Pilotprogramma: 30 % korting in het eerste jaar. Beperkt aantal plaatsen. Bekijk de voorwaarden

Kennismakingsgesprek plannen
Complass – Navigate compliance Complass – Navigate compliance
Taal NL
Deutsch English Français Italiano Español Nederlands Polski Português
Gratis uitproberen

Voor wie

Voor de financiële sector en verzekeringen: DORA onder controle, dienstverleners in beeld

DORA vereist ICT-risicobeheer, meldingen, weerbaarheidstests en de aansturing van uw dienstverleners. Complass begeleidt u door alle onderdelen.

Gratis uitproberen Demo aanvragen
Risicoregister met beoordeling, verantwoordelijken en behandeling in Complass (voorbeeldproject)

De uitdaging

Veel dienstverleners, één register

Elke ICT-dienst hoort in het informatieregister, met contract, functie en onderaannemers. De toezichthouder vraagt het register jaarlijks op.

Incidenten snel indelen

Of een ICT-incident ernstig is en gemeld moet worden, wordt bepaald door vaste criteria. De eerste melding volgt binnen enkele uren.

Verantwoordelijkheid bij het leidinggevend orgaan

Het leidinggevend orgaan draagt de verantwoordelijkheid voor het ICT-risicobeheerkader en moet dit goedkeuren, bewaken en regelmatig toetsen.

Wat voor uw bedrijf geldt

DORA geldt rechtstreeks in de hele EU. Voor kleine en niet-onderling verbonden ondernemingen bestaat een vereenvoudigd kader, voor de meeste andere gelden deze verplichtingen:

Normenkaders: DORA · ISO 27001 · AVG · NIS2

  • ICT-risicobeheerkader met strategie, beleidslijnen, bescherming, detectie, respons en herstel, goedgekeurd en bewaakt door het leidinggevend orgaan Art. 5 DORAArticle 5 DORA Governance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗ Art. 6 DORAArticle 6 DORA ICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
  • ICT-gerelateerde incidenten registreren, volgens vaste criteria classificeren en ernstige incidenten in drie stappen melden: eerste melding, tussentijds verslag en eindverslag Art. 17 DORAArticle 17 DORA ICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗ Art. 18 DORAArticle 18 DORA Classification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗ Art. 19 DORAArticle 19 DORA Reporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
  • Digitale operationele weerbaarheid regelmatig testen; geselecteerde ondernemingen aanvullend met dreigingsgestuurde penetratietests Art. 24 DORAArticle 24 DORA General requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗ Art. 26 DORAArticle 26 DORA Advanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
  • ICT-risico van derden beheersen: strategie, informatieregister van alle ICT-diensten en exitstrategieën Art. 28 DORAArticle 28 DORA General principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
  • Contracten met ICT-dienstverleners moeten bepaalde inhoud hebben, zoals dienstbeschrijving, locaties van gegevensverwerking, medewerking bij incidenten, auditrechten en opzeggingsrechten Art. 30 DORAArticle 30 DORA Key contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
  • De verplichtingen van de Duitse BSIG op het gebied van risicobeheer, melding en directie gelden niet voor financiële entiteiten onder DORA; DORA heeft in zoverre voorrang § 28, lid 6 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stand: 02.11.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗

Algemene informatie, geen juridisch advies. Deze pagina vat de rechtslage vereenvoudigd samen en vervangt geen beoordeling van uw specifieke situatie. Bepalend is de tekst van de wetten en normen.

Typische bedrijven

Banken en spaarbanken Zwaartepunt

Kredietinstellingen met eigen of uitbestede IT, met informatieregister en weerbaarheidstests.

Verzekeraars

Verzekerings- en herverzekeringsondernemingen, met uitzondering van zeer kleine verzekeraars; tussenpersonen alleen als zij groter zijn dan een middelgrote onderneming (art. 2, lid 3 DORA).

Betalings- en e-geldinstellingen

Betaaldiensten met hoge eisen aan beschikbaarheid en melding van incidenten.

Beleggingsondernemingen en beheerders van beleggingsinstellingen

Afhankelijk van de omvang met het volledige of het vereenvoudigde ICT-risicobeheerkader; kleine geregistreerde beheerders van alternatieve beleggingsfondsen zijn uitgezonderd.

Zo ondersteunt Complass u

DORA begeleid uitvoeren

Fasen van toepasselijkheid tot toetsing van het kader, met sjablonen voor strategie, beleidslijnen, testprogramma en meld- en classificatieplan.

Meer over deze functie

Informatieregister en contracten

Werksjabloon voor het informatieregister, contracttoetsing volgens art. 30 en exitplan per ICT-dienst.

ICT-risico's en bedrijfscontinuïteitsbeheer

Risicoregister met risicobereidheid en behandelplan, plus business impact analysis en continuïteitsplannen voor kritieke functies.

Meer over deze functie

Dienstverleners beoordelen

ICT-dienstverleners indelen, zelfverklaringen en bewijs opvragen en toetsen.

Meer over deze functie
Beoordeling van een risico met waarschijnlijkheid, impact en restrisico in Complass (voorbeeldproject)
ICT-risico's beoordelen en behandelen

Wat u als financiële onderneming minimaal nodig hebt

Als DORA voor uw financiële onderneming geldt, dan dekt deze selectie de verplichtingen in Complass af. Of dat zo is, laat de gratis betrokkenheidscheck zien.

Minimale selectie financiële onderneming

Pakket Start, grootte S, met Bedrijfscontinuïteitsbeheer

278 € netto per maand

14 dagen gratis testen: Minimale selectie financiële onderneming Bestellen: Minimale selectie financiële onderneming

Prijzen voor bedrijven, netto exclusief btw, bij jaarlijkse betaling en een minimale looptijd van 12 maanden. Maandelijkse betaling met 15 % toeslag. Stand 06/11/2026. Pakketten met „binnenkort” zijn nog niet te boeken. Enterprise en concerns op aanvraag. Alle pakketten in het prijsoverzicht

U kunt de verplichtingen ook zonder Complass nakomen. Complass ondersteunt bij uitvoering en bewijs en vervangt geen juridisch advies. Juridische informatie

Veelgestelde vragen

Moeten wij als bank ook NIS2 uitvoeren?

Voor risicobeheer, meldingen en de verplichtingen van het bestuursorgaan heeft DORA voorrang; de overeenkomstige voorschriften van de Duitse BSIG gelden niet voor financiële entiteiten binnen het toepassingsgebied van DORA (§ 28, lid 6 BSIG). Andere voorschriften, bijvoorbeeld over registratie, worden in deze uitzondering niet genoemd. Toets deze punten per geval.

Geldt DORA ook voor kleinere instellingen?

Ja, maar evenredig. Kleine en niet-onderling verbonden beleggingsondernemingen en enkele andere ondernemingen passen een vereenvoudigd ICT-risicobeheerkader toe (art. 16 DORA). In Duitsland breidt de Duitse bankenwet (KWG) DORA bovendien uit naar andere instellingen.

Helpt Complass bij het informatieregister?

Ja. Het DORA-normenkader bevat een werksjabloon voor het informatieregister volgens de technische uitvoeringsnormen. De indiening bij de toezichthouder verloopt via diens meldkanaal.

Test Complass met uw eigen gegevens

Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.

Gratis uitproberen Demo aanvragen