DORA: stop met addenda verzamelen

Ruim anderhalf jaar DORA. In aanloop naar 17 januari 2025 hebben juristen en compliance-afdelingen overuren gedraaid: ICT-contracten doorgelicht, addenda opgesteld, handtekeningen verzameld. Het mapje is dicht. En precies daar gaat het mis. Want een kast vol getekende addenda is nog geen grip op je ICT-leveranciers. Het is papier.

Wat is DORA ook alweer?

DORA, de Digital Operational Resilience Act, is de Europese verordening die de financiële sector digitaal weerbaarder moet maken. Banken, verzekeraars, pensioenfondsen en andere financiële instellingen zijn voor hun dienstverlening volledig afhankelijk geworden van ICT, cloudomgevingen en softwareleveranciers. Eén storing of cyberincident bij een leverancier kan een hele instelling platleggen.

DORA stelt daarom eisen aan ICT-risicomanagement, het melden van incidenten, het testen van digitale weerbaarheid en het beheersen van risico’s bij externe ICT-dienstverleners. En daar zit de angel: je blijft als financiële instelling zelf verantwoordelijk, ook voor wat je uitbesteedt. Uitbesteden kan dus prima. De verantwoordelijkheid uitbesteden niet.

Een addendum is een ticket to the game

Veel instellingen hebben hun contracten inmiddels DORA-proof gemaakt. Goed. Maar begrijp wat zo’n getekend addendum is: een ticket to the game, geen prestatie. Het bewijst dat je juristen hun werk hebben gedaan. Het zegt niets over de vraag of jij daadwerkelijk grip hebt op je leveranciers.

Een exit-strategie heeft pas waarde als duidelijk is wie deze beheert en wanneer deze wordt getoetst. Een incidentmeldplicht werkt alleen als bekend is wie de melding ontvangt en welke actie daarop volgt. En een auditrecht is pas iets waard als je hebt bepaald wanneer je het inzet en wat je met de uitkomsten doet. Een afspraak die niemand bewaakt, is een belofte met een strik eromheen.

De handtekening is dus niet de finish. Het is de start.

Het toezicht is begonnen

Wie denkt dat het zo’n vaart niet loopt: het toezicht draait inmiddels op volle toeren.

Sinds 18 november 2025 staan de eerste 19 kritieke ICT-aanbieders onder direct Europees toezicht, waaronder de grote cloudleveranciers als AWS, Microsoft, Google, IBM en Oracle. Het is voor het eerst dat financiële toezichthouders rechtstreeks toezicht houden op niet-financiële partijen. Logisch ook: ruim 65 procent van de Europese financiële instellingen gebruikt minstens twee van de drie grote hyperscalers voor kritieke functies. Dat concentratierisico is precies waar DORA op mikt. Maar let op: die aanwijzing verschuift jouw verantwoordelijkheid geen millimeter. Dat je cloudleverancier nu onder toezicht staat, betekent niet dat jij achterover kunt leunen.

Ook het informatieregister is geen archiefstuk gebleken, maar een jaarlijkse toets. Afgelopen maart moest het register verplicht in xBRL-CSV-formaat worden aangeleverd bij DNB en AFM; Excel wordt niet meer geaccepteerd. DNB draaide bovendien extra datakwaliteitscontroles en verwacht bij bevindingen een herrapportage. En de toezichthouders kijken steeds dieper de keten in: ze willen ook zicht op de onderaannemers van je leveranciers. Wie het register behandelt als invuloefening, valt dus door de mand. In maart 2027 staat de volgende ronde alweer voor de deur.

Kortom: het papierwerk wordt gecontroleerd. De vraag is of de praktijk erachter klopt.

Drie knoppen die wel werken

Maak van DORA geen los complianceproject naast je reguliere contractmanagement. Dan creëer je nog een proces, nog een lijst en nog een verantwoordelijke, en over twee jaar is ook dat papier. Verweef DORA in de manier waarop je je ICT-contracten sowieso al beheert. Drie dingen maken daarbij het verschil.

1. Maak eigenaarschap concreet

Leg per kritisch ICT-contract vast wie verantwoordelijk is voor de belangrijkste DORA-afspraken. Wie bewaakt de prestaties? Wie beoordeelt incidenten? Wie houdt zicht op continuïteit? En wie escaleert als een leverancier niet levert? Dat hoeft niet allemaal dezelfde persoon te zijn. Als maar glashelder is wie waarvoor aan de lat staat. Een verplichting zonder eigenaar bestaat in de praktijk niet.

2. Vertaal afspraken naar controlemomenten

Een contractmanager hoeft niet iedere week een DORA-addendum door te nemen. Veel effectiever is om de belangrijkste verplichtingen in de bestaande contractcyclus te hangen: periodieke controle van SLA’s en rapportages, incidenten als vast punt in het leveranciersgesprek, een jaarlijkse beoordeling van continuïteitsmaatregelen en het periodiek toetsen van de exit-strategie. Zo verandert een contractuele verplichting in een beheersmaatregel. Van KPI op papier naar KPI die gemeten wordt.

3. Zorg dat je het kunt aantonen

Grip hebben is niet genoeg. Je moet het kunnen laten zien, aan je bestuur en aan de toezichthouder. Is een continuïteitsplan beoordeeld? Leg de uitkomst vast. Heeft een leverancier een incident gemeld? Registreer de opvolging. Is tijdens een contractgesprek een risico geconstateerd? Leg vast wie actie onderneemt en wanneer daarop wordt teruggekomen. Zonder registratie heb je voor de toezichthouder niets gedaan.

TLPT: van papier naar praktijktest

Dat de praktijk telt, laat Threat-Led Penetration Testing (TLPT) mooi zien. Bij aangewezen instellingen wordt een realistische cyberaanval nagebootst om te testen hoe weerbaar de organisatie echt is, en ook kritieke ICT-leveranciers kunnen daarbij betrokken worden. Voor contractmanagers betekent dit: regel vooraf welke medewerking je van een leverancier verwacht, wie daarop stuurt en hoe bevindingen worden opgevolgd. Wacht daar niet mee tot de test zich aandient. Dan is een TLPT geen paniekerige zoektocht door oude addenda, maar de test van een proces dat al staat.

Begin bij de contracten die ertoe doen

En misschien wel ons belangrijkste advies: probeer niet in één keer ieder ICT-contract perfect in te richten. Begin bij de ICT-diensten die kritieke of belangrijke functies ondersteunen en stel per contract vijf vragen. Wie is eigenaar van het contract en de belangrijkste DORA-verplichtingen? Welke afspraken controleren we periodiek? Welke informatie verwachten we van de leverancier? Wanneer grijpen we in of escaleren we? En kunnen we onze controles en acties achteraf aantonen?

Kun je deze vijf vragen per kritisch ICT-contract beantwoorden? Dan ben je verder dan de instelling met het perfect geformuleerde addendum in de kast.

Van addendum naar grip

Bij SBMC kijken we niet naar wat er in een DORA-addendum staat, maar naar wat er daarna mee gebeurt. Met een quickscan leggen we je ICT-contracten en addenda naast de dagelijkse praktijk: welke verplichtingen vragen aandacht, wie is waarvoor verantwoordelijk en welke controles horen in je reguliere contractcyclus. Geen nieuw complianceproces naast de organisatie, maar DORA verweven in wat je al doet.

Wij kennen de regels en de contractpraktijk, we zeggen het eerlijk als je addendum alleen papier is, en we blijven tot de controles echt draaien. Know it, say it, fix it. En onderweg houden we het graag leuk: enjoy the ride. Zo blijft digitale weerbaarheid niet in een contract staan, maar gaat het werken.

Good company.