ESA’s wijzen onder DORA de eerste kritieke derde aanbieders van ICT-diensten aan

Op 18 november 2025 hebben de Europese toezichthoudende autoriteiten (EBA, EIOPA en ESMA) de eerste lijst gepubliceerd van derde aanbieders van ICT-diensten die onder het toezichtkader van DORA als kritiek zijn aangewezen. De aanwijzing brengt een aanbieder onder rechtstreeks ESA-toezicht: de autoriteiten zullen beoordelen of elke kritieke aanbieder over passende kaders voor risicobeheer en governance beschikt voor de diensten die hij aan de financiële sector in de EU levert, en hebben verklaard dat zij bij komende onderzoeksactiviteiten met de aangewezen aanbieders in gesprek blijven.

Het toezichtregime van DORA is operationeel, niet theoretisch: de infrastructuuraanbieders waarvan de financiële sector afhankelijk is, hebben nu een eigen EU-toezichthouder. Voor financiële entiteiten wordt de aanwijzingsstatus een concreet gegeven bij het beheer van risico's van derden — en toezichtbevindingen over een kritieke aanbieder zijn relevant voor elke onderneming die ervan afhankelijk is.

Rechtstreeks de aangewezen aanbieders van ICT-diensten; indirect elke financiële entiteit die voor kritieke of belangrijke functies van hen afhankelijk is — vragen over concentratierisico bij deze aanbieders hebben nu ook een concrete dimensie in het toezicht.