Valt mijn instelling onder DORA?

Kort antwoord: DORA somt de entiteiten die eronder vallen limitatief op. Verricht je een gereguleerde financiële activiteit uit die lijst, dan val je eronder — ongeacht je omvang. Kleine en niet-verweven ondernemingen mogen wél een vereenvoudigd ICT-risicokader voeren. In Nederland houden DNB en AFM toezicht.

Wie vallen eronder

Onder meer: kredietinstellingen (banken), betaalinstellingen, instellingen voor elektronisch geld, beleggingsondernemingen, aanbieders van cryptoactivadiensten, centrale tegenpartijen en effectenbewaarinstellingen, handelsplatformen, verzekeraars en herverzekeraars, verzekeringstussenpersonen, beheerders van alternatieve beleggingsfondsen en beheermaatschappijen, en aanbieders van crowdfundingdiensten. Daarnaast geldt een apart oversightkader voor kritieke ICT-dienstverleners (CTPP's) die deze entiteiten bedienen.

Het draait om de gereguleerde activiteit, niet de naam

De afbakening volgt de vergunning/activiteit, niet de bedrijfsnaam of sector. Een logistieke of industriële groep met een eigen betaal- of financieringsentiteit valt voor dát onderdeel onder DORA. Toets dus per entiteit en per activiteit. Ben je tegelijk een essentiële sector onder NIS2, dan gaat DORA als specifiekere regel voor het financiële deel — zie DORA of NIS2: welke geldt?.

Proportionaliteit: het vereenvoudigde kader

Niet elke entiteit voert hetzelfde regime. Kleine, niet-verweven ondernemingen en bepaalde micro-entiteiten mogen een vereenvoudigd ICT-risicobeheerkader hanteren dat de kernelementen dekt zonder de volledige zwaarte. Bepaal eerst je categorie; de technische standaarden van de ESA's beschrijven beide varianten.

Twijfel je?

Bepaal: (1) verricht je een entiteit/activiteit van de lijst? (2) val je onder het vereenvoudigde of het volledige kader? Bij twijfel toets je tegen artikel 2 en de nationale uitvoering.

Lees ook: DORA-wegwijzer en DORA-readiness: stappenplan.