Waarom DORA jou raakt
DORA geldt voor zo'n twintig typen financiële entiteiten: kredietinstellingen, betaal- en elektronischgeldinstellingen, beleggingsondernemingen, aanbieders van cryptoactivadiensten, verzekeraars en herverzekeraars, pensioenfondsen en meer. Jij bent een externe ICT-dienstverlener: elke onderneming die hun digitale en datadiensten levert, van SaaS en hosting tot beheerde IT.
Artikel 28, lid 1, onder a, is voor jou de kernzin: een financiële entiteit die ICT uitbesteedt, "blijft te allen tijde volledig verantwoordelijk" voor de naleving. Ze kan die verantwoordelijkheid niet bij jou neerleggen, dus legt ze de rechten die ze nodig heeft contractueel vast. Vóór ondertekening moet ze beoordelen of je dienst een kritieke of belangrijke functie ondersteunt, due diligence doen en het concentratierisico toetsen (artikel 28, lid 4). Ze mag alleen contracten sluiten met aanbieders die "voldoen aan passende normen voor informatiebeveiliging" (artikel 28, lid 5).
"Kritiek of belangrijk" bepaalt de klant. Hetzelfde CRM kan voor de ene verzekeraar niet kritiek zijn en kritiek voor een betaalinstelling waarvan de onboarding erop draait. Vraag vroeg hoe ze je dienst indelen, want dat bepaalt of artikel 30, lid 3, geldt.
Het informatieregister
Artikel 28, lid 3, verplicht elke financiële entiteit om een register bij te houden van al haar ICT-contracten, en de bevoegde autoriteiten verzamelen die registers elk jaar. Het format ligt vast in Uitvoeringsverordening (EU) 2024/2956 van de Commissie (sjablonen voor het informatieregister). Voor jou betekent dat:
- Je wordt geïdentificeerd met een Legal Entity Identifier (LEI) of een European Unique Identifier (EUID), en waar beschikbaar met beide (artikel 3, lid 5, van de ITS). Heb je geen LEI, dan is er een aanvragen goedkoop en voorkomt het gedoe.
- Ondersteunt je dienst een kritieke of belangrijke functie, dan moet de klant ook de onderaannemers vastleggen die de dienst "daadwerkelijk ondersteunen", met hun LEI of EUID (artikel 3, lid 6). Reken op een verzoek om je relevante subverwerkers en de plaatsen van waaruit ze werken.
- Ze vragen per contract naar het type dienst, de locaties van gegevens, het toepasselijk recht, de vervangbaarheid en de exitafspraken.
De ESA's gebruikten deze registers om vast te stellen welke aanbieders kritiek zijn voor de sector als geheel (zie het deel over CTPP's hieronder).
Artikel 30: de clausules die in je contract komen
Artikel 30, lid 1, eist dat het hele contract, inclusief SLA's, in één schriftelijk document staat, in een duurzaam en toegankelijk formaat. De minimale inhoud valt in twee niveaus uiteen.
| Artikel | Vereist onderdeel | Wat het betekent voor een SaaS-leverancier |
|---|---|---|
| 30, lid 2: elk ICT-contract | ||
| 30(2)(a) | Duidelijke beschrijving van alle functies en diensten; of onderaanneming van kritieke onderdelen is toegestaan, en onder welke voorwaarden | Een dienstbeschrijving die klopt met de werkelijkheid, inclusief subverwerkers |
| 30(2)(b) | Locaties (regio's of landen) van dienstverlening en van verwerking en opslag van gegevens; vooraf melden van wijzigingen | Noem je hostingregio's; zeg toe dat je meldt voordat je ze verplaatst |
| 30(2)(c) | Beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, inclusief persoonsgegevens | Beveiligingsbijlage; sluit aan op je verwerkersovereenkomst onder de AVG |
| 30(2)(d) | Toegang, herstel en teruggave van gegevens in een makkelijk toegankelijk formaat bij insolventie, afwikkeling, stopzetting of beëindiging | Gedocumenteerde exportformaten; escrow of iets vergelijkbaars voor insolventie |
| 30(2)(e) | Beschrijving van de dienstverleningsniveaus, inclusief updates | Een SLA in het contract, niet alleen op een website |
| 30(2)(f) | Bijstand bij ICT-incidenten rond de dienst, zonder extra kosten of tegen vooraf bepaalde kosten | Prijs de ondersteuning bij incidenten vooraf |
| 30(2)(g) | Volledige medewerking met de bevoegde autoriteiten en afwikkelingsautoriteiten van de klant | Accepteer dat toezichthouders contact met je kunnen opnemen |
| 30(2)(h) | Beëindigingsrechten en minimale opzegtermijnen | Plus de redenen voor beëindiging uit artikel 28, lid 7, zoals een ernstige tekortkoming of aangetoonde zwakke plekken in de beveiliging |
| 30(2)(i) | Deelname aan de trainingen van de klant over ICT-beveiligingsbewustzijn en digitale weerbaarheid | Doe mee aan hun trainingen waar dat is afgesproken |
| 30, lid 3: daarnaast, voor kritieke of belangrijke functies | ||
| 30(3)(a) | Volledige SLA's met precieze kwantitatieve en kwalitatieve prestatiedoelen | Meetbare uptime, RTO/RPO en responstijden, met rapportage |
| 30(3)(b) | Opzegtermijnen en rapportageverplichtingen, inclusief elke ontwikkeling die de dienstverlening wezenlijk kan raken | Meld proactief financiële, eigendoms- of capaciteitsproblemen |
| 30(3)(c) | Geïmplementeerde en geteste bedrijfscontinuïteitsplannen; passende ICT-beveiligingsmaatregelen, -tools en -beleid | Getest BCP/DR met bewijs |
| 30(3)(d) | Deelname aan en volledige medewerking bij de TLPT van de klant | Zie het deel over TLPT |
| 30(3)(e) | Onbeperkte rechten op toegang, inspectie en audit voor de klant, door haar aangewezen partij en de bevoegde autoriteit; alternatieve zekerheid als andere klanten worden geraakt; medewerking bij inspecties ter plaatse | De clausule waarover SaaS-leveranciers het hardst onderhandelen; zie hieronder |
| 30(3)(f) | Exitstrategie met een verplichte, passende overgangsperiode | Je blijft hen bedienen terwijl ze migreren |
Artikel 30, lid 4, vraagt beide partijen om standaardcontractbepalingen van overheidsinstanties te overwegen. Financiële entiteiten moeten ook een schriftelijk beleid over deze contracten hebben, uitgewerkt in Gedelegeerde Verordening (EU) 2024/1773 van de Commissie. Daarom lijken de addenda van banken zo op elkaar.
Onderaanneming: Gedelegeerde Verordening 2025/532
De technische reguleringsnormen voor onderaanneming van ICT-diensten die kritieke of belangrijke functies ondersteunen, zijn op 24 maart 2025 vastgesteld en op 2 juli 2025 gepubliceerd. Voordat de klant akkoord gaat met onderaanneming, moet ze ervan overtuigd zijn dat je onderaannemers kunt selecteren en monitoren, ze allemaal in de keten kunt aanwijzen, en dezelfde toegangs- en auditrechten kunt doorleggen (artikel 3). Het contract moet onder meer vastleggen (artikel 4):
- dat jij verantwoordelijk blijft voor diensten die je onderaannemers leveren, en dat je hen monitort;
- je rapportageplichten over onderaannemers, en de locatie van de gegevens die zij verwerken;
- dat je onderaannemingscontracten bedrijfscontinuïteitsplannen, beveiligingsnormen en dezelfde audit- en toegangsrechten voor de financiële entiteit en haar autoriteiten bevatten;
- continuïteit van de dienst in de hele keten als een onderaannemer uitvalt.
Bij wezenlijke wijzigingen in je onderaanneming (artikel 5) moet je de klant "tijdig" informeren, een redelijke termijn geven, en de wijziging pas doorvoeren als de klant die heeft goedgekeurd of aan het einde van die termijn geen bezwaar heeft gemaakt. De klant mag opzeggen als je ondanks bezwaar doorzet, vóór het einde van de termijn, of als je iets uitbesteedt wat het contract niet toestaat (artikel 6). Wissel je nu nog zonder veel omhaal van subverwerker, dan is dit het proces om als eerste aan te passen.
Audit, toegang en gezamenlijke audits
Artikel 30, lid 3, onder e, spreekt van "onbeperkte rechten op toegang, inspectie en audit". Bij multi-tenant SaaS is onbeperkte fysieke toegang tot gedeelde infrastructuur zelden werkbaar, en de wet erkent dat met "het recht om alternatieve zekerheidsniveaus overeen te komen als de rechten van andere klanten worden geraakt". Gedelegeerde Verordening 2024/1773 (artikel 8) noemt de methoden die een financiële entiteit mag gebruiken: eigen audits of audits door derden, gezamenlijke audits met andere klanten, certificeringen door derden, en auditrapporten die jij beschikbaar stelt. Maar ze mag op termijn niet alleen op certificeringen of rapporten vertrouwen, en ze houdt het contractuele recht op individuele en gezamenlijke audits.
Praktische aanpak: bied als eerste lijn een ISO 27001-certificering en/of een SOC 2 Type II-rapport, een gestructureerd bewijspakket, en een duidelijke procedure voor audits ter plaatse of op afstand (aankondiging, scope, vertrouwelijkheid, frequentie, kosten). Gezamenlijke audits met je financiële klanten houden de last beheersbaar. Een financiële entiteit die een micro-onderneming is, kan afspreken dat haar auditrechten worden gedelegeerd aan een onafhankelijke derde die jij aanwijst (artikel 30, lid 3, laatste alinea).
Ondersteuning bij incidenten en de meldklok van de bank
Je klant moet ernstige ICT-gerelateerde incidenten melden bij haar toezichthouder. Onder Gedelegeerde Verordening (EU) 2025/301 moet de eerste melding binnen 4 uur na de classificatie als ernstig incident worden gedaan, en uiterlijk 24 uur nadat de entiteit ervan wist. Het tussentijdse rapport volgt binnen 72 uur en het eindrapport binnen een maand. Is jouw storing of datalek het incident, dan halen ze die klok alleen als jij ze snel informeert. Reken op clausules die melding binnen enkele uren eisen, vaste contactpersonen die dag en nacht bereikbaar zijn, en medewerking aan de analyse van de grondoorzaak. Artikel 30, lid 2, onder f, eist bijstand bij incidenten zonder extra kosten of tegen een vooraf afgesproken prijs.
Dreigingsgestuurde penetratietests (TLPT)
Significante financiële entiteiten moeten minstens elke drie jaar dreigingsgestuurde penetratietests uitvoeren op live productiesystemen (artikelen 26 en 27, uitgewerkt in Gedelegeerde Verordening (EU) 2025/1190, gebaseerd op TIBER-EU). Ondersteunt je dienst een kritieke of belangrijke functie die binnen de scope valt, dan moet je "deelnemen en volledig meewerken" (artikel 30, lid 3, onder d). Kan je deelname de kwaliteit of veiligheid van diensten aan klanten buiten DORA schaden, of de vertrouwelijkheid van hun gegevens, dan kunnen jij en de klant schriftelijk afspreken dat jij rechtstreeks een externe tester inhuurt voor een gezamenlijke TLPT voor meerdere financiële entiteiten, onder leiding van een van hen (artikel 26, lid 4). Maak vooraf afspraken over de spelregels, veilige tijdvensters, gegevensbescherming en wie welke kosten draagt. De meeste leveranciers uit het mkb komen nooit in een TLPT terecht, maar de clausule staat wel in het contract.
Exitstrategieën
Financiële entiteiten moeten geteste exitplannen hebben voor elke dienst die kritieke of belangrijke functies ondersteunt (artikel 28, lid 8). Ze moeten kunnen vertrekken zonder verstoring van hun bedrijf, hun naleving van regels of hun klanten. Je contract bevat daarom een overgangsperiode waarin je de dienst voortzet terwijl zij migreren (artikel 30, lid 3, onder f), plus teruggave van gegevens in een toegankelijk formaat (lid 2, onder d). Zorg voor een gedocumenteerde export (formaat, volledigheid, timing), een draaiboek voor offboarding en een prijs voor de overgang. "We verwijderen alles 30 dagen na beëindiging" gaat het niet worden.
Toezicht op CTPP's, en waarom je er waarschijnlijk geen bent
DORA voert ook direct Europees toezicht in op kritieke externe ICT-dienstverleners (CTPP's). De ESA's wijzen ze aan op basis van systeemimpact, het aantal systeemrelevante instellingen dat van hen afhankelijk is, de afhankelijkheid voor kritieke functies en de vervangbaarheid (artikel 31, lid 2). Voor het criterium systeemimpact begint Gedelegeerde Verordening (EU) 2024/1502 met een kwantitatieve toets: de aanbieder ondersteunt kritieke of belangrijke functies van minstens 10% van een categorie financiële entiteiten, zowel naar aantal als naar totale activa.
Op 18 november 2025 publiceerden de ESA's de eerste lijst van 19 CTPP's, met onder meer Amazon Web Services, Microsoft, Google Cloud, Oracle, SAP, IBM, Accenture, Capgemini, Bloomberg, Equinix en Deutsche Telekom. Sommige aanbieders zijn wettelijk uitgezonderd, onder meer aanbieders die alleen financiële entiteiten in één lidstaat bedienen (artikel 31, lid 8). Aanbieders kunnen ook zelf vragen om te worden aangewezen (artikel 31, lid 11).
Voor een gemiddelde mkb-leverancier betekent dit: je bent geen CTPP en staat niet onder direct toezicht van een Lead Overseer. Je verplichtingen komen uit je contracten. Maar host je bij een aangewezen CTPP, dan verschijnt die afhankelijkheid in de registers van je klanten als onderdeel van je onderaannemingsketen.
Checklist met contractclausules
- Dienstbeschrijving en lijst van subverwerkers die kloppen met de werkelijkheid (30(2)(a))
- Hosting- en verwerkingsregio's benoemd, met aankondiging vooraf van wijzigingen (30(2)(b))
- Beveiligingsbijlage over beschikbaarheid, integriteit, authenticiteit en vertrouwelijkheid (30(2)(c))
- Teruggave en exportformaat van gegevens, ook bij insolventie (30(2)(d))
- SLA in het contract, met kwantitatieve doelen als de dienst kritiek is (30(2)(e), 30(3)(a))
- Een meldtermijn voor incidenten die je echt kunt halen, en een prijs voor bijstand bij incidenten (30(2)(f))
- Medewerking met toezichthouders en afwikkelingsautoriteiten (30(2)(g))
- Redenen voor beëindiging en opzegtermijnen in lijn met artikel 28, lid 7 (30(2)(h))
- Voorwaarden voor deelname aan trainingen (30(2)(i))
- Meldplichten bij wezenlijke ontwikkelingen (30(3)(b))
- Getest BCP/DR en bewijs op verzoek (30(3)(c))
- Medewerking aan TLPT, inclusief gezamenlijke tests en kostenverdeling (30(3)(d))
- Auditclausule: methoden, gezamenlijke audits, aankondiging, frequentie, vertrouwelijkheid, alternatieve zekerheid (30(3)(e))
- Overgangsperiode en ondersteuning bij exit (30(3)(f))
- Voorwaarden voor onderaanneming, aankondigingstermijn bij wezenlijke wijzigingen en recht van bezwaar (RTS 2025/532)
- LEI of EUID van jezelf en van onderaannemers die kritieke diensten ondersteunen (ITS 2024/2956)
Wat je bankklant je gaat vragen
- Je LEI of EUID, rechtspersoon, groepsstructuur en eigendom.
- Welke functies je dienst ondersteunt, en hoe jij de kritikaliteit ziet.
- Waar gegevens worden verwerkt en opgeslagen, per regio, inclusief back-ups en toegang door support.
- Je volledige keten van onderaannemers voor de dienst, met locaties en LEI's, plus je proces om die te wijzigen.
- Certificeringen en rapporten: ISO 27001-certificaat en verklaring van toepasselijkheid, SOC 2 Type II, samenvattingen van penetratietests.
- Je incidentresponsplan, meldtermijnen en een vaste contactpersoon die 24/7 bereikbaar is.
- BCP/DR: RTO en RPO, datum en uitkomst van de laatste test.
- Termijnen voor kwetsbaarheids- en patchbeheer.
- Toegangsbeveiliging en MFA voor je medewerkers, antecedentenonderzoek en beheer van toegang met verhoogde rechten.
- Exit: exportformaten, ondersteuning bij de overgang, bewaartermijn na beëindiging.
- Financiële gezondheid en verzekeringen, vooral voor kritieke diensten.
- Bereidheid om audits en inspecties te accepteren, ook door hun toezichthouder.
Bewaar het bewijs waar je financiële klanten om vragen op één plek
Dazr Compliance geeft SaaS-leveranciers de frameworks DORA en ISO 27001 naast elkaar, een leveranciersregister voor je subverwerkers en hun locaties, een incidentregister met tijdstempels die je kunt delen, bewijs van BCP-tests met verloopmeldingen, en alleen-lezen auditortoegang voor gezamenlijke audits.
Veelgestelde vragen
Geldt DORA rechtstreeks voor mijn SaaS-bedrijf?
Niet tenzij je zelf een financiële entiteit bent of bent aangewezen als kritieke externe ICT-dienstverlener. De DORA-verplichtingen voor gewone ICT-leveranciers bereiken je via de contracten die financiële entiteiten onder de artikelen 28 en 30 moeten sluiten.
Kan ik onbeperkte auditrechten weigeren?
Voor diensten die kritieke of belangrijke functies ondersteunen, is de klant wettelijk verplicht ze te hebben. Je kunt onderhandelen over hoe ze worden uitgeoefend: gezamenlijke audits, certificeringen en rapporten als eerste lijn, aankondigingstermijnen en vertrouwelijkheid. Artikel 30, lid 3, onder e, punt ii, staat alternatieve zekerheidsniveaus toe als de rechten van andere klanten worden geraakt.
Heb ik een LEI nodig?
Financiële entiteiten moeten ICT-leveranciers die rechtspersoon zijn identificeren met een LEI of EUID in hun informatieregister (Uitvoeringsverordening (EU) 2024/2956). Een LEI is vaak de eenvoudigste manier om dat voor hen makkelijk te maken.
Hoe snel moet ik een incident melden aan een bankklant?
DORA noemt voor jou geen termijn, maar je klant moet haar toezichthouder binnen 4 uur na de classificatie als ernstig incident informeren, en binnen 24 uur nadat ze ervan wist. Contracten vragen daarom meestal om melding binnen enkele uren.
Gerelateerd
Bronnen (stand 1 oktober 2026)
- Verordening (EU) 2022/2554 (DORA), artikelen 26 tot en met 31.
- Uitvoeringsverordening (EU) 2024/2956 van de Commissie: sjablonen voor het informatieregister.
- Gedelegeerde Verordening (EU) 2025/532 van de Commissie: onderaanneming van ICT-diensten die kritieke of belangrijke functies ondersteunen.
- Gedelegeerde Verordening (EU) 2024/1773 van de Commissie: beleid voor contractuele regelingen.
- Gedelegeerde Verordening (EU) 2025/301 van de Commissie: termijnen voor het melden van ernstige incidenten.
- Gedelegeerde Verordening (EU) 2025/1190 van de Commissie: dreigingsgestuurde penetratietests.
- Gedelegeerde Verordening (EU) 2024/1502 van de Commissie: criteria voor de aanwijzing van CTPP's.
- ESA's: aanwijzing van kritieke externe ICT-dienstverleners, 18 november 2025.
Deze gids legt DORA uit voor ICT-leveranciers, stand 1 oktober 2026, en is geen juridisch advies. Contractvoorwaarden hangen af van de indeling en de toezichthouder van je klant.