De Digital Operational Resilience Act geldt sinds 17 januari 2025 voor banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en aanbieders van cryptoactivadiensten. U bent geen van deze. Toch heeft DORA u bereikt als u hen software, cloud, data of managed services verkoopt, via artikel 30: financiële entiteiten moeten een voorgeschreven set contractbepalingen opnemen in elke overeenkomst met een ICT-derde en een register van die overeenkomsten bijhouden dat toezichthouders inzien. Inkoopteams van banken hebben 2025 en 2026 besteed aan het herzien van leverancierscontracten. Is uw contract nog niet opengemaakt, dan gebeurt dat alsnog. Deze notitie legt uit wat u wordt gevraagd te ondertekenen en hoe u zich voorbereidt.
De bepalingen die u gaat zien
Beschrijving van diensten en data. Een duidelijke beschrijving van alle functies en diensten, of zij kritieke of belangrijke functies ondersteunen, en de locaties, inclusief regio's, waar data wordt verwerkt en opgeslagen, met voorafgaande melding van wijzigingen. Serviceniveaus. Kwantitatieve en kwalitatieve prestatiedoelen, met remedies. Gegevensbescherming en beschikbaarheid. Bepalingen over beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid, en over toegang tot, herstel en teruggave van data bij insolventie, afwikkeling of beëindiging. Incidentondersteuning. Een verplichting om de financiële entiteit bij ICT-incidenten te ondersteunen zonder extra kosten of tegen vooraf afgesproken kosten. Medewerking aan autoriteiten. U moet meewerken met de toezichthouders en afwikkelingsautoriteiten van de klant. Beëindigingsrechten. De klant moet kunnen beëindigen bij wetsovertredingen, bij belemmeringen van zijn mogelijkheid u te monitoren, bij zwakheden in uw ICT-risicobeheer en wanneer de toezichthouder dat zegt. Exitstrategie. Overgangsperiodes waarin u de diensten blijft leveren, en ondersteuning bij migratie naar een andere aanbieder.
Voor diensten die kritieke of belangrijke functies ondersteunen komt daar meer bij: volledige serviceniveaubeschrijvingen met monitoring, meldtermijnen voor incidenten, deelname aan de beveiligingstests van de klant, inclusief threat-led penetratietests, en onbeperkte toegangs-, inspectie- en auditrechten voor de klant en zijn toezichthouder, met een plan voor hoe audits worden uitgevoerd. Uitbesteding van kritieke diensten is apart gereguleerd: de klant moet wezenlijke onderaannemers goedkeuren en u moet de bepalingen doorleggen in de keten.
Wat u accepteert, en wat u onderhandelt
Het grootste deel van de lijst is voor uw klant verplicht; weigeren betekent de deal verliezen. De onderhandeling gaat over het hoe. Auditrechten kunnen deels worden ingevuld via gepoolde audits en certificeringen van derden, met toegang ter plaatse voor gedefinieerde triggers. Incidentondersteuning kan tegen een vooraf afgesproken tarief in plaats van gratis. Exitperiodes kunnen worden begrensd en betaald. Meldtermijnen voor datalocatie kunnen realistisch zijn voor een multi-tenant platform. Beëindiging wegens "zwakheden in ICT-risicobeheer" kan worden gekoppeld aan een gedocumenteerde bevinding en een hersteltermijn. Goedkeuring van onderaannemers kan een meld-en-bezwaarprocedure zijn in plaats van voorafgaande toestemming, voor niet-kritieke subverwerkers.
Klaar zijn voordat inkoop vraagt
Bouw een DORA-bijlage bij uw standaard-MSA die alle bepalingen van artikel 30 bevat in uw voorkeursformulering, zodat de klant begint vanuit uw document. Stel een bewijsdossier samen: ISO 27001- of SOC 2-rapport, samenvatting van de penetratietest, bedrijfscontinuïteitsplan, lijst van subverwerkers, kaart van datalocaties. Richt een incidentproces in dat een klant binnen uren kan informeren, want diens eigen termijn naar de toezichthouder is vier uur voor de eerste melding van een ernstig incident. Bepaal uw positie over aanwijzing als kritieke derde: bedient u veel financiële entiteiten, dan kunnen de Europese toezichthouders u als kritiek aanwijzen en rechtstreeks toezicht houden.
Leveranciers die aankomen met een DORA-bijlage en een bewijsdossier sluiten sneller en geven minder weg. Wilt u onze modelbijlage en het onderhandelingsplaybook, stuur ons dan een bericht.