DORA is geen eenmalig compliance-project meer, maar een doorlopende stresstest voor de digitale weerbaarheid van de financiële sector. In DORA-update 7 signaleert de AFM dat instellingen zichtbaar vooruitgang boeken, maar dat de laatste meters juist bestuurlijke scherpte vragen: wie is écht eigenaar van ICT-risico’s, hoe hard zijn afspraken met ICT-leveranciers, en hoe volwassen is de keten van detectie tot incidentrapportage? Voor u als bestuurder, ondernemer in finance of compliance-verantwoordelijke draait het nu om aantoonbaarheid, niet om intenties.
AFM-signaal: grote stappen, maar toezicht verschuift naar bewijs en consistentie
De AFM schetst in haar zevende DORA-update een tweedeling die we vaker zien bij nieuwe Europese regels. Veel instellingen hebben de basis inmiddels op orde: beleid is opgesteld, programma’s zijn gestart en de urgentie is bestuurlijk geland. Tegelijkertijd ziet de toezichthouder in uitvragen en lopend toezicht dat de kwaliteit en diepgang tussen instellingen verschilt.
Dat is een belangrijk signaal voor de markt. Naarmate DORA verder “landt”, wordt de lat verlegd van plannen en roadmaps naar structurele beheersing. Voor beleggers en ondernemers betekent dat: digitale weerbaarheid wordt steeds meer een factor in reputatie, continuïteit en uiteindelijk waardering. Een IT-storing of datalek is al lang geen puur operationeel probleem meer, maar raakt direct klanten, financiering en toezichtlast.
Meer achtergrond bij de toezichtsboodschap staat in de DORA-update 7 van de AFM.
Waar instellingen al vooruitgang boeken
De AFM ziet dat de sector de afgelopen periode stevig heeft geïnvesteerd in het DORA-raamwerk. In de praktijk gaat het vooral om vier zichtbare verbeteringen.
- Governance krijgt meer structuur: DORA is vaker belegd in de eerste lijn, met duidelijkere rolverdeling tussen IT, risk, compliance en internal audit.
- ICT-risicobeheer wordt concreter: inventarisaties van kritieke systemen en processen zijn bij veel partijen gemaakt en vertaald naar prioriteiten.
- Outsourcing en third-party risk staan hoger op de agenda: contracten, exitplannen en ketenafhankelijkheden worden vaker herzien.
- Incidentprocessen worden professioneler: instellingen oefenen vaker scenario’s en werken aan snellere interne escalatie.
Dat zijn relevante stappen, omdat DORA uiteindelijk draait om continuïteit onder druk. Niet of er incidenten komen, maar of u ze gecontroleerd kunt opvangen, herstellen en transparant kunt melden.
Resterende knelpunten: waar de AFM scherp op blijft
1) Governance: eigenaarschap en “tone at the top” moeten toetsbaar zijn
De AFM maakt duidelijk dat beleid alleen niet genoeg is. Bestuurders moeten kunnen aantonen dat zij sturen op digitale weerbaarheid. In toezichttermen: heldere besluitvorming, meetbare risicobereidheid, en periodieke rapportages die verder gaan dan algemene dashboards.
Voor u betekent dit dat DORA niet kan blijven hangen bij IT en compliance. Als het bestuur geen consistente prioriteiten stelt, ontstaat versnippering: te veel losse initiatieven, te weinig harde keuzes over legacy-systemen, capaciteit en afhankelijkheden.
2) ICT-risicobeheer: van inventariseren naar beheersen en testen
Een terugkerend risico in de sector is dat inventarisaties en classificaties wel gedaan zijn, maar dat de vertaalslag naar concrete beheersmaatregelen achterblijft. Denk aan: patchdiscipline, segmentatie, back-up en herstelprocedures, en vooral de testbaarheid daarvan.
De AFM hamert daarbij impliciet op reproduceerbaarheid: kunt u onder tijdsdruk aantonen dat herstel werkt, dat monitoring de juiste signalen geeft, en dat kwetsbaarheden in de keten worden geadresseerd?
3) Third-party en outsourcing: contracten zijn pas het begin
Veel financiële instellingen leunen zwaar op cloud, betalingsverwerkers, data providers en andere IT-dienstverleners. DORA maakt van die afhankelijkheid een governance-onderwerp. De AFM ziet nog aandachtspunten rond grip op onderaannemers, auditrechten, exitstrategieën en concentratierisico.
In de praktijk is dit vaak het lastigste dossier: u kunt een leverancier selecteren, maar u moet ook kunnen aantonen dat u de risico’s doorlopend monitort, dat incidenten in de keten tijdig bij u landen, en dat u kunt overstappen als dat nodig is.
4) Incidentrapportage: snelheid en kwaliteit moeten tegelijk omhoog
Incidentrapportage is onder DORA niet alleen een meldplicht, maar een discipline. De AFM ziet dat processen bestaan, maar dat consistentie en volledigheid nog beter moeten. Veel organisaties worstelen met vragen als: wanneer is iets “ernstig” genoeg, wie beslist dat, en hoe voorkomt u dat meldingen te laat of te vaag zijn?
Belangrijk voor u: de kwaliteit van incidentdata wordt ook managementinformatie. Wie incidenten structureel te laat herkent of te ruim definieert, stuurt blind op risico’s.
Wat nu prioriteit heeft voor bestuurders en compliance-teams
- Maak digitale weerbaarheid een vast agendapunt met meetbare KPI’s en duidelijke eigenaarschap per kritieke dienst.
- Vertaal classificaties naar concrete controles en bewijs: test herstelprocedures, logging, monitoring en crisiscommunicatie periodiek en documenteer uitkomsten.
- Herijk third-party governance: focus op onderaannemers, concentratierisico en uitvoerbare exitplannen, inclusief realistische tijdlijnen.
- Professionaliseer incidenttriage: eenduidige definities, korte escalatielijnen en een dossier dat meldingen kan onderbouwen.
De kern van AFM-update 7 is nuchter: de sector is op weg, maar de toezichthouder kijkt nu vooral naar volwassenheid en bewijsvoering. Wie dat op orde heeft, verlaagt niet alleen het toezichtrisico, maar ook de kans dat een IT-incident uitgroeit tot een financiële en reputatieschade die doorwerkt in klantenvertrouwen en marktsentiment.
