NIS2 vs DORA: het verschil en de overlap

NIS2 en DORA verschillen in reikwijdte en in juridische kracht. NIS2 is een Europese richtlijn voor achttien sectoren die per lidstaat wordt omgezet, DORA een verordening die alleen voor de financiële sector geldt en rechtstreeks werkt.

NIS2 is de Europese wet voor netwerk- en informatiebeveiliging, formeel Richtlijn (EU) 2022/2555. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden.

DORA is Verordening (EU) 2022/2554 over de digitale operationele weerbaarheid van de financiële sector (DORA, 2022). Een verordening werkt rechtstreeks in alle lidstaten en dus zonder nationale omzetting. DORA geldt sinds 17 januari 2025.

Voor financiële entiteiten gaat DORA voor op NIS2. Dat heet lex specialis: waar sectorspecifieke Europese wetgeving ten minste gelijkwaardige eisen stelt, vervalt de algemene regel.

Voor een ICT-dienstverlener werkt het anders. Die is geen financiële entiteit en krijgt dus geen verlichting: hij kan tegelijk zelf onder de Cbw vallen én via zijn financiële klanten DORA-eisen contractueel opgelegd krijgen.

Die verdringing is niet volledig. De Cyberbeveiligingswet schakelt alleen de zorgplicht uit en de meldplicht. De registratieplicht in het entiteitenregister blijft gewoon gelden.

Waar DORA het scherpst afwijkt van NIS2 is bij testen en bij incidenten. Elke entiteit behalve micro-ondernemingen test jaarlijks alle systemen die kritieke of belangrijke functies ondersteunen, en een aangewezen groep doet daarbovenop elke drie jaar een dreigingsgestuurde penetratietest op productiesystemen (DORA, art. 24 tot en met 26, 2022).

Een gap-analyse in beide richtingen laat zien waar je staat: welke NIS2-plichten overblijven als DORA voorgaat, en welke DORA-eisen je mist als je van NIS2 vertrekt.

NIS2 en DORA mappen

NIS2 en DORA mappen betekent: de tien maatregelcategorieën uit de wet koppelen aan de DORA-artikelen die hetzelfde onderwerp regelen, en zien waar DORA verder gaat.

NIS2 op DORA mappen

NIS2 op DORA mappen levert een dekking per maatregelcategorie op. De tabel koppelt de tien categorieën uit artikel 21 lid 3 van de Cyberbeveiligingswet aan de plek in DORA waar hetzelfde onderwerp staat. Verwijs je naar de richtlijn zelf, dan staan diezelfde onderwerpen in artikel 21 lid 2 van de NIS2-richtlijn.

Op alle tien de categorieën heeft DORA een tegenhanger. Dat is de reden dat de lex specialis werkt: de wetgever gaat ervan uit dat DORA ten minste een vergelijkbare uitwerking heeft, en de Cyberbeveiligingswet laat de zorgplicht dan vervallen.

DORA op NIS2 mappen

DORA op NIS2 mappen levert een korter antwoord op: veel DORA-eisen hebben geen tegenhanger in NIS2. De verhouding is asymmetrisch.

Dat komt doordat NIS2 een minimumkader is voor achttien uiteenlopende sectoren, terwijl DORA één sector diep uitwerkt. NIS2 benoemt onderwerpen, DORA schrijft procedures, registers, testfrequenties en contractclausules voor.

De aanpak in vier stappen

1. Vaststellen of je een financiële entiteit bent, en zo ja, welke diensten binnen en buiten de DORA-perimeter vallen.
2. Registratie in het entiteitenregister regelen, want die plicht blijft ongeacht de uitkomst van stap 1.
3. Eén risicobeoordeling en één set maatregelen inrichten die beide kaders bedient.
4. Een dashboard met live monitoring als doorlopend bewijs richting beide toezichthouders.

De belangrijkste verschillen tussen NIS2 en DORA

Het belangrijkste verschil tussen NIS2 en DORA is de juridische vorm. NIS2 is een richtlijn en moet per lidstaat worden omgezet, DORA is een verordening en werkt rechtstreeks.

Zijn NIS2 en DORA allebei verplicht?

NIS2 en DORA zijn allebei verplicht, maar zelden allebei volledig voor dezelfde organisatie. Welke van de twee jouw kader is, hangt af van één vraag: ben je een financiële entiteit.

Ben je een financiële entiteit?

DORA geldt voor financiële entiteiten: onder meer kredietinstellingen, betaalinstellingen, verzekeraars, beleggingsondernemingen, aanbieders van cryptoactivadiensten en handelsplatformen. Val je daaronder, dan is DORA je kader.

Let op de randgevallen. Vergunninghouders wier vergunning uitsluitend op Nederlandse wetgeving berust, vallen niet onder DORA. Voor adviseurs en bemiddelaars in financiële producten geldt dat vaak, met verzekeringsproducten als uitzondering.

Val je daar buiten DORA maar binnen de Cbw, dan geldt de Cbw volledig, zonder verlichting.

Wat de lex specialis precies uitschakelt

De Cyberbeveiligingswet regelt de voorrang in twee afzonderlijke bepalingen, en allebei zijn ze smal geformuleerd. Schrijven sectorspecifieke Europese rechtshandelingen risicobeheersmaatregelen voor die ten minste gelijkwaardig zijn aan de zorgplicht, dan is die zorgplicht niet van toepassing (Cyberbeveiligingswet, art. 22, 2026). Hetzelfde geldt voor de meldplicht, mits de sectorspecifieke regeling het CSIRT en de bevoegde autoriteit onmiddellijke toegang geeft tot de meldingen.

Beide bepalingen noemen alleen de zorgplicht en de meldplicht. Verder niets.

De registratieplicht blijft

De registratie in het nationale entiteitenregister staat in de artikelen 43 en 44 van de Cyberbeveiligingswet. De ontheffing daarop geldt voor entiteiten die uitsluitend werken op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving (Cyberbeveiligingswet, art. 45, 2026).

Sectorspecifieke Europese wetgeving komt in die ontheffing niet voor. Een bank of verzekeraar die onder DORA valt, is dus vrijgesteld van de NIS2-zorgplicht en de NIS2-meldplicht, maar moet zich wél registreren in het entiteitenregister bij het NCSC.

Dat volgt uit de systematiek van de wet: de uitzonderingen zijn per verplichting geformuleerd. Wie ervan uitgaat dat DORA de hele Cbw uitschakelt, mist die plicht.

En als je ICT-dienstverlener bent

Een ICT-dienstverlener is geen financiële entiteit en krijgt daarom geen enkele verlichting. Er lopen drie sporen naast elkaar:

1. Eigen plicht onder de Cbw. Lever je beheerde diensten of beheerde beveiligingsdiensten, dan ben je zelf entiteit onder de wet, met zorgplicht, meldplicht en registratieplicht.
2. Contractuele doorwerking van DORA. Je financiële klanten leggen je via hun eigen verplichtingen rond derdenrisico contractuele eisen op. Dat is een leveringsvoorwaarde, geen wettelijke plicht van jou.
3. Mogelijke aanwijzing als kritieke derde aanbieder. Word je als zodanig aangewezen, dan kom je onder direct Europees toezicht te staan. Een aanbieder kan daar overigens ook zelf om verzoeken (DORA, 2022).

Die drie vragen een verschillend bewijsniveau.

Overeenkomsten tussen NIS2 en DORA

De overeenkomsten tussen NIS2 en DORA beslaan de hele inhoudelijke kern: beide kaders overlappen op elk maatregelonderwerp. Beide zijn risicogestuurd, beide leggen de eindverantwoordelijkheid bij het bestuur, beide vragen incidentmelding in fasen en beide eisen beheersing van de keten.

De gedeelde onderwerpen:

• Risicobeheer als vertrekpunt, met maatregelen die in verhouding staan tot het risico.
• Bestuurlijke verantwoordelijkheid, inclusief een kennis- en opleidingseis.
• Incidentafhandeling met melding aan een toezichthouder binnen vaste termijnen.
• Continuïteit, back-ups en herstel na een verstoring.
• Beheersing van risico’s bij ICT-leveranciers.
• Periodieke toetsing of de maatregelen werken.

Hoeveel van de zorgplicht dekt DORA af?

DORA dekt alle tien de maatregelcategorieën van de zorgplicht volledig af, en gaat op elk van de tien verder dan de Cyberbeveiligingswet. Gedekt betekent hier dat de hele categorie wordt bestreken, zonder dat je er iets aan hoeft toe te voegen. De telling per categorie staat in de tabel hierboven.

De noemer is de zorgplicht. Van de Cyberbeveiligingswet schakelt DORA alleen de zorgplicht en de meldplicht uit; de registratieplicht in het entiteitenregister blijft gelden.

Waarom hier geen dekkingspercentage staat

Een dekkingspercentage staat hier niet, omdat het niet te onderbouwen is. Zo’n getal vraagt drie dingen: een noemer waartegen je rekent, een vaste definitie van wanneer iets gedekt heet, en een telling die je kunt narekenen. De zorgplicht kent tien maatregelcategorieën van ongelijke omvang, dus in een percentage weegt een categorie waarin één maatregel volstaat even zwaar als een categorie met een half risicobeheerkader eronder. Bij DORA komt daar bij dat de verordening op elk onderwerp verder gaat dan de wet, en een percentage boven de honderd zegt niets. De telling per categorie hierboven is wel na te rekenen: tien van de tien categorieën gedekt, plus de registratieplicht die als enige Cbw-verplichting naast DORA blijft staan.

Welke NIS2-eisen dekt DORA niet?

DORA dekt drie NIS2-verplichtingen niet. De vraag is hier niet welke maatregelen ontbreken, maar welke plichten blijven staan nadat de lex specialis zijn werk heeft gedaan.

De registratieplicht

De registratie in het entiteitenregister staat in de artikelen 43 en 44 van de Cyberbeveiligingswet, en de ontheffing daarop betreft nationale veiligheid, openbare veiligheid, defensie en rechtshandhaving. Sectorspecifieke Europese wetgeving staat daar niet bij.

Een financiële entiteit die onder DORA valt en tegelijk binnen het toepassingsbereik van de Cbw, moet zich dus registreren bij het NCSC. DORA kent geen vergelijkbare nationale registratie.

Alles buiten de DORA-perimeter

De uitzondering op de zorgplicht werkt per entiteit en per activiteit. Een verzekeraar die een gedeeld datacenter draait voor niet-financiële afnemers, of een bank die software levert aan derden, houdt op dat deel gewoon de zorgplicht (Cyberbeveiligingswet, art. 22, 2026).

Dat vraagt een expliciete perimeterafbakening. Zonder die afbakening weet je niet welk deel van je organisatie onder welk regime valt. Een toezichthouder vraagt die afbakening als eerste op.

Financiële partijen buiten DORA

Niet elke financieel dienstverlener valt onder DORA. Vergunninghouders wier vergunning uitsluitend op Nederlandse wetgeving berust, blijven erbuiten. Voor die groep geldt de Cbw volledig, zonder enige verlichting.

Naast deze drie punten speelt een beoordelingsverschil op concernniveau. De DORA-status van een moedermaatschappij werkt niet automatisch door naar dochters: de toets gebeurt per entiteit.

Welke DORA-eisen dekt NIS2 niet?

NIS2 dekt vijf DORA-eisen niet, omdat de richtlijn onderwerpen benoemt en DORA procedures voorschrijft.

Een testprogramma met twee snelheden

Andere financiële entiteiten dan micro-ondernemingen stellen een degelijk en alomvattend programma voor het testen van de digitale operationele weerbaarheid vast, als integrerend onderdeel van het ICT-risicobeheerkader (DORA, art. 24, 2022). Dat programma omvat onder meer kwetsbaarheidsbeoordelingen en -scans, opensourceanalyses, netwerkbeveiligingsbeoordelingen, kloofanalyses, beoordelingen van broncodes waar mogelijk, scenariogebaseerde tests, prestatietests en penetratietests (DORA, art. 25, 2022).

Daarbovenop geldt een frequentie-eis: ten minste eenmaal per jaar worden passende tests uitgevoerd op alle ICT-systemen en -toepassingen die kritieke of belangrijke functies ondersteunen. Zwakheden worden geprioriteerd, geclassificeerd en verholpen, met interne valideringsmethoden om na te gaan of alles volledig is aangepakt (DORA, art. 24, 2022).

NIS2 vraagt alleen beleid voor het beoordelen van de doeltreffendheid van maatregelen, zonder testvorm en zonder frequentie.

Dreigingsgestuurde penetratietesten

Een aangewezen groep entiteiten verricht ten minste om de drie jaar geavanceerde tests door middel van TLPT. Elke test heeft betrekking op meerdere of alle kritieke of belangrijke functies en wordt uitgevoerd op systemen die in het reële leven presteren, dus op productie (DORA, art. 26, 2022).

De bevoegde autoriteit kan die frequentie verlagen of verhogen op basis van het risicoprofiel. Na afloop verstrekt de autoriteit een attest waarin wordt bevestigd dat de test conform de vereisten is verricht, wat wederzijdse erkenning tussen bevoegde autoriteiten mogelijk maakt. De entiteit blijft niettemin volledig verantwoordelijk voor de gevolgen van de test.

Micro-ondernemingen en entiteiten onder het vereenvoudigde kader zijn hiervan vrijgesteld.

Het informatieregister van ICT-contracten

Alle financiële entiteiten worden verplicht een register bij te houden met informatie over alle contractuele overeenkomsten inzake het gebruik van ICT-diensten die door derde aanbieders worden geleverd. Toezichthouders kunnen het volledige register opvragen of om bepaalde delen ervan verzoeken (DORA, 2022).

NIS2 kent wel ketenbeveiliging, maar geen registerplicht.

Voorgeschreven contractuele bepalingen

Waar NIS2 vraagt om beheersing van leveranciersrisico’s, schrijft DORA de inhoud van het contract voor. Daaronder vallen beschrijvingen van het dienstenniveau met actualiseringen, kennisgevingstermijnen en rapportageverplichtingen van de aanbieder, de verplichting bijstand te verlenen bij een incident zonder extra kosten of tegen een vooraf bepaalde prijs, volledige medewerking aan de bevoegde autoriteiten en de afwikkelingsautoriteiten, beëindigingsrechten met minimumopzegtermijnen en de voorwaarden voor deelname van de aanbieder aan de bewustmakings- en opleidingsprogramma’s van de entiteit (DORA, 2022).

Voor ICT-diensten die kritieke of belangrijke functies ondersteunen komen daar exitstrategieën bij, waarin rekening wordt gehouden met falen van de aanbieder, verslechtering van de kwaliteit en verstoring van de bedrijfsactiviteiten (DORA, 2022).

De verordening benoemt ook wanneer een contract beëindigd moet kunnen worden: bij ernstige overtreding van wetten of contractvoorwaarden, bij tijdens monitoring vastgestelde omstandigheden die de uitvoering raken, bij klaarblijkelijke zwakheden in het risicobeheer van de aanbieder, en wanneer de toezichthouder door de contractvoorwaarden geen doeltreffend toezicht meer kan uitoefenen (DORA, 2022).

Europees toezicht op ICT-dienstverleners

DORA maakt het mogelijk een ICT-dienstverlener aan te wijzen als kritieke derde aanbieder, waarna hij onder direct Europees toezicht komt te staan. Volgt die aanbieder de aanbevelingen van de lead overseer niet op, dan kunnen de autoriteiten een financiële entiteit verplichten de contractuele overeenkomst geheel of gedeeltelijk te beëindigen (DORA, 2022).

NIS2 kent dit niet: daar is een leverancier hooguit zelf entiteit onder de eigen nationale wet, maar er is geen toezichtsmechanisme op leveranciers als zodanig.

Incidentclassificatie in geld

Financiële entiteiten classificeren ICT-gerelateerde incidenten en bepalen de effecten daarvan op basis van zes criteria: het aantal en de relevantie van getroffen cliënten of financiële tegenpartijen plus eventuele reputatieschade, de duur met de uitvaltijd van de dienst, de geografische spreiding met name bij meer dan twee lidstaten, de gegevensverliezen op beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid, de mate waarin de getroffen diensten kritiek zijn en de economische effecten in directe en indirecte kosten en verliezen, zowel absoluut als relatief (DORA, art. 18, 2022).

Ook cyberdreigingen worden geclassificeerd, en dan zonder dat er een incident is: significant op basis van hoe kritiek de risicovolle diensten zijn, het aantal beoogde cliënten en de geografische spreiding.

De economische kant komt op meer plekken terug. Het continuïteitsbeleid vraagt de voorlopige effecten, schade en verliezen te ramen, en entiteiten rapporteren op verzoek van de toezichthouder een raming van de jaarlijkse kosten en verliezen door ernstige ICT-gerelateerde incidenten (DORA, 2022). NIS2 kijkt naar verstoring van de dienst en vraagt nergens om een bedrag.

Wat betekenen NIS2 en DORA voor je ICT-omgeving?

Voor je ICT-omgeving vragen NIS2 en DORA hetzelfde werk. Je richt de techniek één keer in en levert er twee keer bewijs mee, aan twee verschillende toezichthouders.

De maatregelen landen in beide gevallen in dezelfde componenten van je Microsoft 365-omgeving: identiteiten en toegang in Entra ID, werkplekken en endpoints in Intune en Defender, data en encryptie in Purview, plus back-up en herstel en de koppelingen met leveranciers.

Waar het werk verschilt, zit het verschil in de bovenlaag en niet in de techniek. Twee taxonomieën voor incidenten, twee meldketens, twee rapportagesjablonen en twee toezichthouders. Wat je één keer bouwt aan assetregister, risicoanalyse, incidentproces, leveranciersregister en logging, bedient beide richtingen.

Eén ding vraagt DORA dat je bij NIS2 niet nodig hebt: een testkalender. De jaarlijkse test van alle kritieke systemen en, waar van toepassing, de driejaarlijkse TLPT op productiesystemen moeten gepland, uitgevoerd en opgevolgd worden, met validatie dat gevonden zwakheden zijn verholpen.

Beleid, governance, bestuursverantwoordelijkheid en de formele toetsing vallen buiten die technische laag. Dat blijft het domein van je compliance-adviseur of, in de financiële sector, je risicomanagementfunctie.

Welk bewijs vraagt elk kader uit dezelfde systemen?

Beide kaders halen hun bewijs uit dezelfde systemen, maar vragen er een andere vorm en een andere ontvanger van.

Registratie is het enige onderdeel waar DORA niets tegenover zet, dus die plicht blijft staan.

En het bewijs gaat naar twee verschillende adressen. Dezelfde restore-test dient onder de Cbw als bewijs richting het CSIRT en de toezichthouder, en onder DORA richting DNB of de AFM. Eén bewijsstuk, twee dossiers, twee taxonomieën.

Kun je NIS2 en DORA samen invoeren?

Je kunt NIS2 en DORA samen invoeren, en voor organisaties die beide raken is dat de enige werkbare route. Twee losse trajecten leveren twee risicoregisters en twee sets bewijs op voor dezelfde techniek.

Waar je begint, hangt af van wie je bent.

Ben je een financiële entiteit, begin dan bij DORA. Twee redenen: DORA geldt al sinds januari 2025 en de Cbw pas sinds augustus 2026, dus daar loopt het langste nalevingsrisico. En DORA is op de gedeelde onderwerpen het strengere kader, dus wie DORA op orde heeft, haalt op die punten de NIS2-lat ook. Rond daarna af met de smalle rest: de registratie en het deel van je organisatie buiten de DORA-perimeter.

Ben je ICT-dienstverlener met financiële klanten, begin dan niet bij een kader maar bij de scopevraag. Ben je zelf entiteit onder de Cbw, dan heb je een wettelijke plicht. Kom je alleen via je klanten met DORA in aanraking, dan is het een contractuele verplichting. Die twee vragen een ander bewijsniveau, en dat onderscheid bepaalt hoe zwaar je het aanpakt.

Val je niet onder DORA, dan speelt de vraag niet. Dan is het de Cyberbeveiligingswet, en raakt DORA je hooguit via de eisen die je financiële klanten in hun contracten opnemen.

Andere normvergelijkingen

Andere normvergelijkingen met NIS2 staan hieronder. NIS2 raakt aan meer wetten en normen dan alleen DORA; voor DORA zelf is NIS2 in de zoekdata het enige vergelijkingspaar.

Vergelijkingen met NIS2

• NIS2 vs ISO 27001
• NIS2 vs Cyberbeveiligingswet (Cbw)
• NIS2 vs NEN 7510
• NIS2 vs BIO
• NIS2 vs CER-richtlijn
• NIS2 vs SOC 2
• NIS2 vs ISAE 3402
• NIS2 vs NIST CSF
• NIS2 vs AVG
• NIS2 vs CRA

Zo helpt ClickOn met NIS2 en DORA

ClickOn richt je Microsoft 365-omgeving zo in dat de technische maatregelen voor beide kaders in één keer staan en aantoonbaar zijn. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 via TÜV Nord, sloot alle vijftien compliance-trajecten succesvol af en doorstond vijfentwintig van de vijfentwintig audits zonder afwijking (ClickOn, 2026).

DORA raakt diep in de financiële bedrijfsvoering: testprogramma’s, contractmanagement en de verhouding tot DNB en de AFM. Dat is het werk van je risicomanagementfunctie en je juridisch adviseur, niet van een MSP.

Wat ClickOn wel doet, is de technische laag en het bewijs daaruit:

• Compliance Sprint. Binnen 30 dagen technisch klaar voor het toezicht dat de Cbw meebrengt of voor een audit die een norm als ISO 27001 vraagt, tegen een vaste prijs per werkplek (ClickOn, 2026). Week 1 de nulmeting en de gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard als bewijs. Haal je het niet, dan doen we het over.
• ClickOn Compliant MKB. Doorlopend beheer dat compliant blijft, voor 148 euro per werkplek per maand tot driehonderd werkplekken (ClickOn, 2026). Met 24/7 monitoring door een SOC, continue detectie, automatische respons, maandelijkse rapportage, geteste back-upherstellen, dataclassificatie met encryptie en 16 uur audit-ondersteuning per jaar.

Ben je ICT-dienstverlener die aan financiële instellingen levert, dan is de vragenlijst van je klant vaak het startpunt. De technische antwoorden daarop, met bewijs uit je eigen omgeving, is precies wat ClickOn levert.

Wat ClickOn niet doet is juridisch advies, governance-advies of bedrijfsbreed beleid buiten de IT-omgeving, en ClickOn is niet de partij die de formele audit uitvoert.

Weten welk kader voor jouw organisatie geldt en wat er technisch nog ontbreekt? De gap-analyse is week 1 van de Compliance Sprint en laat per onderdeel zien wat al gedekt is.