DORA geldt niet voor elke makelaar: wie moet dat aantonen vóór het volgende ICT-contract?

Een makelaar vernieuwt zijn beheersoftware. De leverancier belooft een hoge beschikbaarheid, maar het contract blijft vaag over incidenten, onderaannemers en de teruggave van gegevens. De eerste vraag is nog niet welke tool te kiezen. Belangrijker is: valt de tussenpersoon volledig onder DORA en welke ICT-afhankelijkheden moet hij kunnen aantonen? Sinds 17 januari 2025 regelt de Europese verordening het digitale risicobeheer van financiële entiteiten. De FSMA verduidelijkt evenwel dat bepaalde verzekerings- en herverzekeringstussenpersonen die als micro-, kleine of middelgrote onderneming kwalificeren, buiten die reikwijdte vallen. Deze analyse zet die nuance om in een bruikbare commerciële beslissing: de entiteit kwalificeren, een kritieke dienst in kaart brengen, contractueel bewijs herlezen en een incidentenroute voorbereiden. Ze belooft geen conformiteit of onkwetsbaarheid, maar voorkomt dat een ICT-project van een verkeerde diagnose vertrekt.

DORA geldt niet automatisch voor elke verzekeringstussenpersoon. De reikwijdte hangt af van de activiteit, de omvang en de voorziene uitsluitingen; die kwalificatie moet gedocumenteerd zijn vóór een volledig conformiteitsprogramma wordt verkocht.

De FSMA maakt een onderscheid tussen tussenpersonen die volledig aan de verordening zijn onderworpen en ondernemingen die aan de uitsluitingscriteria voldoen. Een intakefiche bundelt daarom het regelgevend statuut, het personeelsbestand, de omzet, het balanstotaal, de groepsstructuur en de geleverde diensten. Ontbrekende informatie wordt niet als zekerheid voorgesteld, maar als een vraag toegewezen aan de bestuurder, complianceverantwoordelijke of bevoegde adviseur.

De eerste verdedigbare aankoop is een toetsing van één entiteit en één kritieke ICT-afhankelijkheid. Ze levert een scope-nota, een dienstenkaart, te controleren clausules, verantwoordelijken en de onbekende factoren die een beslissing nog verhinderen.

Deze korte opdracht sluit aan op een concrete aanleiding: de vernieuwing van software, een cloudmigratie, een fusie, een vraag van een verzekeringspartner of een recent incident. Ze bouwt niet de volledige governance opnieuw op. Wel maakt ze een keuze mogelijk tussen drie vervolgstappen: geen specifieke DORA-actie, een gerichte contractuele correctie of een breder programma dat door de bevoegde verantwoordelijke is gevalideerd.

Het DORA-register blijft een bewijs van sturing: het verbindt contracten met diensten, ondersteunde functies en dienstverleners. In 2026 moeten betrokken tussenpersonen het actueel houden en aan de FSMA kunnen bezorgen wanneer zij erom vraagt.

De waarde zit niet in een spreadsheet die één keer wordt ingevuld. Wanneer een leverancier van onderaannemer verandert, een functie kritiek wordt of een contract wordt vernieuwd, moet de betrokken regel mee evolueren. De toetsing vertrekt van een herkenbare dienst en gaat terug naar het contract, de gegevens, hostinglocaties, onderaannemers en de interne verantwoordelijke.

De te beslissen clausules bestrijken minstens de geleverde dienst, serviceniveaus, bijstand bij incidenten, toegang tot informatie, onderaannemers, continuïteit, beëindiging en teruggave van gegevens. De uiteindelijke formulering behoort toe aan de bevoegde juridische adviseur.

Een clausule heeft alleen waarde als het team ze kan activeren. Een meldingstermijn moet aansluiten op een bewaakte mailbox en een werkelijke permanentie. Bij een auditrecht moet duidelijk zijn wie het kan inroepen. Een exitclausule moet gekoppeld zijn aan een formaat, een termijn en een verantwoordelijke voor de overname.

De incidentenroute moet bepalen wie detecteert, wie kwalificeert, wie bewijs bewaart, wie beslist en wie informeert. Een scenario van dertig minuten rond een echte dienst leert vaak meer dan een algemene procedure van vijftig pagina’s.

De oefening vertrekt van een eenvoudig symptoom: de beheersoftware is onbeschikbaar, er is een vermoedelijk datalek of een leverancierstoegang is gecompromitteerd. Het team noteert het tijdstip, de bedrijfsimpact, de getroffen klanten, de beschikbare informatie en de onbekende factoren. Daarna controleert het samen met compliance de drempels en verplichtingen. Het doel is een beslissing mogelijk maken, niet een spectaculaire crisis ensceneren.

Een leverancier krijgt prioriteit wanneer zijn uitval een belangrijke functie blokkeert, gevoelige gegevens blootstelt, een moeilijk vervangbare afhankelijkheid concentreert of het herstel onzeker maakt. De indeling moet per dienst worden gemotiveerd.

Een communicatietool en het centrale systeem voor contractbeheer verdienen niet hetzelfde onderzoek. De matrix vergelijkt impact, vervangbaarheid, concentratie, gegevenstoegang en exitrijpheid. Zo bepaalt ze de volgorde van heronderhandelingen, tests en bewijsverzoeken.

De koper is doorgaans de directie van een tussenpersoon of een verantwoordelijke voor compliance, operations of IT die met een concrete verandering wordt geconfronteerd. De toetsing vereist op haar beurt een business owner, de contracten, de dienstenlijst en toegang tot mensen die de incidenten kennen.

De partner kan geen toeschouwer blijven. Hij bevestigt de groepsstructuur, ontsluit de stukken, beslist over de kriticiteit en kiest de correcties. Zonder die antwoorden blijft het resultaat beperkt tot een kaart van onbekende factoren. Met die input kan binnen minder dan dertig dagen een eerste beslissing worden voorbereid, op voorwaarde dat bewijs en gespecialiseerde adviseurs beschikbaar zijn.

De commerciële continuïteit komt voort uit veranderingen: een nieuwe leverancier, contractvernieuwing, incident, overname, gewijzigde dienst of vraag van een tegenpartij. Elk voorval heropent alleen de controles die het beïnvloedt.

Het ritme kan een driemaandelijkse registertoetsing combineren met een jaarlijkse incidentenoefening en een controle vóór elk belangrijk contract. De indicatoren blijven concreet: diensten zonder eigenaar, contracten zonder exitroute, leveranciers zonder actueel bewijs en incidenten die zonder correctie zijn afgesloten. Ze worden nooit voorgesteld als een absolute weerbaarheidsscore.

Kies één entiteit, één onmisbare ICT-dienst en het bijbehorende contract. Controleer de DORA-reikwijdte, de afhankelijkheden, de incidentenroute en de exit. Die werkeenheid volstaat om te beslissen of een breder programma gerechtvaardigd is.

getfishnet kan dit vertrekpunt samen met uw team onderzoeken en een acquisitie- of begeleidingsstrategie bouwen rond het waargenomen signaal: verzekeringspartners, vernieuwingen, een portefeuille van tussenpersonen of ICT-leveranciers. De geschiktheidstest is 100 % gratis. Hij toetst uw huidige knelpunten, bewijs en reactievermogen om ontwikkelingssynergieën te vinden — of eerlijk vast te stellen dat ze er niet zijn.

Geciteerde autoriteiten

Verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid; FSMA, doel en reikwijdte van DORA; FSMA, DORA-informatieregister en update 2026; FSMA, gebruikershandleiding voor het informatieregister.