DORA verplicht elke financiële entiteit ernstige ICT-gerelateerde incidenten te melden aan haar bevoegde autoriteit. Hieronder de classificatie, de drie termijnen en de geharmoniseerde modellen.
Hoofdstuk III van Verordening (EU) 2022/2554 legt een eenvormig kader op voor het beheer, de classificatie en de melding van ICT-gerelateerde incidenten. Artikel 17 verplicht elke financiële entiteit een beheerproces voor ICT-gerelateerde incidenten vast te stellen dat incidenten detecteert, registreert, categoriseert en opvolgt tot de onderliggende oorzaak is weggenomen.
Voor de plaats van deze pijler in het geheel, zie wat DORA is.
Een ernstig ICT-gerelateerd incident is een incident met grote nadelige gevolgen voor de netwerk- en informatiesystemen die kritieke of belangrijke functies ondersteunen. Gedelegeerde Verordening (EU) 2024/1772 maakt die definitie meetbaar met zeven criteria en bijbehorende drempels:
Het incident is ernstig wanneer kritieke diensten geraakt zijn en ofwel geslaagde kwaadwillige ongeoorloofde toegang met mogelijk gegevensverlies is vastgesteld, ofwel ten minste twee van de overige criteria hun drempel halen. Leg de beoordeling vast, ook wanneer de uitkomst is dat het incident niet ernstig is: die vastlegging onderbouwt achteraf uw verantwoording.
Zodra het incident als ernstig is geclassificeerd, loopt de klok. Gedelegeerde Verordening (EU) 2025/301 (RTS) en Uitvoeringsverordening (EU) 2025/302 (ITS) preciseren de drie stappen:
| Melding | Termijn | Inhoud |
|---|---|---|
| Eerste kennisgeving | Zo snel mogelijk, uiterlijk 4 uur na de classificatie als ernstig en niet later dan 24 uur na kennisname van het incident | Identificatie van de entiteit, aard van het incident, eerste inschatting van de gevolgen |
| Tussentijds verslag | Binnen 72 uur na de eerste kennisgeving, daarna bij elke wezenlijke statuswijziging | Stand van zaken, getroffen diensten en cliënten, genomen herstelmaatregelen |
| Eindverslag | Uiterlijk één maand na het laatste tussentijdse verslag | Analyse van de onderliggende oorzaak, werkelijke gevolgen, structurele maatregelen |
Er lopen dus twee klokken naast elkaar: de termijn van 4 uur begint bij de classificatie, de uiterste termijn van 24 uur bij de kennisname. Een classificatie die dagen op zich laat wachten, verplaatst de meldplicht niet.
Artikel 20 draagt de Europese toezichthoudende autoriteiten op inhoud en vorm van de melding te harmoniseren. Dat is vastgelegd in Gedelegeerde Verordening (EU) 2025/301 en Uitvoeringsverordening (EU) 2025/302: één set modellen, dezelfde velden voor alle financiële entiteiten, over de drie stappen heen aangevuld.
De modellen vragen onder meer:
Verzamel die velden tijdens de respons, niet achteraf. Onze generator van incidentmeldingen zet uw gegevens in de structuur van de officiële modellen.
De melding gaat niet naar de Europese toezichthoudende autoriteiten, maar naar de bevoegde autoriteit die op grond van artikel 46 voor uw entiteit is aangewezen. Staat u onder toezicht van meer dan één nationale autoriteit, dan wijst de lidstaat er één aan als aanspreekpunt. Kredietinstellingen die als significant zijn geclassificeerd, melden aan hun nationale autoriteit, die het verslag onverwijld doorzendt aan de ECB.
| Land | Bevoegde autoriteit | Kanaal |
|---|---|---|
| Nederland | DNB en AFM | Digitaal Loket Rapportages |
| België | NBB en FSMA | OneGate |
| Duitsland | BaFin | MVP-portaal |
| Luxemburg | CSSF | eDesk |
De autoriteit deelt de informatie waar nodig met de Europese toezichthoudende autoriteiten en met de computer security incident response teams die op grond van Richtlijn (EU) 2022/2555 zijn aangewezen. Regel de toegang tot het meldkanaal vooraf: registreer de personen die mogen indienen en doe een proefindiening buiten een incident om.
Artikel 19, lid 2, staat financiële entiteiten toe een significante cyberdreiging op vrijwillige basis te melden wanneer zij die relevant achten voor het financiële stelsel, de gebruikers van de dienst of hun cliënten. Het gaat om een cyberdreiging waarvan de technische kenmerken erop wijzen dat zij tot een ernstig ICT-gerelateerd incident kan leiden.
De melding betreft dus waarnemingen vóór er schade is: verkenningsactiviteit, uitgelekte inloggegevens, een gecompromitteerde toeleveringsketen, aanvalstechnieken gericht op kritieke of belangrijke functies. De bevoegde autoriteit kan die informatie gebundeld delen met andere entiteiten. Leg intern vast wie over zo'n melding beslist, zodat die afweging niet tijdens de dreiging zelf moet worden gemaakt.
Alleen ICT-gerelateerde incidenten die volgens Gedelegeerde Verordening (EU) 2024/1772 als ernstig zijn geclassificeerd. Alle overige incidenten worden wel geregistreerd en opgevolgd binnen het beheerproces van artikel 17, maar ze gaan niet naar de bevoegde autoriteit.
Drie stappen: de eerste kennisgeving uiterlijk 4 uur na de classificatie als ernstig en niet later dan 24 uur na kennisname; het tussentijdse verslag binnen 72 uur na die eerste kennisgeving; het eindverslag uiterlijk één maand na het laatste tussentijdse verslag.
Wanneer kritieke diensten geraakt zijn en ofwel geslaagde kwaadwillige ongeoorloofde toegang met mogelijk gegevensverlies is vastgesteld, ofwel ten minste twee van de overige criteria hun drempel halen. De zeven criteria zijn: getroffen cliënten en transacties, reputatieschade, duur en uitvaltijd, geografische spreiding, gegevensverlies, kritieke karakter van de getroffen diensten en economische gevolgen.
Aan de bevoegde autoriteit die op grond van artikel 46 voor uw entiteit is aangewezen, in Nederland DNB of de AFM, in België de NBB of de FSMA. Die autoriteit deelt de informatie vervolgens met de Europese toezichthoudende autoriteiten en, waar van toepassing, met de ECB.
De geharmoniseerde modellen uit Gedelegeerde Verordening (EU) 2025/301 en Uitvoeringsverordening (EU) 2025/302. Dezelfde modellenset loopt door over de eerste kennisgeving, het tussentijdse verslag en het eindverslag, telkens aangevuld met nieuwe gegevens.
Nee, die melding is vrijwillig. Artikel 19, lid 2, laat financiële entiteiten toe een significante cyberdreiging te melden wanneer zij die relevant achten voor het financiële stelsel, de gebruikers van de dienst of hun cliënten. Voor ernstige incidenten die zich hebben voorgedaan, geldt wel een verplichting.
Een te late of uitgebleven melding is een inbreuk op artikel 19. DORA legt zelf geen Europees maximumbedrag op: artikel 50 laat het vaststellen van administratieve strafmaatregelen en corrigerende maatregelen aan de lidstaten, die doeltreffend, evenredig en afschrikkend moeten zijn.
Deze pagina is vakinhoudelijke ondersteuning, geen juridisch advies. · Engelse versie