DORA is de Europese verordening over de digitale operationele weerbaarheid van de financiële sector. Hieronder het toepassingsgebied, de vijf pijlers, de datums die tellen en wat artikel 50 over sancties zegt.
DORA staat voor Digital Operational Resilience Act en is Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022. Een verordening werkt rechtstreeks: nationale omzetting is niet nodig.
De tekst bouwt één geharmoniseerd kader voor de digitale operationele weerbaarheid van de financiële sector, omschreven als het vermogen van een financiële entiteit om haar operationele integriteit en betrouwbaarheid op te bouwen, te waarborgen en te evalueren, ook gedurende storingen. Wat eerder in niet-bindende richtsnoeren stond, heeft nu dezelfde rechtskracht in de hele Unie.
De technische reguleringsnormen en uitvoeringsnormen (RTS en ITS) van de Europese toezichthoudende autoriteiten vullen de verplichtingen verder in.
Artikel 2 bepaalt het toepassingsgebied: nagenoeg de volledige financiële sector van de Unie valt eronder. Onder meer kredietinstellingen, betalingsinstellingen, instellingen voor elektronisch geld, beleggingsondernemingen, aanbieders van cryptoactivadiensten, verzekerings- en herverzekeringsondernemingen, beheerders van beleggingsinstellingen, handelsplatformen en centrale tegenpartijen.
Een derde aanbieder van ICT-diensten is niet rechtstreeks aan DORA onderworpen. De eisen bereiken hem via het contract met zijn cliënt, op grond van de artikelen 28 tot en met 30. Alleen wie als kritieke derde aanbieder van ICT-diensten is aangewezen, komt onder rechtstreeks oversight te staan.
Het evenredigheidsbeginsel weegt mee: een micro-onderneming volgt een vereenvoudigd kader voor ICT-risicobeheer, maar blijft binnen het toepassingsgebied.
Begin bij de classificatie van uw kritieke of belangrijke functies: die stuurt de reikwijdte van pijler 2, 3 en 4.
De invoeringsfase is voorbij. Het werk verschuift naar aantoonbaarheid: dossiers die standhouden bij een inspectie.
Het toezicht loopt langs twee lijnen. Nationaal zien de bevoegde autoriteiten toe op de financiële entiteiten: in Nederland DNB en de AFM, in België de Nationale Bank van België en de FSMA. Zij kunnen onderzoeken ter plaatse verrichten en corrigerende maatregelen eisen.
Op Unieniveau voeren de Europese toezichthoudende autoriteiten (EBA, ESMA en EIOPA) een gezamenlijk oversightkader uit voor kritieke derde aanbieders van ICT-diensten. Elke aangewezen aanbieder krijgt een lead overseer, die informatie kan opvragen, onderzoeken kan verrichten en aanbevelingen kan uitvaardigen over uitbesteding en ICT-concentratierisico.
Artikel 50 verplicht de lidstaten administratieve strafmaatregelen en corrigerende maatregelen vast te stellen die doeltreffend zijn, in verhouding staan tot de inbreuk en een afschrikkende werking hebben. Tot de minimumbevoegdheden behoren: gelasten dat de inbreuk makende gedraging stopt en maatregelen nemen om naleving te verzekeren. Artikel 52 laat lidstaten toe daaraan strafrechtelijke maatregelen te koppelen.
Voor financiële entiteiten legt de verordening geen Uniebreed maximum vast dat is uitgedrukt in een percentage van de omzet. Uw plafond volgt uit het nationale recht van de lidstaat waar u onder toezicht staat.
Eén percentage staat wel in de tekst zelf. Artikel 35 geeft de lead overseer de bevoegdheid een aangewezen kritieke derde aanbieder van ICT-diensten een dwangsom op te leggen van maximaal 1 % van de gemiddelde dagelijkse wereldwijde omzet in het voorgaande boekjaar, dagelijks en gedurende ten hoogste zes maanden. Die dwangsom raakt uitsluitend aangewezen aanbieders, niet financiële entiteiten. Het vaak herhaalde plafond van twee procent van de omzet staat niet in DORA.
Begin met uw informatieregister →
DORA staat voor Digital Operational Resilience Act en is Verordening (EU) 2022/2554: één kader voor de digitale operationele weerbaarheid van de financiële sector, rechtstreeks werkend in alle lidstaten.
DORA is op 16 januari 2023 in werking getreden en is van toepassing sinds 17 januari 2025. Alle entiteiten binnen het toepassingsgebied moeten sindsdien voldoen en dat kunnen aantonen.
Een derde aanbieder van ICT-diensten valt niet rechtstreeks onder DORA. De eisen bereiken hem via de contractuele bepalingen van de artikelen 28 tot en met 30, waaraan u als financiële entiteit gebonden bent. Alleen een aangewezen kritieke derde aanbieder van ICT-diensten staat onder rechtstreeks oversight.
DORA is lex specialis voor de financiële sector en gaat binnen zijn toepassingsgebied voor op Richtlijn (EU) 2022/2555 (NIS2). NIS2 bestrijkt meer sectoren en is een richtlijn, die per lidstaat wordt omgezet. Een derde aanbieder van ICT-diensten van een bank kan tegelijk onder NIS2 vallen als aanbieder van digitale infrastructuur.
Artikel 50 laat de administratieve strafmaatregelen aan de lidstaten: DORA bevat geen Uniebreed maximum in procenten van de omzet voor financiële entiteiten. Voor aangewezen kritieke derde aanbieders van ICT-diensten voorziet artikel 35 wel in een dwangsom van maximaal 1 % van de gemiddelde dagelijkse wereldwijde omzet, dagelijks en ten hoogste zes maanden.
Het informatieregister is het verplichte overzicht van alle contractuele overeenkomsten over het gebruik van ICT-diensten van derde aanbieders. Het wordt op entiteitsniveau en op gesubconsolideerd en geconsolideerd niveau bijgehouden en aan de bevoegde autoriteit verstrekt. Het onderscheidt de overeenkomsten die kritieke of belangrijke functies ondersteunen.
Deze pagina is vakinhoudelijke ondersteuning, geen juridisch advies. · Engelse versie