Sinds januari 2025 moeten financiële instellingen en ICT-dienstverleners voldoen aan de Digital Operational Resilience Act (DORA). Ontdek hoe u vulnerability management, weerbaarheidstesten en auditklare compliance-documentatie efficiënt implementeert.
Gratis DORA-adviesgesprekLeestijd: 8 minuten
De Digital Operational Resilience Act (DORA) is Verordening (EU) 2022/2554 en is sinds 17 januari 2025 volledig van toepassing. De verordening verplicht financiële instellingen en hun kritieke ICT-dienstverleners om hun weerbaarheid tegen cyberaanvallen en ICT-verstoringen systematisch op te bouwen en aantoonbaar te maken. Voor het eerst harmoniseert DORA de vereisten voor ICT-risicobeheer binnen de financiële sector in de hele EU en vervangt zij nationale kaders zoals BAIT, VAIT en KAIT als belangrijkste maatstaf.
De verordening is rechtstreeks van toepassing in alle EU-lidstaten, zonder dat omzetting in nationale wetgeving nodig is. In Duitsland fungeert BaFin als centraal meldpunt voor ICT-gerelateerde incidenten en voert het sinds 2025 actief bijzondere onderzoeken uit op grond van artikel 44 van de Duitse Bankenwet (KWG) om de implementatie van DORA te beoordelen.
DORA vormt een aanvulling op andere Europese cybersecuritykaders, zoals de NIS2-richtlijn en de Cyber Resilience Act, maar legt de nadruk op ICT-risicobeheer, weerbaarheidstesten en de veilige werking van digitale financiële diensten.
DORA is van toepassing op financiële instellingen en kritieke ICT-dienstverleners die digitale diensten leveren aan de financiële sector.
DORA is van toepassing op meer dan 22.000 financiële instellingen en ICT-dienstverleners binnen de Europese Unie. De verordening volgt het evenredigheidsbeginsel: kleinere organisaties vallen onder een vereenvoudigd kader voor ICT-risicobeheer, terwijl grotere instellingen, zoals systeembanken en grote verzekeraars, aan strengere eisen moeten voldoen, waaronder verplichte Threat-Led Penetration Tests (TLPT’s).
DORA heeft betrekking op financiële instellingen zoals banken, verzekeraars en betalingsdienstaanbieders, evenals kritieke ICT-dienstverleners in de gehele digitale toeleveringsketen.
DORA verdeelt zijn vereisten over vijf kerngebieden. Financiële instellingen moeten aantonen dat zij aan alle vijf de pijlers voldoen. Hieronder worden de onderdelen benadrukt waarin vulnerability management een directe rol speelt.
DORA structureert digitale operationele weerbaarheid in vijf pijlers die samen een volledig kader voor ICT-risicobeheer vormen.
DORA is sinds 17 januari 2025 volledig van toepassing. BaFin controleert actief de implementatie van de verordening. Tegen het einde van 2025 waren al honderden ICT-incidenten gemeld en waren meerdere bijzondere onderzoeken gestart. Vanaf 2026 verwachten toezichthouders steeds vaker concrete, gegevensgestuurde bewijzen van operationele weerbaarheid in plaats van uitsluitend beleidsdocumentatie.
DORA is sinds januari 2025 volledig van toepassing. Toezichthouders vragen steeds vaker om aantoonbaar bewijs van digitale weerbaarheid.
Vulnerability management vormt de kern van DORA’s vereisten voor ICT-risicobeheer en weerbaarheidstesten. Greenbone ondersteunt rechtstreeks de artikelen 9, 10 en 28 met een bewezen ISO-gecertificeerde scaninfrastructuur en auditklare rapportages.
Doorlopend vulnerability management ondersteunt essentiële DORA-eisen, waaronder risicobeheer, weerbaarheidstesten en auditklare bewijsvoering.
Wat is DORA en op wie is de verordening van toepassing?
De Digital Operational Resilience Act (DORA) is Verordening (EU) 2022/2554 en is sinds 17 januari 2025 volledig van toepassing. De verordening verplicht meer dan 22.000 financiële instellingen en kritieke ICT-dienstverleners binnen de Europese Unie om hun weerbaarheid tegen cyberaanvallen en ICT-verstoringen systematisch op te bouwen en aantoonbaar te maken. Hieronder vallen banken, verzekeraars, beleggingsondernemingen, betalingsdienstaanbieders, aanbieders van cryptodiensten en hun ICT-leveranciers.
Is DORA ook van toepassing op ICT-dienstverleners die financiële instellingen ondersteunen?
Ja. DORA is expliciet van toepassing op kritieke externe ICT-dienstverleners en niet uitsluitend op financiële instellingen zelf. Als uw organisatie systemen, software of diensten levert aan banken, verzekeraars of beleggingsondernemingen, valt u waarschijnlijk binnen de reikwijdte van DORA. De aanwijzing als kritieke externe ICT-dienstverlener wordt vastgesteld door de bevoegde toezichthoudende autoriteiten.
Is een jaarlijkse penetratietest voldoende om aan DORA te voldoen?
Nee. DORA vereist voortdurende kwetsbaarheidsbeoordelingen en niet slechts periodieke controles. Threat-Led Penetration Tests (TLPT’s) vormen een aanvullende verplichting voor significante instellingen en moeten ten minste eens per drie jaar worden uitgevoerd volgens het TIBER-EU-framework. Zij vervangen echter niet het doorlopende vulnerability management dat nodig is om aan de basisvereisten van de artikelen 9 en 10 te voldoen.
Wat is het verschil tussen DORA en NIS2?
De NIS2-richtlijn is een brede cybersecurityrichtlijn voor kritieke sectoren en moet in nationale wetgeving worden omgezet. DORA is een rechtstreeks toepasselijke verordening die uitsluitend gericht is op de financiële sector en veel gedetailleerdere eisen stelt aan ICT-risicobeheer, incidentrapportage, weerbaarheidstesten en toezicht op externe ICT-dienstverleners. Voor financiële organisaties die onder beide regelgevingen vallen, heeft DORA voorrang binnen zijn specifieke toepassingsgebied.
Welke sancties kunnen worden opgelegd bij niet-naleving van DORA?
Toezichthouders kunnen boetes opleggen tot €10 miljoen of 5 procent van de wereldwijde jaaromzet. Voor kritieke externe ICT-dienstverleners bedraagt de maximale sanctie €5 miljoen of 2 procent van de wereldwijde jaaromzet. Daarnaast kunnen operationele beperkingen worden opgelegd en kan aanzienlijke reputatieschade ontstaan. BaFin voert sinds 2025 actief bijzondere onderzoeken uit.
Hoe snel kan OPENVAS SCAN in bestaande ICT-omgevingen worden geïntegreerd?
De implementatie kan doorgaans binnen enkele uren worden voltooid. OPENVAS SCAN ondersteunt standaard netwerktopologieën, gesegmenteerde omgevingen en hybride cloudarchitecturen. Greenbone biedt zowel on-premises als cloudgebaseerde implementatiemodellen, waarbij volledige datasoevereiniteit en onafhankelijkheid van Amerikaanse cloudinfrastructuren gewaarborgd blijven.
Hoe verhoudt DORA zich tot de Cyber Resilience Act (CRA)?
De Cyber Resilience Act is van toepassing op fabrikanten, importeurs en distributeurs van digitale producten in uiteenlopende sectoren. DORA is daarentegen een sectorspecifieke verordening die uitsluitend gericht is op de financiële sector en betrekking heeft op het gebruik en het risicobeheer van ICT-systemen. Beide regelgevingen vullen elkaar aan: financiële organisaties die tevens digitale producten ontwikkelen of op de markt brengen, kunnen onder beide kaders vallen. → Meer informatie over de Cyber Resilience Act.
DORA is sinds januari 2025 van kracht en BaFin controleert actief de naleving van de vereisten. Neem vandaag nog contact op met onze experts en ontdek hoe OPENVAS SCAN en OPENVAS SECURITY INTELLIGENCE uw vulnerability management-programma kunnen versterken, zowel on-premises als in de cloud.
