De DORA-verordening is de Europese wet die de financiële sector verplicht haar digitale operationele weerbaarheid aantoonbaar op orde te brengen. DORA staat voor Digital Operational Resilience Act. Het gaat dus niet om de tekenfilm Dora en niet om de DORA-metrics uit softwareontwikkeling.
DORA is een verordening (EU 2022/2554) en werkt daardoor rechtstreeks in de hele EU, zonder aparte Nederlandse omzettingswet. De wet is opgebouwd rond vijf pijlers: ICT-risicobeheer, incidentrapportage, weerbaarheidstesten, ICT-derdenrisico en informatie-uitwisseling.
DORA geldt voor circa twintig typen financiële entiteiten, van banken tot betaaldienstverleners, en voor de ICT-leveranciers die aan hen leveren.
De verordening is van toepassing sinds 17 januari 2025. De Nederlandsche Bank en de Autoriteit Financiële Markten houden toezicht en kunnen handhaven (DNB, 2026).
Lever je ICT of software aan een bank of verzekeraar, dan val je zelf niet onder DORA, maar krijg je de eisen contractueel doorgelegd via het derdenrisico van je klant. Beveiligingsbepalingen, auditrechten en een exitplan komen dan op jouw bordje.
De basis voor beide situaties is een aantoonbaar ICT-risicobeheer met monitoring en incidentdetectie. Die kun je inrichten op de ISO 27001-norm.
Wat is de DORA-verordening?
De DORA-verordening is de Europese verordening voor de digitale operationele weerbaarheid van de financiële sector, voluit Verordening (EU) 2022/2554, vastgesteld op 14 december 2022 (DNB, 2026). Het doel is dat financiële instellingen ICT-incidenten en cyberaanvallen kunnen voorkomen, opvangen en ervan kunnen herstellen, zodat hun dienstverlening doorgaat.
DORA vult de NIS2-richtlijn aan. Waar de NIS2-richtlijn over kritieke sectoren in het algemeen gaat, richt DORA zich uitsluitend op de financiële sector. Voor die sector is DORA leidend (Bureau Veritas, 2026).
Waar staat DORA voor?
DORA staat voor Digital Operational Resilience Act, oftewel de wet voor digitale operationele weerbaarheid. De term wordt vaak verward: er bestaat een gelijknamige tekenfilm, en in softwareontwikkeling verwijzen de DORA-metrics naar prestatie-indicatoren voor teams. Deze pagina gaat uitsluitend over de Europese verordening voor de financiële sector.
Een verordening, geen richtlijn
DORA is een verordening en geen richtlijn. Een verordening werkt rechtstreeks en geldt in elke EU-lidstaat op dezelfde manier, zonder dat een land er een eigen wet van hoeft te maken (Bureau Veritas, 2026). Dat is het verschil met NIS2, dat als richtlijn per land wordt omgezet, in Nederland in de Cyberbeveiligingswet. Naast de verordening hoort er een begeleidende richtlijn bij (Richtlijn (EU) 2022/2556) die bestaande financiële wetten op punten aanpast (EIOPA, 2026).
Voor wie geldt DORA?
DORA geldt voor circa twintig typen financiële entiteiten en voor de ICT-derde-dienstverleners die aan hen leveren (EIOPA, 2026). Niet alle verplichtingen wegen even zwaar: voor micro- en kleine ondernemingen gelden lichtere eisen, en hoe groter de impact op het financiële systeem, hoe zwaarder het regime (Ondernemersplein, 2026).
Welke financiële entiteiten vallen onder DORA?
Tot de doelgroep horen onder meer (Ondernemersplein, 2026):
- Banken en kredietinstellingen
- Verzekeraars en herverzekeraars
- Pensioenfondsen
- Beleggingsondernemingen en beheerders van beleggingsinstellingen
- Betaaldienstverleners en instellingen voor elektronisch geld
- Aanbieders van cryptoactivadiensten
- Kritieke ICT-dienstverleners aan de financiële sector, onder direct Europees toezicht
Lever je ICT aan financiële instellingen?
Ook als je zelf geen financiële entiteit bent, kun je met DORA te maken krijgen. Het ICT-derdenrisico is een van de vijf pijlers: financiële instellingen blijven verantwoordelijk voor hun weerbaarheid, ook bij uitbesteding, en moeten dat aantoonbaar beheersen (Hoek en Blok, 2026).
Het gevolg voor leveranciers: een bank of verzekeraar legt de DORA-eisen contractueel aan je op. Denk aan beveiligingsbepalingen, auditrechten, doorlopende monitoring en een exitplan (Hoek en Blok, 2026). Je valt niet rechtstreeks onder DORA, maar je voelt de verordening via de keten.
Is DORA al verplicht in Nederland?
Ja. DORA is op 17 januari 2023 in werking getreden en sinds 17 januari 2025 van toepassing (DNB, 2026). Omdat het een verordening is, geldt ze rechtstreeks in Nederland, zonder aparte omzettingswet zoals de Cyberbeveiligingswet bij NIS2.
De Nederlandsche Bank en de Autoriteit Financiële Markten houden toezicht en controleren of instellingen zich aan de verordening houden (Ondernemersplein, 2026). De aanwijzing van de bevoegde toezichthouder en de handhaafbare artikelen zijn in Nederland vastgelegd in bijlage 35 van het Besluit EU-verordeningen Wft (DNB, 2026).
De technische standaarden die DORA concreet maken, zijn inmiddels gepubliceerd, en de Europese toezichthouders hebben de eerste negentien kritieke ICT-dienstverleners aangewezen voor Europees oversight (DNB, 2026). DORA is dus geen toekomstmuziek meer, maar staande praktijk.
Wat als je niet voldoet aan DORA?
Voldoe je niet, dan kunnen de toezichthouders handhaven. De Nederlandsche Bank en de Autoriteit Financiële Markten kunnen een bestuurlijke boete of een last onder dwangsom opleggen voor overtreding van de handhaafbare DORA-artikelen (DNB, 2026).
Voor aangewezen kritieke ICT-dienstverleners loopt het toezicht via een Europees oversightkader van de gezamenlijke toezichthouders, met eigen dwangmiddelen (DNB, 2026). Zo komt ook deze groep onder druk om aan de DORA-eisen te voldoen.
Naast handhaving speelt het commerciële gevolg. Financiële instellingen mogen alleen in zee met ICT-leveranciers die hun weerbaarheid kunnen aantonen. Kun je dat niet, dan val je af bij aanbestedingen en contractverlengingen.
Hoe werkt DORA?
DORA werkt via vijf pijlers die samen een kader vormen voor digitale operationele weerbaarheid (Hoek en Blok, 2026). Hieronder staan ze op volgorde.
1. ICT-risicobeheer
De kern van DORA is artikel 6: elke financiële entiteit moet beschikken over een solide, gedocumenteerd raamwerk voor ICT-risicobeheer (InAudit, 2026). Daarin leg je vast hoe je systemen monitort, kwetsbaarheden beheert en rollen en verantwoordelijkheden verdeelt.
2. Incidentrapportage
Ernstige ICT-incidenten meld je binnen strakke termijnen aan de toezichthouder en je houdt bij wat je ervan leert (vxcompany, 2026). Zo krijgen de toezichthouders zicht op dreigingen die de hele sector raken.
3. Weerbaarheidstesten
Je test je weerbaarheid periodiek. Voor de grootste entiteiten schrijft DORA threat-led penetration testing (TLPT) voor, een geavanceerde test op basis van realistische dreigingsscenario’s (Hoek en Blok, 2026). Wil je aantonen dat je weerbaarheid op orde is, dan helpt audit readiness voor DORA om het bewijs op tafel te krijgen.
4. ICT-derdenrisico
Je beheert het risico van je ICT-leveranciers actief en legt al je contractuele afspraken met hen vast in een register of information (DNB, 2026). Dat register kun je op verzoek aan de toezichthouder aanleveren. Voor de leveranciers zelf betekent dit dat zij contractueel aan dezelfde beveiligingsstandaarden moeten voldoen als de instelling (Hoek en Blok, 2026).
5. Informatie-uitwisseling
DORA stimuleert dat financiële entiteiten onderling en met de toezichthouders informatie over cyberdreigingen delen, zodat de sector als geheel weerbaarder wordt (InAudit, 2026).
Belangrijke begrippen uit DORA
Deze begrippen kom je telkens tegen in de verordening. Hieronder staan ze in gewone taal.
Digitale operationele weerbaarheid. Het vermogen om ICT-verstoringen en cyberdreigingen te voorkomen, te weerstaan, op te vangen en ervan te herstellen, zodat de dienstverlening doorgaat.
ICT-risicobeheerraamwerk. Het gedocumenteerde geheel van beleid, procedures en instrumenten waarmee je je ICT-risico’s beheerst, de kern van DORA in artikel 6.
Ernstig ICT-incident. Een ICT-incident met een aanzienlijke impact, dat je binnen strakke termijnen aan de toezichthouder moet melden.
Weerbaarheidstesten en TLPT. Het periodiek testen van je weerbaarheid, waarbij threat-led penetration testing de zwaarste vorm is voor de grootste entiteiten.
Register of information. Een actueel register van alle contractuele afspraken met je ICT-dienstverleners, dat je aan de toezichthouder kunt aanleveren.
Kritieke ICT-dienstverlener. Een ICT-leverancier die door de Europese toezichthouders als kritiek is aangewezen en daarmee onder direct Europees oversight valt.
Proportionaliteit. Het beginsel dat de eisen meewegen met de grootte en het risicoprofiel van de organisatie, met lichtere eisen voor micro- en kleine ondernemingen.
Hulpmiddelen voor DORA
Twee hulpmiddelen helpen je een eerste beeld te krijgen, gesorteerd van licht naar zwaar.
- DORA-zelfscan: een korte vragenlijst die inschat of jouw organisatie onder DORA valt of de eisen via de keten krijgt, en waar je nu al kunt beginnen.
- Stappenplan ICT-derdenrisico: een overzicht van wat je contractueel en in je register of information moet regelen als je aan de financiële sector levert.
Organisaties rond DORA
- De Nederlandsche Bank (DNB): houdt samen met de AFM toezicht op de naleving van DORA in Nederland.
- Autoriteit Financiële Markten (AFM): medetoezichthouder op DORA voor de Nederlandse financiële sector.
- Europese toezichthouders (ESA’s): EBA, EIOPA en ESMA, die de technische standaarden leiden en het oversight op kritieke ICT-dienstverleners verzorgen.
- Europese Commissie: opsteller van de verordening en de bijbehorende regelgeving.
DORA vergeleken met andere wetten en normen
DORA staat niet op zichzelf: de verordening is de specifiekere regeling voor de financiële sector en leunt op normen die het ICT-risicobeheer structureren. Per norm staat de volledige vergelijking op een eigen vergelijkingspagina:
- DORA en NIS2
- DORA en de Cyberbeveiligingswet
- DORA en ISO 27001
- DORA en SOC 2
- DORA en ISAE 3402
Kort het belangrijkste onderscheid: voor financiële entiteiten gaat DORA voor op NIS2. Wie aan financiële partijen levert, krijgt de DORA-eisen via de keten, en dan zijn ISAE 3402 en SOC 2 de rapportages waarmee je die zekerheid levert.
Zo helpt ClickOn met DORA-compliance
ClickOn richt zich op de ICT- en informatiebeveiligingskant van DORA. Dat is relevant voor twee groepen: kleinere financiële entiteiten die zelf onder DORA vallen, en MKB-bedrijven die ICT of software leveren aan de financiële sector en de eisen via de keten krijgen.
Binnen die scope helpt ClickOn met twee diensten:
- Compliance Sprint: in 30 dagen technisch audit-klaar op de ISO 27001-norm, voor een vaste prijs. Week 1 de 0-meting en gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard met live monitoring als bewijs.
- ClickOn Compliant MKB: compliant werkplekbeheer op de ISO 27001-norm voor 148 euro per werkplek per maand, inclusief 24/7 bewaking en support, zonder lock-in.
Wat buiten scope valt, benoemen we eerlijk: de financieel-juridische governance van DORA, het bestuurlijke risicobeheer en de formele audit doet ClickOn niet, net zomin als de zwaarste weerbaarheidstesten (TLPT) door een gespecialiseerd red team. Per stap van je DORA-traject kun je bij ClickOn terecht:
- DORA implementatie: het inrichten van de ICT-maatregelen in Microsoft 365.
- DORA audit readiness: het bewijs klaarzetten dat een toezichthouder of opdrachtgever wil zien.
Veelgestelde vragen over DORA
Waar staat DORA voor?
Wat is het verschil tussen DORA en NIS2?
Voor welke bedrijven geldt DORA?
Sinds wanneer is DORA verplicht?
