DORA RTS en ITS: de technische normen bij de verordening

RTS en ITS: wat is het verschil?

DORA, Verordening (EU) 2022/2554, legt de beginselen vast. De uitwerking staat in het niveau 2-recht, opgesteld door de Europese toezichthoudende autoriteiten (ETA's: EBA, ESMA en EIOPA) via het Gemengd Comité.

• Een technische reguleringsnorm (RTS) vult de inhoud van een verplichting aan: wat u moet vaststellen, beoordelen en documenteren. De Commissie stelt de norm vast als gedelegeerde verordening.
• Een technische uitvoeringsnorm (ITS) legt uniforme modellen, formaten en procedures vast: het gereedschap waarmee u rapporteert. De Commissie stelt de norm vast als uitvoeringsverordening.

Beide werken rechtstreeks in alle lidstaten, zonder nationale omzetting. Voor de context, zie wat DORA is.

De niveau 2-normen in één overzicht

Twaalf gedelegeerde verordeningen en uitvoeringsverordeningen vullen DORA aan, naast gezamenlijke richtsnoeren van de ETA's. Noem in een beleidsstuk of in een antwoord aan uw bevoegde autoriteit altijd het nummer: een verwijzing naar de norm over onderaannemers is ambigu; een verwijzing naar Gedelegeerde Verordening (EU) 2025/532 niet.

De eerste reeks geldt sinds 17 januari 2025, samen met DORA zelf. De tweede reeks is in 2025 afgerond: oversight en melding verschenen in februari 2025 in het Publicatieblad, TLPT trad op 8 juli 2025 in werking en de norm over onderaannemers op 22 juli 2025.

Kader voor ICT-risicobeheer (2024/1774)

Gedelegeerde Verordening (EU) 2024/1774 werkt het kader voor ICT-risicobeheer van artikel 15 uit en bevat ook het vereenvoudigde kader van artikel 16, lid 3. Zij beslaat het volledige stelsel van beheersmaatregelen: beleid voor informatiebeveiliging onder verantwoordelijkheid van het leidinggevend orgaan, beheer van ICT-activa en toegangsrechten met sterke authenticatie voor bevoorrechte toegang, cryptografie en sleutelbeheer, netwerksegmentatie, detectie van afwijkende activiteiten, respons en herstel, en een ICT-bedrijfscontinuïteitsbeleid met geteste hersteldoelen.

Entiteiten die voor het vereenvoudigde kader in aanmerking komen, houden de kern: verantwoordelijkheid van het leidinggevend orgaan, incidentbeheer, regels voor derde aanbieders van ICT-diensten en het informatieregister.

Classificatie en melding van incidenten (2024/1772, 2025/301 en 2025/302)

Gedelegeerde Verordening (EU) 2024/1772 geeft de criteria en de materialiteitsdrempels waarmee u vaststelt of sprake is van een ernstig ICT-gerelateerd incident: getroffen cliënten en tegenpartijen, duur en uitval van de dienst, geografische reikwijdte, gegevensverlies, het kritieke karakter van de getroffen diensten en de economische gevolgen. Dezelfde norm geeft de criteria voor een significante cyberdreiging, die vrijwillig mag worden gemeld.

Gedelegeerde Verordening (EU) 2025/301 legt inhoud en termijnen vast, Uitvoeringsverordening (EU) 2025/302 de formulieren. De keten loopt van de eerste kennisgeving binnen vier uur na de classificatie, en uiterlijk 24 uur nadat het incident bekend werd, via het tussentijdse verslag binnen 72 uur na die eerste kennisgeving naar het eindverslag, uiterlijk een maand na het laatste tussentijdse verslag. Zie onze pagina over melding van incidenten.

Informatieregister en derde aanbieders (2024/2956, 2024/1773 en 2025/532)

Uitvoeringsverordening (EU) 2024/2956 geeft de modellen voor het informatieregister dat u op grond van artikel 28 bijhoudt over alle contractuele overeenkomsten inzake het gebruik van ICT-diensten: vijftien onderling verbonden modellen, gesloten codelijsten en verplichte velden zoals de LEI-code van de aanbieder. Overeenkomsten die kritieke of belangrijke functies ondersteunen, worden apart aangeduid. Zie onze pagina over het informatieregister.

Gedelegeerde Verordening (EU) 2024/1773 bepaalt wat uw beleid inzake ICT-diensten ter ondersteuning van kritieke of belangrijke functies moet bevatten. Gedelegeerde Verordening (EU) 2025/532 gaat over uitbesteding aan onderaannemers: wat u vooraf beoordeelt, welk zicht u houdt op de keten, welke wijzigingen aan u worden gemeld en waar de gegevens worden verwerkt. Beoordeel het ICT-concentratierisico op ketenniveau, niet alleen bij uw directe aanbieder.

Dreigingsgestuurde penetratietests (2025/1190)

Gedelegeerde Verordening (EU) 2025/1190 werkt de geavanceerde tests van artikel 26 uit. Een dreigingsgestuurde penetratietest (TLPT) bootst de tactiek, technieken en procedures van reële dreigingsactoren na, op de systemen die uw kritieke of belangrijke functies in productie ondersteunen.

• aanwijzing van de te testen entiteiten door de bevoegde autoriteit;
• methodologie in fasen, afgestemd op het TIBER-EU-kader;
• eisen aan interne en externe testers en aan het white team;
• deelname van derde aanbieders van ICT-diensten binnen het toepassingsgebied van de test;
• verslaglegging aan de autoriteiten en wederzijdse erkenning van tests.

Aangewezen entiteiten testen ten minste om de drie jaar. Reikwijdte en fasen staan op onze TLPT-pagina.

Bouw uw informatieregister op →

Veelgestelde vragen

Deze pagina is vakinhoudelijke ondersteuning, geen juridisch advies. · Engelse versie