De nieuwste DORA-update van de AFM laat zien dat de financiële sector duidelijke vooruitgang boekt. Tegelijk is de boodschap scherp: beleid, registers en procedures zijn pas waardevol als zij in de praktijk werken, juist wanneer systemen en mensen onder druk staan.
De toezichtsvraag verschuift van “is het geregeld?” naar “werkt het aantoonbaar als het tegenzit?
De Digital Operational Resilience Act, kortweg DORA, is sinds 17 januari 2025 van toepassing. De eerste anderhalf jaar stond voor veel financiële instellingen in het teken van implementatie: beleid opstellen, contracten aanpassen, verantwoordelijkheden beleggen en het informatieregister aanleveren. In de DORA-update nr. 7 van 6 augustus 2026 blikt de Autoriteit Financiële Markten (AFM) terug op die periode.
Het beeld is positief, maar niet onverdeeld. Financiële instellingen hebben veel werk verzet, terwijl uit het toezicht ook blijkt dat beleid niet altijd volledig aansluit op de DORA-vereisten of op de feitelijke bedrijfspraktijk- en risico’s. Bovendien zijn organisaties vaak verder met het signaleren van verstoringen dan met het voorkomen ervan. Daarmee begint een nieuwe fase: niet alleen aantonen dat de inrichting bestaat, maar bewijzen dat de beheersing werkt.
Een opvallend resultaat is de verbeterde kwaliteit van de informatieregisters. In 2025 werd 40 procent van de registers goedgekeurd door de European Banking Authority. In 2026 steeg dit naar 94 procent. Financiële instellingen wisten beter wat van hen werd verwacht en konden, dankzij een aangepast proces, waar nodig een nieuwe versie indienen.
Die stijging is een sterke prestatie, want het register en het indienen ervan is door velen toch als een gedrocht ervaren. Toch ontstaat het risico dit register vooral te zien als een jaarlijkse administratieve verplichting waarbij we, door tijdig in te dienen, DORA-compliant denken te zijn om vervolgens weer ‘back to business’ te kunnen gaan. Een goed register is juist een actueel managementinstrument. Het maakt zichtbaar welke ICT-dienstverleners kritieke of belangrijke functies ondersteunen, welke contracten daarbij horen, waar afhankelijkheden en concentratierisico’s zitten en welke afspraken over beveiliging, continuïteit, audit en beëindiging bestaan.
De waarde ontstaat dus niet op het moment dat het bestand tijdig is ingediend en geaccepteerd. De waarde ontstaat wanneer procurement, risicobeheer, informatiebeveiliging, ICT, juridische zaken en compliance hetzelfde actuele beeld gebruiken voor monitoring, besluitvorming en toezicht op leveranciers. Goed leveranciersmanagement vraagt immers meer dan een overzicht van leveranciers, een getekend contract en een jaarlijkse vragenlijst. Nodig zijn doorlopend inzicht in afhankelijkheden, wijzigingen, onderaannemers, beveiligingsrisico’s, continuïteitsvoorzieningen en realistische exit-mogelijkheden.
De aangeleverde informatieregisters zet DNB, net als de toezichthouders uit de andere EU-lidstaten, door naar de Europese toezichthouders. Dit heeft een belangrijk totaal inzicht gegeven in de afhankelijkheid van de Europese financiële sector van een aantal kritieke leveranciers van ICT-diensten. Denk aan de cloudproviders Microsoft en Amazon Web Services, Google Cloud, SAP waar bijna de hele Europese sector op draait. Dit is geen nieuw inzicht, al jaren was duidelijk dat heel Europa, en niet alleen de financiële sector, in feite aan het Amerikaanse tech-infuus ligt. Wat wel nieuw is, is dat de Europese toezichthouders op basis van deze registers negentien kritieke derde-aanbieders van ICT-diensten onder direct Europees toezicht hebben geplaatst, omdat de continuïteit van dienstverlening door deze leveranciers onmisbaar is voor de stabiliteit van het Europees financieel systeem. Deze aanbieders vallen daarmee als niet-financiële instellingen onder supervisie van de Europese financiële toezichthouders Dat toezicht bestaat onder meer uit doorlopende monitoring, onderzoeken, inspecties, informatieverzoeken en aanbevelingen.
Geeft dat meer zekerheid voor de individuele financiële instelling? Ja en nee. Dit is belangrijk voor de beheersing van sectorbrede risico’s, maar het is geen vrijbrief voor individuele instellingen. De vergunninghouder blijft zelf verantwoordelijk voor de naleving van DORA, de beheersing van ICT- en uitbestedingsrisico’s en voor de continuïteit van de eigen dienstverlening. Bovendien kan een verstoring ontstaan bij iedere ICT-aanbieder, groot of klein, of bij een onderaannemer verderop in de keten.
De AFM heeft in 2025 vooral gekeken naar het ICT-risicobeheer. Daarbij bleek dat niet iedere onderneming over alle verplichte beleidsstukken en procedures beschikte. Bestaande documenten voldeden ook niet altijd volledig aan de DORA-vereisten en de bijbehorende nadere regels. De AFM adviseert daarom om periodiek een zelfevaluatie uit te voeren en deze te verbinden aan de verplichte periodieke evaluatie van het ICT-risicobeheerkader, waarbij eveneens wordt geëvalueerd of het bestaande beleid en procedures (nog) voldoen aan de DORA-vereisten en of deze werken in de praktijk.
Daarnaast wijst de AFM financiële instellingen die onderdeel zijn van een groepsstructuur erop dat groepsbeleid voor ICT-risicobeheer efficiënt en bruikbaar kan zijn maar niet automatisch DORA naleving betekent. Zij kunnen meeliften op het beleid en procedures vanuit de groep, maar zullen echter zelf moeten vaststellen dat het beleid en andere beheersmaatregelen voldoen aan alle relevante DORA vereisten en dat het beleid past bij de eigen organisatie. Zij blijven immers zelf verantwoordelijk voor de naleving van de DORA vereisten.
Daarnaast ziet de AFM ruimte voor verbetering bij preventieve maatregelen. Veel ondernemingen kunnen mogelijke verstoringen tijdig signaleren, maar hebben niet afdoende maatregelen ingericht om incidenten te voorkomen. Vooral logische toegangsbeveiliging, tijdig herstel van kwetsbaarheden en het beheer van software-updates verdienen aandacht. Het verschil tussen beleid en weerbaarheid zit precies daar: in beheersmaatregelen die aantoonbaar zijn ingevoerd, worden gevolgd en effectief blijken.
In 2025 ontving de AFM 123 DORA-meldingen. Daarvan gingen 65 meldingen over ernstige ICT-gerelateerde incidenten, 54 over nieuwe overeenkomsten met ICT-dienstverleners en vier over significante cyberdreigingen. De AFM vindt vooral het aantal incidentmeldingen lager dan verwacht.
Dat is relevant omdat de termijnen kort zijn. Een ernstig ICT-gerelateerd incident moet uiterlijk vier uur na classificatie, of binnen 24 uur na detectie, worden gemeld. Daarna volgt binnen 72 uur een tussentijds verslag en uiterlijk één maand na classificatie een eindrapportage.
Classificatie in dit kader betekent de beoordeling van de ernst van een ICT-incident, waarbij DORA ‘ernstig’ afbakent als een incident waarbij kritieke diensten zijn geraakt en er sprake is van:
Een organisatie die tijdens een incident nog moet uitzoeken wie classificeert, wie beslist of wie de toezichthouder informeert, loopt direct achter. Een goed incidentproces moet daarom regelmatig getest worden. Niet alleen technisch herstel, maar ook registratie, classificatie, escalatie, besluitvorming, communicatie en melding. Test ook situaties buiten kantooruren en verstoringen bij leveranciers. Als elk incident opnieuw discussie oproept over eigenaarschap of meldplicht, is het proces nog onvoldoende verankerd.
DORA is geen eenmalige nalevingsoefening. De verordening raakt de kwaliteit en continuïteit van de bedrijfsvoering. Klanten moeten erop kunnen vertrouwen dat de dienstverlening beschikbaar blijft, gegevens beschermd zijn en verstoringen snel worden beheerst. Digitale operationele weerbaarheid is daarmee een license to operate van een financiële instelling.
De aandacht verschuift naar samenhang en werking van het ICT-risicobeheer en kritisch kunnen vaststellen of verantwoordelijkheden helder zijn, informatie betrouwbaar is, tekortkomingen adequaat (kunnen) worden opgevolgd en het bestuur daadwerkelijk kan sturen, gezien de verantwoordelijkheid die DORA bij het bestuur legt.
De basis is bij veel financiële instellingen sterker geworden. De volgende uitdaging is aantoonbare volwassenheid: een organisatie die risico’s tijdig voorkomt, verstoringen snel herkent, onder druk goed beslist en leert van wat misgaat. Daarom is het raadzaam dat de volgende activiteiten hoog op de agenda blijven staan:
DORA is geïmplementeerd. Maar werkt het ook als het erop aankomt? De overgang van DORA-implementatie naar DORA-volwassenheid vraagt om aantoonbare operationele weerbaarheid. Waar liggen voor jouw organisatie de grootste uitdagingen?
