DORA: de eerste kritieke ICT-dienstverleners zijn aangewezen
De ESA's wezen 19 kritieke derde ICT-dienstverleners aan onder DORA, nu onder direct EU-toezicht. Wat dat betekent voor financiële instellingen.
De Digital Operational Resilience Act (Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 voor banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en andere financiële entiteiten. Het toezicht op de grootste technologieleveranciers is nu operationeel.
19 dienstverleners onder direct EU-toezicht
Op 18 november 2025 publiceerden de drie Europese toezichthoudende autoriteiten (EBA, EIOPA en ESMA) de eerste lijst van kritieke derde aanbieders van ICT-diensten (CTPP's). De 19 aangewezen aanbieders zijn grote cloud-, datacenter-, telecom-, consultancy- en financiëledatabedrijven, waaronder Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture en IBM.
De ESA's baseerden de aanwijzing op de informatieregisters die financiële entiteiten over hun ICT-contracten bijhouden, gevolgd door een kriticiteitsbeoordeling met de nationale toezichthouders. Aangewezen aanbieders hebben nu een leidende toezichthouder die informatie kan opvragen, inspecties kan uitvoeren en aanbevelingen kan doen. De lijst wordt elk jaar bijgewerkt.
Informatieregisters: elk jaar
Financiële entiteiten houden een register bij van al hun ICT-afspraken met derden. Vanaf 2026 rapporteren de nationale toezichthouders deze registers elk jaar uiterlijk 31 maart aan de ESA's, met 31 december van het jaar ervoor als peildatum. Nationale toezichthouders stellen zelf eerdere termijnen voor de instellingen onder hun toezicht.
Wat het betekent
- Voor financiële entiteiten: het toezicht op een CTPP neemt uw eigen verantwoordelijkheid niet over. U beheert het ICT-risico van derden nog steeds zelf: contracten met de bepalingen van artikel 30, exitstrategieën en een volledig en juist register.
- Voor ICT-leveranciers die niet op de lijst staan, ook kleinere SaaS-aanbieders: reken op DORA-bepalingen in contracten, vragen over onderaannemers en locaties, en verzoeken om ondersteuning bij exit en incidenten. Wie daar duidelijke antwoorden op heeft, verkort de inkoop.
Meer over de kant van de leverancier: DORA voor SaaS-leveranciers.
Bronnen
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
Ter informatie, geen juridisch advies. Laatst bijgewerkt op 19 oktober 2026.
Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål