Bindende termijnen voor incidentrapportage onder DORA staan sinds 20 februari 2025 in het Publicatieblad: eerste kennisgeving binnen 4 uur na classificatie (uiterlijk 24 uur na kennisname), tussentijds verslag binnen 72 uur, eindverslag binnen één maand.
Wat is er veranderd
Gedelegeerde Verordening (EU) 2025/301 van de Commissie (technische reguleringsnormen) en Uitvoeringsverordening (EU) 2025/302 van de Commissie (standaardformulieren en sjablonen) zijn op 20 februari 2025 in het Publicatieblad gepubliceerd en leggen de inhoud, het formaat en de termijnen vast voor de incidentrapportage over een ernstig ICT-gerelateerd incident onder DORA. Volgens de technische reguleringsnormen moet de eerste kennisgeving zo vroeg mogelijk worden gedaan en in elk geval binnen vier uur nadat het incident als ernstig is geclassificeerd, en uiterlijk 24 uur nadat de entiteit ervan kennis heeft genomen; het tussentijds verslag volgt binnen 72 uur na de eerste kennisgeving, ook wanneer er niets is veranderd, met een actualisering zodra de normale werkzaamheden worden hervat; het eindverslag volgt uiterlijk één maand na het (laatst geactualiseerde) tussentijds verslag. Termijnen die op een weekend of op feestdagen vallen, kunnen voor sommige entiteiten opschuiven naar de eerstvolgende werkdag, maar niet voor entiteiten die door hun bevoegde autoriteit als significant zijn aangewezen. De technische uitvoeringsnormen bevatten de verplichte sjablonen (bijlagen I–IV).
Waarom het uitmaakt
Incidentrapportage onder DORA kent nu verplichte formulieren en strikte termijnen: binnen vier uur van classificatie naar kennisgeving kunnen gaan is een operationeel vermogen, geen beleidsuitspraak. Draaiboeken die vóór februari 2025 zijn geschreven, zijn opgesteld zonder deze precieze termijnen en sjablonen en moeten daarop worden afgestemd.
Wie het raakt
De teams voor incidentrespons, beveiligingsoperaties en toezichtrapportage binnen elke financiële entiteit onder DORA — de termijnen raken degenen die de keten van classificatie naar kennisgeving beheren, meestal verdeeld over ten minste twee teams.
Rollenbeveiligingsteamsincidentresponseteamscomplianceteamsrisicoteams
Organisatiesfinanciële entiteiten
Wat u nu controleert
- Vergelijk de termijnen in uw incidentdraaiboek met de technische reguleringsnormen: binnen 4 uur na classificatie als ernstig incident en uiterlijk 24 uur na kennisname voor de eerste kennisgeving
- Richt de stroom voor het tussentijds verslag binnen 72 uur in, inclusief het geval waarin er niets is veranderd en de actualisering bij herstel
- Bevestig dat het eindverslag binnen één maand na het (laatste) tussentijds verslag kan worden opgesteld
- Neem de verplichte sjablonen uit Uitvoeringsverordening (EU) 2025/302 op in uw systemen
- Test de keten van classificatie tot eerste kennisgeving van begin tot eind en leg het resultaat vast
Belangrijke data
- 2024-10-23 Vastgesteld door de Commissie
- 2025-02-20 Gepubliceerd in het Publicatieblad
Bron. EUR-Lex — Commission Delegated Regulation (EU) 2025/301 ↗
Document: Gedelegeerde Verordening (EU) 2025/301 van de Commissie — CELEX 32025R0301 (met Uitvoeringsverordening (EU) 2025/302 van de Commissie — CELEX 32025R0302)
Door Trusq geverifieerd tegen deze bron op 24 aug 2026. Trusq publiceert alleen wat het kan herleiden tot een officiële bron; de brontekst prevaleert. Geen juridisch advies.
Document: Gedelegeerde Verordening (EU) 2025/301 van de Commissie — CELEX 32025R0301 (met Uitvoeringsverordening (EU) 2025/302 van de Commissie — CELEX 32025R0302)
Door Trusq geverifieerd tegen deze bron op 24 aug 2026. Trusq publiceert alleen wat het kan herleiden tot een officiële bron; de brontekst prevaleert. Geen juridisch advies.