DORA of NIS2
DORA of NIS2: wat op u van toepassing is en wat het werkelijk vraagt
DORA verlangt een permanent, ingediend en gedateerd geheel van bewijs. NIS2 verlangt passende maatregelen en bewijs wanneer daarom wordt gevraagd. Welke van de twee u bindt, hangt ervan af of u een financiële entiteit bent en of u er een bedient.
Stand van de omzetting gecontroleerd op .
Verordening of richtlijn: waarom het verschil ertoe doet
DORA, de verordening digitale operationele weerbaarheid (Verordening (EU) 2022/2554), is een verordening. Zij is sinds 17 januari 2025 rechtstreeks en in dezelfde bewoordingen van toepassing in alle 27 lidstaten. Er is geen nationale wet om op te wachten en geen nationale variant om te volgen.
NIS2 (Richtlijn (EU) 2022/2555) is een richtlijn. Zij bindt u via de uitvoeringswet van uw eigen lidstaat, en die wetten zijn met jaren verschil tot stand gekomen. Op 30 september 2026 hebben 24 lidstaten er een aangenomen. Frankrijk, Ierland en Spanje hebben dat nog niet gedaan, en de Commissie heeft hen op 8 juli 2026 voor het Hof van Justitie gedaagd.
Financiële entiteiten vallen erbuiten. Hun ICT-aanbieders vallen onder beide.
DORA is de sectorspecifieke rechtshandeling voor de financiële sector. Volgens artikel 4 van NIS2 zijn de risicobeheersmaatregelen (artikel 21) en de meldingsplicht voor incidenten (artikel 23) van NIS2 niet van toepassing wanneer een sectorspecifieke rechtshandeling gelijkwaardige eisen stelt. Op een bank, een verzekeraar of een beleggingsonderneming wordt voor ICT-risico en incidenten dus toezicht gehouden onder DORA, door de financiële toezichthouder, en niet twee keer.
In de toeleveringsketen komen de twee samen
De ICT-aanbieders waarvan die instellingen afhankelijk zijn, vallen onder beide. DORA bereikt hen via de contracten van hun klanten: elke financiële entiteit moet de bepalingen van artikel 30 in haar ICT-contracten opnemen en elke aanbieder in haar informatieregister vastleggen. En een middelgrote of grote aanbieder van cloud, datacenters, beheerde diensten of beheerde beveiligingsdiensten is onder NIS2 doorgaans zelf een essentiële of belangrijke entiteit.
Wat elk ervan vraagt
| DORA | NIS2 | |
|---|---|---|
| Soort verplichting | Voorschrijvend. Een kader voor ICT-risicobeheer (art. 5 tot en met 16), classificatie en rapportage van incidenten (art. 17 tot en met 23), weerbaarheidstests inclusief TLPT (art. 24 tot en met 27) en ICT-risico van derde aanbieders (art. 28 tot en met 30), nader uitgewerkt in technische normen. | Op beginselen gebaseerd. Cyberbeveiligingsmaatregelen die "passend en evenredig" zijn op tien gebieden (art. 21), melding van incidenten (art. 23) en verantwoordingsplicht van het bestuursorgaan (art. 20). |
| Het verschil dat teltPermanent op te leveren bewijs | Ja, gedateerd en ingediend. Een informatieregister over elke contractuele overeenkomst met een derde aanbieder van ICT-diensten, in het ETA-sjabloon (art. 28, lid 3). De bepalingen van artikel 30 in elk ICT-contract. Een gedocumenteerd kader voor ICT-risicobeheer dat ten minste eenmaal per jaar wordt herzien (art. 6). Meldingen van ernstige incidenten op de regelgevende sjablonen. | Geen op EU-niveau. U moet uw maatregelen kunnen aantonen wanneer de autoriteit daarom vraagt, via audits, inspecties en verzoeken om informatie (art. 32 en 33). Er is geen register en geen indieningssjabloon. |
| Indieningsfrequentie | Het register wordt jaarlijks aan de bevoegde autoriteit gerapporteerd. Ernstige incidenten: eerste melding binnen 4 uur na classificatie van het incident als ernstig en uiterlijk 24 uur nadat u ervan op de hoogte bent, tussentijds verslag binnen 72 uur daarna, eindverslag binnen een maand. Het kader wordt jaarlijks herzien. TLPT om de drie jaar waar vereist. | Registratie bij de nationale autoriteit, bijgewerkt bij wijzigingen. Significante incidenten: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand. Verder niets volgens een vast schema. |
| Toezichtmodel | Financiële toezichthouders: de nationale bevoegde autoriteit, de ECB voor significante banken, samen met EBA, EIOPA en ESMA. Op kritieke derde aanbieders van ICT-diensten wordt rechtstreeks toezicht gehouden door een lead overseer. | Nationale cyberbeveiligingsautoriteiten. Op essentiële entiteiten wordt proactief toezicht gehouden; op belangrijke entiteiten pas wanneer de autoriteit daar aanleiding toe heeft. |
| Sancties | Door elke lidstaat vastgesteld voor financiële entiteiten (art. 50). Voor kritieke derde aanbieders van ICT-diensten dwangsommen tot 1% van de gemiddelde dagelijkse wereldwijde omzet (art. 35). | Tot €10 mln of 2% van de wereldwijde omzet voor essentiële entiteiten, en €7 mln of 1,4% voor belangrijke entiteiten (art. 34). Leden van het bestuursorgaan kunnen persoonlijk aansprakelijk worden gesteld (art. 20). |
Waarom het register ertoe doet: bij de proefrun van de ETA's in 2024 doorstond minder dan 7% van de ingediende registers alle controles op gegevenskwaliteit.
Wat op u van toepassing is
Hooguit vijf vragen. De uitkomst volgt uit vaste regels uit de tekst van DORA en NIS2, niet uit een model, en dezelfde antwoorden geven altijd hetzelfde resultaat.
Hoe ver elke lidstaat is met NIS2
De stand van elke nationale uitvoeringswet op 30 september 2026. Namen van autoriteiten en registratieroutes veranderen; controleer de eigen website van de autoriteit voordat u iets indient.
| Lidstaat | Status | Autoriteit |
|---|---|---|
| België | Van kracht | CCB |
| Bulgarije | Van kracht | National cybersecurity authority |
| Cyprus | Van kracht | Digital Security Authority |
| Denemarken | Van kracht | SAMSIK |
| Duitsland | Van kracht | BSI |
| Estland | Van kracht | RIA |
| Finland | Van kracht | Traficom, NCSC-FI |
| Frankrijk | Niet omgezet | ANSSI, MonEspaceNIS2 |
| Griekenland | Van kracht | National Cyber Security Authority |
| Hongarije | Van kracht | SZTFH |
| Ierland | Niet omgezet | NCSC-IE |
| Italië | Van kracht | ACN |
| Kroatië | Van kracht | National framework |
| Letland | Van kracht | National cybersecurity authority |
| Litouwen | Van kracht | NKSC |
| Luxemburg | Van kracht | ILR |
| Malta | Aangenomen, later van toepassing | Malta Digital Innovation Authority |
| Nederland | Van kracht | NCSC |
| Oostenrijk | Aangenomen, later van toepassing | Bundesamt für Cybersicherheit |
| Polen | Van kracht | Ministry of Digital Affairs |
| Portugal | Van kracht | CNCS |
| Roemenië | Van kracht | DNSC |
| Slovenië | Van kracht | URSIV |
| Slowakije | Van kracht | NBÚ |
| Spanje | Niet omgezet | Not yet designated in law |
| Tsjechië | Van kracht | NÚKIB |
| Zweden | Van kracht | NCSC (FRA) |
Bronnen
- European Commission, referral of Ireland, Spain, France and the Netherlands to the CJEU for failure to transpose NIS2, 8 July 2026
- National gazettes and authority sites for each member state (full review 2 August 2026, statuses re-checked 30 September 2026)
- Independent trackers cross-checked 30 September 2026: 23 member states with a law in force on 17 September 2026, Austria applying from 1 October 2026
Veelgestelde vragen
Is NIS2 van toepassing op banken?
Niet voor ICT-risicobeheer of incidentrapportage. DORA is de sectorspecifieke rechtshandeling voor financiële entiteiten, dus op grond van artikel 4 van NIS2 worden de maatregelen van artikel 21 en de meldingen van artikel 23 voor een bank vervangen door de eisen van DORA, met toezicht door de financiële toezichthouder.
Valt een ICT-aanbieder van een bank onder DORA?
Indirect wel. De bank moet de contractuele bepalingen van artikel 30 opnemen in haar contract met de aanbieder, de aanbieder vastleggen in haar informatieregister en haar toezicht aantonen. Alleen aanbieders die de ETA's als kritiek aanwijzen, staan onder rechtstreeks toezicht.
Welke lidstaten hebben NIS2 niet omgezet?
Op 30 september 2026: Frankrijk, Ierland en Spanje. Alle drie zijn op 8 juli 2026 voor het Hof van Justitie van de EU gedaagd.
Wat is het verschil tussen DORA en NIS2?
DORA is een verordening voor de financiële sector die een permanent, ingediend geheel van bewijs verlangt: een informatieregister, contractclausules volgens artikel 30, incidentmeldingen op sjablonen en een jaarlijks herzien kader voor ICT-risicobeheer. NIS2 is een richtlijn voor achttien sectoren die passende maatregelen en melding van incidenten verlangt, met bewijs wanneer de autoriteit daarom vraagt.
Plan een gesprek voor een DORA-gereedheidsbeoordeling
Of u nu de instelling bent of de aanbieder: wij toetsen uw contracten en registergegevens aan DORA en leveren een gap-rapport waarin elke bevinding naar haar bron verwijst.
Gesprek plannen