DORA: Digital Operational Resilience voor de financiële sector

De Digital Operational Resilience Act (DORA) is sinds januari 2025 van kracht in Nederland en stelt eisen aan hoe financiële instellingen ICT-risico’s beheren, inclusief continuïteit en afhankelijkheid van leveranciers. Een softwarelicentie dekt niet de volledige reikwijdte van deze eisen, ook al lijkt dat soms wel zo.

Rechtstreekse werking, geen uitzonderingen

DORA is Verordening (EU) 2022/2554, van kracht sinds januari 2023 en van toepassing sinds 17 januari 2025. Omdat het een verordening is en geen richtlijn, heeft deze rechtstreekse werking: er is geen Nederlandse uitvoeringswet, geen nationale versie en geen nationale richtlijn om op terug te vallen.

Vijf pijlers, één uitgangspunt

DORA omvat ICT-risicobeheer, respons en herstel, incidentrapportage, weerbaarheidstesten en ICT-risico’s van derden. Alle vijf gaan ze ervan uit dat er verstoringen zullen optreden. Artikel 11 vereist een gedocumenteerd beleid voor bedrijfscontinuïteit; Artikel 28(8) vereist een exitstrategie voor elke leverancier die een kritieke functie ondersteunt. Geen van beide werkt als de uitvoering afhangt van precies die leverancier die is uitgevallen.

Reikwijdte gaat over functie, niet over omvang

Een klein pensioenfonds of een fintech-onderneming valt onder dezelfde voorwaarden binnen de reikwijdte als een grote bank. Kritieke externe ICT-dienstverleners staan onder direct toezicht, in plaats van alleen een leveranciersrisico te vormen voor hun klanten.

Waar een licentie tekortschiet

\Een licentie geeft het recht om software te gebruiken, niet de broncode, build-omgeving of documentatie die nodig is om deze onafhankelijk te onderhouden. Als de licentiegever omvalt, blijft het gebruiksrecht bestaan, maar de mogelijkheid tot onderhoud niet. Dat gat is zichtbaar in alle vijf de pijlers: geen inzicht in afhankelijkheden, geen onafhankelijk herstelpad, geen manier om de bronoorzaak vast te stellen, niets om te testen en geen echte exitroute.

Escrow maakt het aantoonbaar

Drie zaken maken van een escrow-regeling bewijslast: verificatie (bevestiging dat het depot volledig, actueel en bruikbaar is), nauwkeurig gedefinieerde trigger events en een neutrale derde partij die de materialen beheert. Toezichthouders vragen niet of er een overeenkomst is, maar wat deze zou opleveren als je er een beroep op moet doen.

DORA vereist continuïteit die onafhankelijk werkt van de falende leverancier, en die continuïteit moet verifieerbaar zijn, niet alleen op papier zijn vastgelegd.

Wil je meer weten? Onze Legal Counsel Dorian vertelt je er alles over in onze nieuwe serie: Legal Insights.

Bekijk het hier: https://www.escrow4all.com/knowledge/digital-operational-resilience-voor-de-financiele-sector/