De handeling, formeel
Om DORA te citeren in een beleidsstuk, een nota aan de raad of een contract zijn dit de referenties die gelden. De ELI-link is de stabiele: die breekt niet wanneer EUR-Lex zijn interface wijzigt.
- Korte naam : DORA
- Formele aanhaling : Regulation (EU) 2022/2554
- Publicatieblad : OJ L 333, 27.12.2022, p. 1
- CELEX-nummer : 32022R2554
- Inwerkingtreding : 16 januari 2023
- Van toepassing sinds : 17 januari 2025
- Structuur : 9 hoofdstukken, 64 artikelen, 106 overwegingen, geen bijlage
- Rechtsvorm : Verordening, rechtstreeks toepasselijk, geen nationale omzetting
De officiële tekst opvragen
Beide links gaan naar EUR-Lex, de publicatiedienst van het Publicatieblad. De HTML-versie heeft stabiele ankers, zodat elk artikelnummer in de index hieronder rechtstreeks de juiste plaats opent. De pdf is de zetting van het Publicatieblad en dus de versie voor een nota aan de raad of een auditdossier.
De volledige tekst lezen op EUR-Lex · De pdf downloaden (Nederlands)
Deze pagina host geen kopie. Een verordening wordt gewijzigd, gerectificeerd en geconsolideerd; een pdf op een site van derden is een momentopname die stil verouderd raakt, en wie die in een toezichtdossier citeert, neemt dat risico over. EUR-Lex publiceert de authentieke tekst.
De 64 artikelen, hoofdstuk per hoofdstuk
De titels zijn de officiële. Elk artikelnummer opent de Nederlandse versie van de tekst op EUR-Lex. Waar een artikel een mandaat bevat dat de Commissie met een gedelegeerde handeling of uitvoeringshandeling heeft ingevuld, staat het nummer van die handeling erachter.
Hoofdstuk I · Algemene bepalingen
Hoofdstuk II · ICT-risicobeheer
- Art. 5 · Governance en organisatie
- Art. 6 · Kader voor ICT-risicobeheer
- Art. 7 · ICT-systemen, -protocollen en -instrumenten
- Art. 8 · Identificatie
- Art. 9 · Bescherming en voorkoming
- Art. 10 · Detectie
- Art. 11 · Respons en herstel
- Art. 12 · Back-upbeleid en -procedures, terugzettings- en herstelprocedures en -methoden
- Art. 13 · Scholing en ontwikkeling
- Art. 14 · Communicatie
- Art. 15 · Verdere harmonisatie van ICT-risicobeheersinstrumenten, -methoden, -processen en -beleidslijnen (Rechtshandeling 2024/1774)
- Art. 16 · Vereenvoudigd kader voor ICT-risicobeheer
Hoofdstuk III · Beheer, classificatie en rapportage van ICT-gerelateerde incidenten
- Art. 17 · Beheerproces voor ICT-gerelateerde incidenten
- Art. 18 · Classificatie van ICT-gerelateerde incidenten en cyberdreigingen (Rechtshandeling 2024/1772)
- Art. 19 · Rapportage van ernstige ICT-gerelateerde incidenten en vrijwillige melding van significante cyberdreigingen
- Art. 20 · Harmonisatie van inhoud en modellen van rapportage (Rechtshandeling 2025/301, 2025/302)
- Art. 21 · Centralisatie van meldingen van ernstige ICT-gerelateerde incidenten
- Art. 22 · Feedback van toezichthouders
- Art. 23 · Betalingsgerelateerde operationele of beveiligingsincidenten die kredietinstellingen, betalingsinstellingen, aanbieders van rekeninginformatiediensten en instellingen voor elektronisch geld betreffen
Hoofdstuk IV · Testen van digitale operationele weerbaarheid
- Art. 24 · Algemene vereisten voor uitvoering van tests van digitale operationele weerbaarheid
- Art. 25 · Testen van ICT-instrumenten en -systemen
- Art. 26 · Geavanceerde tests van ICT-instrumenten, -systemen en -processen op basis van TLPT (Rechtshandeling 2025/1190)
- Art. 27 · Vereisten voor testers voor het uitvoeren van TLPT
Hoofdstuk V · Beheer van ICT-risico van derde aanbieders
- Art. 28 · Algemene beginselen (Rechtshandeling 2024/1773, 2024/2956)
- Art. 29 · Voorlopige beoordeling van het ICT-concentratierisico op het niveau van de entiteit
- Art. 30 · Belangrijke contractuele bepalingen (Rechtshandeling 2025/532)
- Art. 31 · Aanwijzing van kritieke derde aanbieders van ICT-diensten (Rechtshandeling 2024/1502)
- Art. 32 · Structuur van het oversightkader
- Art. 33 · Taken van de lead overseer
- Art. 34 · Operationele coördinatie tussen de lead overseers
- Art. 35 · Bevoegdheden van de lead overseer
- Art. 36 · Uitoefening van de bevoegdheden van de lead overseer buiten de Unie
- Art. 37 · Verzoek om informatie
- Art. 38 · Algemene onderzoeken
- Art. 39 · Inspecties
- Art. 40 · Oversight tijdens de uitvoering
- Art. 41 · Harmonisatie van de voorwaarden voor de uitoefening van de oversightactiviteiten (Rechtshandeling 2025/295, 2025/420)
- Art. 42 · Vervolgmaatregelen van de bevoegde autoriteiten
- Art. 43 · Oversightvergoedingen (Rechtshandeling 2024/1505)
- Art. 44 · Internationale samenwerking
Hoofdstuk VI · Regelingen voor de uitwisseling van informatie
- Art. 45 · Regelingen voor uitwisseling van informatie en inlichtingen over cyberdreiging
Hoofdstuk VII · Bevoegde autoriteiten
- Art. 46 · Bevoegde autoriteiten
- Art. 47 · Samenwerking met structuren en autoriteiten die zijn opgericht bij Richtlijn (EU) 2022/2555
- Art. 48 · Samenwerking tussen autoriteiten
- Art. 49 · Sectoroverschrijdende financiële oefeningen, communicatie en samenwerking
- Art. 50 · Administratieve strafmaatregelen en corrigerende maatregelen
- Art. 51 · Uitoefening van de bevoegdheid tot het nemen van administratieve strafmaatregelen en corrigerende maatregelen
- Art. 52 · Strafrechtelijke maatregelen
- Art. 53 · Kennisgevingsverplichting
- Art. 54 · Bekendmaking van administratieve strafmaatregelen
- Art. 55 · Beroepsgeheim
- Art. 56 · Gegevensbescherming
Hoofdstuk VIII · Gedelegeerde handelingen
- Art. 57 · Uitoefening van de bevoegdheidsdelegatie
Hoofdstuk IX · Overgangs- en slotbepalingen
- Art. 58 · Evaluatieclausule
- Art. 59 · Wijzigingen van Verordening (EG) nr. 1060/2009
- Art. 60 · Wijzigingen van Verordening (EU) nr. 648/2012
- Art. 61 · Wijzigingen van Verordening (EU) nr. 909/2014
- Art. 62 · Wijzigingen van Verordening (EU) nr. 600/2014
- Art. 63 · Wijziging van Verordening (EU) 2016/1011
- Art. 64 · Inwerkingtreding en toepassing
De gedelegeerde handelingen en uitvoeringshandelingen
DORA legt de verplichtingen vast; het detail staat in de handelingen van niveau 2 die de Commissie vaststelt op de mandaten in de artikelen. Alle zijn vastgesteld. De kolom die in de praktijk telt is die van het mandaat: zij zegt welk artikel u werkelijk naleeft wanneer u een technische norm toepast.
De data die echt in de tekst staan
Drie data komen uit de verordening zelf. Al het andere dat als «DORA-deadline» circuleert, komt uit een handeling van niveau 2, uit de agenda van een bevoegde autoriteit, of uit geen enkele bron.
- Inwerkingtreding : 16 januari 2023 (Art. 64)
- Van toepassing sinds : 17 januari 2025 (Art. 64)
- 17/01/2028 : Art. 58
17 januari 2028 is een evaluatieclausule, geen nalevingstermijn. Artikel 58 verplicht de Commissie tot een evaluatie en een verslag aan het Europees Parlement en de Raad. Het verschuift geen enkele verplichting voor een financiële entiteit.
Wat DORA in de praktijk vereist →
Veelgestelde vragen
Waar kan ik de DORA-verordening als pdf downloaden?
Op EUR-Lex, dat de zetting van het Publicatieblad publiceert voor elk van de 24 officiële talen. De Nederlandse versie staat op eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:32022R2554, en het stabiele toegangspunt voor elke taal is het ELI-adres eur-lex.europa.eu/eli/reg/2022/2554/oj. Vermijd kopieën elders: een verordening wordt in de tijd geconsolideerd en een momentopname verouderd zonder dat te melden.
Is DORA een verordening of een richtlijn?
Een verordening. Artikel 64 bepaalt dat zij verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, dus er is geen nationale omzettingswet te zoeken. Nationaal recht komt op één punt tussen: de administratieve sancties, die artikel 50 aan de lidstaten laat.
Hoeveel artikelen heeft DORA?
64 artikelen in negen hoofdstukken, voorafgegaan door 106 overwegingen en zonder bijlage. Hoofdstuk II behandelt ICT-risicobeheer (artikelen 5 tot 16), hoofdstuk III het beheer en de melding van incidenten (17 tot 23), hoofdstuk IV het testen van digitale operationele weerbaarheid (24 tot 27), hoofdstuk V het ICT-risico van derde aanbieders en het toezichtkader (28 tot 44) en hoofdstuk VI de informatie-uitwisseling (45).
Welke taalversie is authentiek?
Alle 24 taalversies zijn in gelijke mate authentiek; geen enkele is juridisch de vertaling van een andere. In de praktijk gebruikt u de versie van uw werktaal voor interne documentatie en contracten, omdat bevoegde autoriteiten die terminologie gebruiken, en legt u die naast het Engels waar een term gevolgen heeft.
Deze pagina is vakinhoudelijke ondersteuning, geen juridisch advies. · Engelse versie