De Digital Operational Resilience Act (DORA) geldt sinds 17 januari 2025 voor financiële instellingen in de EU. Een groot deel van de verordening gaat over ICT-risico's bij externe leveranciers. En dat landt precies in je contracten: welke ICT-diensten je afneemt, wat erover is afgesproken, en of je eruit kunt als het misgaat.
In dit artikel: wat het informatieregister is, welke bepalingen volgens artikel 30 in je ICT-contracten moeten, en hoe je het in vijf stappen aanpakt.
Kort antwoord: DORA verplicht financiële entiteiten om een register bij te houden van alle contracten voor ICT-diensten (art. 28 lid 3) en dat jaarlijks aan te leveren bij de toezichthouder. Daarnaast moeten die contracten verplichte bepalingen bevatten (art. 30), met zwaardere eisen voor kritieke of belangrijke functies. Begin met een volledig overzicht van je ICT-contracten.
DORA in het kort
DORA is een Europese verordening: hij geldt direct, zonder Nederlandse uitvoeringswet. Hij geldt voor financiële entiteiten: banken, verzekeraars, beleggingsondernemingen, betaal- en elektronischgeldinstellingen, pensioenfondsen, cryptodienstverleners en meer.
De verordening heeft vijf pijlers: ICT-risicobeheer, incidentmeldingen, testen van digitale weerbaarheid, risico's van ICT-derden en informatie-uitwisseling. Dit artikel gaat over die vierde pijler: de leveranciers.
Ben je zelf ICT-leverancier van een bank of verzekeraar? Dan val je niet direct onder DORA, maar je krijgt de eisen wel via het contract. Reken erop dat je klanten om aanpassingen vragen.
Het informatieregister (artikel 28, lid 3)
Elke financiële entiteit houdt een register van informatie bij over alle contractuele afspraken voor ICT-diensten met externe dienstverleners. Niet alleen de grote cloudcontracten, maar álle ICT-diensten.
Per contract leg je onder meer vast:
- Wie de dienstverlener is, met identificatiegegevens (zoals de LEI-code waar die er is).
- Welke dienst wordt geleverd, en welke functie van je organisatie die ondersteunt.
- Of die functie kritiek of belangrijk is.
- Looptijd, opzegtermijnen en de rechtsgebieden.
- Waar data wordt verwerkt en opgeslagen.
- Belangrijke onderaannemers in de keten.
Het register lever je jaarlijks aan bij de toezichthouder. In Nederland vroeg DNB het register voor het eerst op in april 2025 en opnieuw in maart 2026. De Europese toezichthouders schrijven het formaat voor; controleer de actuele eisen bij je eigen toezichthouder.
Het lastigste is meestal niet het formaat, maar de volledigheid. ICT-diensten zitten verstopt in afdelingsbudgetten, creditcardabonnementen en contracten die "eigenlijk geen ICT" zijn. Begin bij de crediteurenlijst, niet bij de contractenmap.
Wat moet er in het contract? (artikel 30)
Artikel 30 noemt de verplichte contractbepalingen. Een deel geldt voor álle ICT-contracten, een deel alleen als de dienst een kritieke of belangrijke functie ondersteunt.
Voor alle ICT-contracten
| Bepaling | Wat je controleert |
|---|---|
| Omschrijving van de diensten | Staat duidelijk welke diensten worden geleverd, en mag de leverancier uitbesteden (en onder welke voorwaarden)? |
| Locaties | In welke landen worden de diensten geleverd en wordt data verwerkt en opgeslagen? Moet de leverancier vooraf melden als dat verandert? |
| Beveiliging van data | Afspraken over beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens. |
| Toegang tot je data | Kun je je data terugkrijgen in een bruikbaar formaat bij faillissement, afwikkeling of beëindiging? |
| Service levels | Een beschrijving van de dienstniveaus, inclusief updates. |
| Hulp bij incidenten | Helpt de leverancier bij een ICT-incident, zonder extra kosten of tegen vooraf bepaalde kosten? |
| Toezichthouders | Werkt de leverancier volledig mee met de toezichthouder? |
| Beëindiging | Beëindigingsrechten en minimale opzegtermijnen, in lijn met wat de toezichthouder verwacht. |
| Bewustwording | Neemt de leverancier deel aan je trainingen en programma's voor ICT-veiligheid? |
Extra voor kritieke of belangrijke functies
| Bepaling | Wat je controleert |
|---|---|
| Volledige service levels | Precieze kwantitatieve en kwalitatieve prestatiedoelen, zodat je kunt bijsturen. |
| Meldplichten | Moet de leverancier ontwikkelingen melden die de dienst kunnen raken? |
| Continuïteit | Heeft de leverancier bedrijfscontinuïteitsplannen, en worden die getest? |
| Beveiligingsmaatregelen | Welke ICT-beveiligingsmaatregelen en -instrumenten moet de leverancier treffen? |
| Penetratietesten | Doet de leverancier mee aan dreigingsgestuurde penetratietesten (TLPT)? |
| Audit en toegang | Onbeperkte rechten op toegang, inspectie en audit, voor jou én de toezichthouder. |
| Exitstrategie | Een verplichte, passende overgangsperiode waarin de leverancier blijft leveren terwijl je overstapt. |
Daarnaast eist artikel 28 dat je een contract kunt beëindigen bij onder meer een ernstige schending van wet- of regelgeving door de leverancier, of als de toezichthouder door het contract geen effectief toezicht meer kan houden. En voor kritieke of belangrijke functies moet je een exitstrategie hebben die ook getest is.
Aanpak in vijf stappen
- Inventariseer alle ICT-diensten. Begin bij de crediteurenlijst en vraag per afdeling na wat er draait. Het stappenplan voor contractinventarisatie helpt daarbij.
- Koppel elk contract aan een functie en bepaal of die kritiek of belangrijk is. Dat bepaalt welke contractbepalingen gelden.
- Toets de contracten aan artikel 30. Maak per contract een lijstje van wat ontbreekt. De tabellen hierboven zijn een goede start.
- Plan de aanpassingen rond de verlengingsdatum. Een leverancier is het meest bereid om aan te passen als het contract toch al openligt. Zorg dat je de opzegtermijnen bewaakt, zodat je niet ongemerkt een jaar verlengt zonder de nieuwe bepalingen.
- Houd het register actueel. Een nieuw contract, een verlenging of een nieuwe onderaannemer moet direct in het register, niet pas vlak voor de jaarlijkse aanlevering.
Waar Looop helpt, en waar niet
Eerlijk vooraf: Looop maakt geen DORA-rapportage in het formaat dat de toezichthouders voorschrijven, en het is geen compliancetool. Wat Looop wel doet, is de basis op orde brengen:
- Al je ICT-contracten op één plek, met leverancier, looptijd, opzegtermijn, eigenaar en het document zelf. Nora AI leest geüploade contracten uit, zodat je niet alles met de hand invoert.
- Afdelingen, vestigingen en notities per contract, om vast te leggen welke functie een ICT-contract ondersteunt en of die kritiek is.
- Risico's en KPI's per contract, zodat je per leverancier ziet wat er speelt. Meer in risicobeheer en KPI-monitoring.
- Meldingen vóór de uiterste opzegdatum, zodat je contracten op tijd kunt heronderhandelen.
- Export van de contractgegevens, als basis voor het register dat je aanlevert.
Val je ook onder de Cyberbeveiligingswet, of zijn je klanten dat? Lees dan ook wat NIS2 betekent voor je leverancierscontracten.
Bronnen
- Verordening (EU) 2022/2554 (DORA), EUR-Lex
- De Nederlandsche Bank (dnb.nl), Open Boek Toezicht: de actuele aanleverinstructies voor het informatieregister
Dit artikel is geen juridisch advies. Controleer de actuele eisen en termijnen bij je toezichthouder.
Veelgestelde vragen
- Voor wie geldt DORA?
- DORA (Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 voor financiële entiteiten in de EU, zoals banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en pensioenfondsen. ICT-dienstverleners vallen er niet zelf onder, maar krijgen de eisen via de contracten met hun financiële klanten.
- Wat is het DORA-informatieregister?
- Een register van alle contractuele afspraken over ICT-diensten met externe dienstverleners (artikel 28, lid 3). Per contract staan erin wie de leverancier is, welke dienst wordt geleverd, welke functie die ondersteunt en of die functie kritiek of belangrijk is. Financiële entiteiten houden het register bij en leveren het jaarlijks aan bij de toezichthouder.
- Wanneer moet het DORA-register worden aangeleverd?
- Jaarlijks. In Nederland vroeg DNB het register voor het eerst op in april 2025 en opnieuw in maart 2026. Controleer de actuele termijnen en het formaat altijd bij je eigen toezichthouder.
- Welke bepalingen moeten volgens DORA in een ICT-contract?
- Artikel 30 noemt onder meer een duidelijke omschrijving van de diensten, de locaties waar data wordt verwerkt, afspraken over beveiliging en toegang tot data, service levels, hulp bij ICT-incidenten, medewerking met toezichthouders en beëindigingsrechten met opzegtermijnen. Voor kritieke of belangrijke functies komen daar onder meer exitstrategieën, audit- en toegangsrechten en deelname aan penetratietesten bij.
- Kan Looop het DORA-register voor mij aanleveren?
- Nee. Looop maakt geen DORA-rapportage in het formaat dat de toezichthouders voorschrijven. Wel houd je in Looop al je ICT-contracten bij, met leverancier, looptijd, opzegtermijn, risico's en eigenaar, en exporteer je die gegevens als basis voor je register.
