Hoe maakt u van DORA een operationele discipline in plaats van nog een register?

Een cloudcontract wordt door aankoop ondertekend, de toepassing door een businessafdeling beheerd en het incident door IT afgehandeld. Zodra de toezichthouder vraagt wie waarvan afhankelijk is, blijken de drie versies niet overeen te stemmen. Precies dat probleem maakt DORA onmogelijk te negeren: de digitale weerbaarheid van een financiële entiteit hangt zowel van interne beslissingen als van ICT-aanbieders af. Deze marktverkenning licht toe wat de verordening sinds 17 januari 2025 vraagt, hoe u een bruikbaar informatieregister opbouwt, contracten herbekijkt, incidenten voorbereidt en tests organiseert. Ze toont ook hoe die verplichtingen een duidelijke eerste opdracht en daarna terugkerend onderhoud kunnen worden, zonder advies, audit en regelgevende garantie door elkaar te halen. Voor getfishnet ligt het acquisitiepotentieel bij zichtbare afwijkingen: een onvolledig register, een contract zonder functie, een ontbrekende test of een incident dat niet kan worden gekwalificeerd.

DORA is sinds 17 januari 2025 van toepassing op tal van Europese financiële entiteiten en bestrijkt vijf domeinen: ICT-risicobeheer, incidenten, weerbaarheidstests, risico van derde aanbieders en informatiedeling. In België treden de FSMA en de Nationale Bank op volgens de entiteit onder toezicht.

De verordening vraagt een vermogen, geen papierstapel. De entiteit kent haar functies, systemen en afhankelijkheden, beheert incidenten, test haar weerstand en stuurt leveranciers aan. Gedelegeerde handelingen en technische normen werken formats en verwachtingen verder uit; controleer vóór elke opdracht welke versie geldt.

DORA kan NIS2 raken, maar beide regimes zijn niet inwisselbaar. DORA blijft gericht op financiële entiteiten, hun functies en ICT-aanbieders. Voor een verzekeringstussenpersoon vertrekt de kwalificatie van het exacte toepassingsgebied en de bevoegde toezichthouder.

Het DORA-informatieregister koppelt elke ICT-overeenkomst aan de entiteit, geleverde dienst, ondersteunde functie en kenmerken van de aanbieder. Het is commercieel een sterke ingang omdat ontbrekende gegevens, dubbels en contracten zonder eigenaar snel zichtbaar worden.

De FSMA herinnert entiteiten eraan dat ze dit register voor alle overeenkomsten met derde ICT-aanbieders moeten bijhouden en actualiseren. De Nationale Bank verzamelt aangiften van haar onder toezicht staande instellingen via OneGate. Het format is geen gewone aankooplijst: identificatoren, functies, contracten en aanbieders moeten onderling kloppen.

Een eerste DORA-diagnose kan een afgebakende steekproef van functies, contracten en aanbieders controleren, de volledigheid van het register meten, afwijkingen rangschikken en volgende werkpakketten voorstellen. Ze levert toegewezen beslissingen op en beweert niet de hele entiteit te certificeren.

De opdracht start bij één eenheid, functie of leveranciersgroep en brengt aankoop, IT, risico, juridische dienst en business samen. Elke discrepantie wordt vastgelegd: ontbrekende informatie, inconsistente definitie, onvindbaar bewijs of niet-toegewezen verantwoordelijkheid. De klant krijgt een verbeterd register voor de testperimeter en een herhaalbare methode.

Deze aanpak verlaagt de drempel: leren hoeft niet te wachten op een perfecte inventaris. Juridische, risico- en technische capaciteit moeten wel beschikbaar zijn. getfishnet kan acquisitie rond het aanbod bouwen; gespecialiseerde uitvoering blijft bij bevoegde professionals.

Lees een DORA-ICT-contract vanuit de ondersteunde functie, het kritieke karakter, onderaannemers, verwerkingslocaties, auditrechten en exitstrategie. Een clausule volstaat niet wanneer de organisatie ze niet kan uitoefenen of de dienst niet kan voortzetten.

De review zoekt verschillen tussen tekst en werkelijkheid. Past de meldingstermijn bij het interne proces? Zijn gegevens bij uitstap recupereerbaar? Neemt de leverancier echt deel aan de continuïteitstest? Begrijpt de directie de concentratie op één speler of technologie?

DORA-incidenten en -tests vertrekken van een echte dienst, een aannemelijk scenario en waarneembare criteria. Een test is nuttig wanneer hij een onmogelijke beslissing, onrealistische termijn of ontbrekend bewijs blootlegt en vervolgens tot een toegewezen, gedateerde correctie leidt.

FSMA en Nationale Bank publiceren de Belgische modaliteiten voor meldingen en gegevensinzameling. Het team kent toezichthouder, kanaal, classificatiecriteria en te bewaren informatie. Een tafeloefening test beslissingen vóór een zwaardere technische simulatie.

De beste DORA-signalen zijn verifieerbaar: regelgevende inzameling, leverancierswissel, contracthernieuwing, uitbesteding, incident, fusie of onvolledig register. Ze maken een specifiek bericht en afgebakende eerste opdracht mogelijk, anders dan algemene prospectie rond “financiële conformiteit”.

Een multichannelstrategie kan zoekinhoud, leverancierswijzigingen, gerichte e-mail en telefoon, juridische en cyberpartners, events en aanbevelingen combineren. Scheid financiële entiteit, ICT-aanbieder, groep onder toezicht en tussenpersoon: elk heeft een andere betaler, bewijsbehoefte en tegenwerping.

Volg prestaties per segment: gekwalificeerde gesprekken, besliste diagnoses, cyclusduur, uitvoeringslast en haalbare herhaling. Cijfers zijn pas geloofwaardig vanuit portefeuille en partnercapaciteit; verzin ze niet in publieke communicatie.

Een terugkerende DORA-dienst onderhoudt het register, contractwijzigingen, incidenten, tests en concentratiebeslissingen. Elke cyclus levert bewijs en vermindert afwijkingen; een eenmalige conformiteitsinspanning wordt geen kunstmatig abonnement.

De cadans volgt nieuwe leveranciers, hernieuwingen, gewijzigde functies, incidenten en regelgevende updates. Voor sommige perimeters volstaat een kwartaalreview, andere vragen continue opvolging. Interne kennisoverdracht en uitstap worden vooraf voorzien.

De operationele waarde ontstaat wanneer risico, contract en incident niet langer in afzonderlijke bestanden leven. Een kritieke toepassing krijgt een eigenaar, een ondersteunde bedrijfsfunctie, een actuele leverancier, overeengekomen herstelvoorwaarden en een beslisregel voor escalatie. Die samenhang maakt een directievraag beantwoordbaar zonder eerst drie teams te laten reconstrueren wat er is gebeurd.

Voor dienstverleners vormt dit ook een scherpere marktgrens. Een organisatie met een aantoonbare leemte in haar register, contracten of testplanning kan een afgebakende eerste opdracht kopen. Een organisatie die alleen algemene bewustwording vraagt, krijgt geen kunstmatig zwaar programma aangeboden. De opvolging wordt pas terugkerend wanneer wijzigingen bij leveranciers, functies, incidenten of tests een concrete herbeoordeling veroorzaken.

DORA is relevant wanneer u betrokken entiteiten of aanbieders kunt bereiken, een afgebakende diagnose kunt leveren en de nodige expertise kunt mobiliseren. De getfishnet-geschiktheidstest controleert gratis de samenhang tussen markt, capaciteit, acquisitieknelpunten en mogelijke herhaling.

We analyseren segmenten, beslissingssignalen, kanalen en het verwachte commerciële antwoord. Daarna bouwen we een strategie op maat of adviseren we een andere hoek wanneer DORA onvoldoende volume, snelheid of onderscheid biedt.

Geciteerde gezaghebbende bronnen: EUR-Lex; Europese Commissie; Europese toezichthoudende autoriteiten; FSMA; Nationale Bank van België. Gedateerde privéreferenties worden in het redactiedossier bewaard.