichthouders zien erop toe, zoals de NBB en de FSMA in België, gecoördineerd op EU-niveau door de Europese toezichthoudende autoriteiten (EBA, EIOPA en ESMA).
- Toepassingsgebied: NIS2 geldt voor essentiële en belangrijke entiteiten in een breed scala aan sectoren. DORA richt zich specifiek op de financiële sector en zijn ICT-leveranciers.
- Detailniveau: NIS2 bepaalt wat je moet bereiken. DORA legt via zijn technische normen ook meer in detail vast hoe.
- Testen: NIS2 verplicht organisaties om de doeltreffendheid van hun maatregelen te beoordelen. DORA gaat verder, met een formeel testprogramma en TLPT voor de belangrijkste entiteiten.
- Derde partijen: NIS2 vraagt aandacht voor de beveiliging van de toeleveringsketen. DORA vertaalt dat naar concrete verplichtingen: een informatieregister, verplichte contractuele bepalingen, een analyse van het concentratierisico en exitplannen.
Welke is van toepassing voor jouw organisatie?
Voor financiële entiteiten is het antwoord eenvoudig. DORA is de specifieke wet voor hun sector en heeft dus voorrang op NIS2. Voor banken, verzekeraars en andere entiteiten onder DORA vervangen de DORA-regels NIS2 overal waar de twee overlappen: ICT-risicobeheer, incidentmelding, testen, informatie-uitwisseling en risico’s door derden.
In de praktijk hoeft een bank of verzekeraar dus niet te voldoen aan twee parallelle sets verplichtingen.
Maar daarmee is het verhaal niet rond.
Een organisatie kan deel uitmaken van een financiële groep die ook niet-financiële activiteiten heeft die onder NIS2 vallen. En veel ICT-leveranciers van de financiële sector, zoals cloudproviders, datacenters en managed security service providers, vallen zelf onder NIS2 als essentiële of belangrijke entiteit.
Voor hen komen beide werelden samen. Ze moeten voor hun eigen organisatie voldoen aan de NIS2-vereisten, terwijl hun financiële klanten contractuele verbintenissen, auditrechten, rapportering en exitondersteuning op DORA-niveau verwachten.
De klok tikt sneller voor incidentmelding
Incidentmelding is een van de duidelijkste verschillen tussen de twee. Onder NIS2 vraagt een significant incident een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand.
DORA is strenger in de beginfase. Bij een ernstig ICT-gerelateerd incident moet de eerste melding gebeuren binnen 4 uur nadat je het als ernstig hebt geclassificeerd, en uiterlijk 24 uur nadat je ervan op de hoogte bent. Een tussentijds verslag volgt binnen 72 uur en een eindverslag binnen een maand.
De classificatie moet dus snel gebeuren. Ze is gebaseerd op criteria zoals het aantal getroffen klanten, gegevensverlies, de duur en de kriticiteit van de betrokken diensten. Die snelheid vraagt om duidelijke rollen, betrouwbare monitoring en een team dat de klok rond klaarstaat.
Als onderdeel van de Digital Omnibus (een wetgevingspakket van de Europese Commissie) werd één centraal Europees meldpunt voorgesteld voor cyberincidenten onder NIS2, DORA en GDPR. Toch blijven de termijnen en criteria dezelfde.
Risico’s door derden: waar DORA echt het verschil maakt
Als er één domein is waar DORA duidelijk verder gaat dan NIS2, dan is het wel het beheer van ICT-risico’s door derden.
Financiële entiteiten blijven volledig verantwoordelijk voor hun compliance, ook als ze diensten uitbesteden. Een dienst overdragen aan een leverancier betekent niet dat je ook de verantwoordelijkheid overdraagt.
DORA vertaalt dat naar een reeks concrete vragen:
- Welke ICT-leveranciers ondersteunen kritieke of belangrijke functies?
- Is elke contractuele regeling opgenomen in het informatieregister?
- Bevatten de contracten de verplichte bepalingen over serviceniveaus, beveiliging, auditrechten en beëindiging?
- Hoe afhankelijk zijn we van één leverancier, of van een kleine groep leveranciers?
- Welke onderaannemers zijn verderop in de keten betrokken?
- Is er een realistische exitstrategie als een leverancier uitvalt of vervangen moet worden?
Die laatste vraag verdient bijzondere aandacht. Voor ICT-diensten die kritieke of belangrijke functies ondersteunen, eist DORA uitdrukkelijk exitstrategieën die gedocumenteerd en getest zijn.
Wie onze eerdere artikels over digitale soevereiniteit las, herkent deze redenering. Inzicht in afhankelijkheden, portabiliteit, open standaarden en een doordachte exitstrategie zijn niet alleen bouwstenen voor soevereiniteit. Onder DORA zijn ze voor de financiële sector ook wettelijke verplichtingen geworden.
Europa houdt rechtstreeks toezicht op de kritieke leveranciers
DORA introduceert ook iets wat NIS2 niet heeft: een Europees toezichtskader voor kritieke externe ICT-dienstverleners (CTPP’s).
De redenering daarachter is duidelijk. Een groot deel van de financiële sector is afhankelijk van een beperkt aantal technologieleveranciers. Als een van hen in de problemen komt, kan de impact zich tegelijk over honderden financiële instellingen verspreiden.
Op 18 november 2025 publiceerden de Europese toezichthoudende autoriteiten de eerste lijst van 19 aangewezen CTPP’s. Daarop staan grote cloudproviders, datacenteroperatoren, IT-dienstverleners en aanbieders van financiële data.
Deze leveranciers staan nu onder rechtstreeks toezicht, met onder meer inspecties, informatieverzoeken en aanbevelingen.
Voor financiële entiteiten komt dit toezicht er bovenop. Het vervangt niet hun eigen verplichting om de risico’s te beheren van de leveranciers waarop ze een beroep doen.
Twee regelgevingen, één richting
Voor veel financiële entiteiten liggen de eerste DORA-deadlines achter de rug. Er zijn kaders goedgekeurd, registers ingediend en incidentprocedures uitgeschreven.
Maar DORA is geen project met een einddatum. Het is een doorlopende verplichting. Toezichthouders kijken nu niet langer alleen of documenten bestaan, maar vooral of ze in de praktijk ook echt werken.
DORA en NIS2 verschillen in toepassingsgebied, rechtsvorm en detailniveau. Maar ze delen dezelfde boodschap.
Digitale weerbaarheid is geen IT-onderwerp meer. Het is een verantwoordelijkheid van het bestuur. En die is nooit helemaal af.
Organisaties moeten hun afhankelijkheden kennen, hun risico’s beheren, hun verdediging testen en snel reageren als er iets misgaat. Niet één keer, maar continu.
Organisaties die DORA en NIS2 aanpakken als één geïntegreerd weerbaarheidsprogramma, in plaats van als twee aparte compliance-oefeningen, halen er het meeste uit. Minder dubbel werk, meer inzicht en een helderder zicht op wat echt telt.
Weerbaarheid wordt niet bepaald door het aantal beleidsdocumenten dat je hebt geschreven. Wel door hoe goed je organisatie blijft functioneren wanneer het er echt op aankomt.
Wil je weten waar jouw organisatie staat op het vlak van DORA of NIS2?
Onze experts helpen je om je huidige situatie in kaart te brengen, de hiaten te identificeren en de stappen te bepalen die de meeste waarde opleveren.
