DORA is sinds 17 januari 2025 van toepassing op financiële entiteiten

Verordening (EU) 2022/2554 (DORA) is sinds 17 januari 2025 van toepassing. Zij stelt uniforme eisen aan de digitale operationele weerbaarheid van financiële entiteiten op het gebied van ICT-risicobeheer, de classificatie en rapportage van ICT-gerelateerde incidenten, weerbaarheidstests, het beheer van ICT-risico bij derden — waaronder het informatieregister van alle contractuele afspraken met aanbieders van ICT-diensten — en toezicht op kritieke derde aanbieders van ICT-diensten. Het kader is sindsdien aangevuld met technische normen in het Publicatieblad (technische reguleringsnormen en technische uitvoeringsnormen voor incidentrapportage, februari 2025) en in het toezicht geactiveerd (eerste aanwijzingen als kritieke derde aanbieders van ICT-diensten, november 2025) — beide als afzonderlijke berichten in deze feed vastgelegd.

DORA is geldend recht met een actief toezichtapparaat: bevoegde autoriteiten kunnen op elk moment het informatieregister, incidentrapportages en testbewijs opvragen. De verplichting is doorlopend — de vraag is niet of er ooit een DORA-project is gedaan, maar of het bewijs vandaag actueel is.

Banken, verzekeraars, beleggingsondernemingen, betaal- en elektronischgeldinstellingen, aanbieders van cryptoactivadiensten en andere financiële entiteiten in de EU, plus de aanbieders van ICT-diensten die hen bedienen — waarbij het dagelijkse eigenaarschap doorgaans is verdeeld over risico-, beveiligings- en leveranciersbeheerteams.