Complass voor de financiële sector en verzekeringen
Sinds 17 januari 2025 geldt DORA voor banken, verzekeraars, beleggingsondernemingen, betalings- en veel andere financiële instellingen. De verordening vereist gedocumenteerd ICT-risicobeheer, melding van ernstige incidenten, weerbaarheidstests en de aansturing van uw ICT-dienstverleners. Complass begeleidt u door alle onderdelen en houdt het bewijs voor het toezicht gereed.
Elke ICT-dienst hoort in het informatieregister, met contract, functie en onderaannemers. De toezichthouder vraagt het register jaarlijks op.
Incidenten snel indelen
Of een ICT-incident ernstig is en gemeld moet worden, wordt bepaald door vaste criteria. De eerste melding volgt binnen enkele uren.
Verantwoordelijkheid bij het leidinggevend orgaan
Het leidinggevend orgaan draagt de verantwoordelijkheid voor het ICT-risicobeheerkader en moet dit goedkeuren, bewaken en regelmatig toetsen.
Wat voor uw bedrijf geldt
DORA geldt rechtstreeks in de hele EU. Voor kleine en niet-onderling verbonden ondernemingen bestaat een vereenvoudigd kader, voor de meeste andere gelden deze verplichtingen:
ICT-risicobeheerkader met strategie, beleidslijnen, bescherming, detectie, respons en herstel, goedgekeurd en bewaakt door het leidinggevend orgaan Art. 5 DORAArticle 5 DORAGovernance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗Art. 6 DORAArticle 6 DORAICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
ICT-gerelateerde incidenten registreren, volgens vaste criteria classificeren en ernstige incidenten in drie stappen melden: eerste melding, tussentijds verslag en eindverslag Art. 17 DORAArticle 17 DORAICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗Art. 18 DORAArticle 18 DORAClassification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗Art. 19 DORAArticle 19 DORAReporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
Digitale operationele weerbaarheid regelmatig testen; geselecteerde ondernemingen aanvullend met dreigingsgestuurde penetratietests Art. 24 DORAArticle 24 DORAGeneral requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗Art. 26 DORAArticle 26 DORAAdvanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
ICT-risico van derden beheersen: strategie, informatieregister van alle ICT-diensten en exitstrategieën Art. 28 DORAArticle 28 DORAGeneral principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
Contracten met ICT-dienstverleners moeten bepaalde inhoud hebben, zoals dienstbeschrijving, locaties van gegevensverwerking, medewerking bij incidenten, auditrechten en opzeggingsrechten Art. 30 DORAArticle 30 DORAKey contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗
De verplichtingen van de Duitse BSIG op het gebied van risicobeheer, melding en directie gelden niet voor financiële entiteiten onder DORA; DORA heeft in zoverre voorrang § 28, lid 6 BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stand: 26.09.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
Kosten, inspanning en doorlooptijd: alleen adviseur, adviseur met Complass of eigen implementatie met Complass? Compliance-kostencalculator openen
Algemene informatie, geen juridisch advies. Deze pagina vat de rechtslage vereenvoudigd samen en vervangt geen beoordeling van uw specifieke situatie. Bepalend is de tekst van de wetten en normen.
Typische bedrijven
Banken en spaarbanken Zwaartepunt
Kredietinstellingen met eigen of uitbestede IT, met informatieregister en weerbaarheidstests.
Verzekeraars
Verzekerings- en herverzekeringsondernemingen, met uitzondering van zeer kleine verzekeraars; tussenpersonen alleen als zij groter zijn dan een middelgrote onderneming (art. 2, lid 3 DORA).
Betalings- en e-geldinstellingen
Betaaldiensten met hoge eisen aan beschikbaarheid en melding van incidenten.
Beleggingsondernemingen en beheerders van beleggingsinstellingen
Afhankelijk van de omvang met het volledige of het vereenvoudigde ICT-risicobeheerkader; kleine geregistreerde beheerders van alternatieve beleggingsfondsen zijn uitgezonderd.
Zo ondersteunt Complass u
DORA begeleid uitvoeren
Fasen van toepasselijkheid tot toetsing van het kader, met sjablonen voor strategie, beleidslijnen, testprogramma en meld- en classificatieplan.
Wat u als financiële onderneming minimaal nodig hebt
De eerste selectie dekt de verplichtingen in Complass als ze voor u gelden. Of dat zo is, toont de gratis betrokkenheidscheck. Naar de betrokkenheidscheck
Wat u minimaal nodig hebt
Als DORA voor uw financiële onderneming geldt: deze selectie dekt de daaruit voortvloeiende verplichtingen in Complass. Ze is vooraf gekozen als u test of bestelt.
Managementcockpit: Aantonen dat het bestuursorgaan het ICT-risicobeheer vaststelt, goedkeurt en bewaakt. (Art. 5 DORA (opent in nieuw tabblad)) (inbegrepen)
Bedrijfscontinuïteitsbeheer (BCM): ICT-bedrijfscontinuïteit: business-impactanalyse, continuïteitsplannen en oefeningen, ISO 22301 inbegrepen. (Art. 11 DORA (opent in nieuw tabblad))
Incidentmanagement: inbegrepen
AVG, AI-verordening en Klokkenluidersbescherming (HinSchG) (basisbescherming): inbegrepen
Prijs van de minimale selectie
Onderdeel
Nettoprijs per maand
Start S
179 €
DORA
inbegrepen
Bedrijfscontinuïteitsbeheer (BCM)
79 €
AVG, AI-verordening en Klokkenluidersbescherming (HinSchG) (basisbescherming)
inbegrepen
Totaal
258 € netto/maand
Bij jaarlijkse betaling, minimale looptijd 12 maanden. Maandelijkse betaling met 15 % toeslag. Alle prijzen exclusief btw, stand 16/10/2026.
Goed om te weten: De verplichtingen kunt u ook zonder Complass nakomen. Complass ondersteunt u bij implementatie en bewijs, maar vervangt geen juridisch advies. Juridische informatie
Andere pakketten
Het normenkader DORA kunt u nu al gebruiken. Voor de ICT-dienstverleners in de financiële sector bereiden we het branchesjabloon “DORA voor ICT-dienstverleners” voor.
beschikbaar
normenkader DORA
ICT-risicobeheer, incidentmeldingen, weerbaarheidstests en ICT-risico van derden
Informatieregister als werksjabloon
Eigen fase voor ICT-dienstverleners met de eisen van hun financiële klanten
vanaf 179 € per maand excl. btw in het pakket Start, grootte S, bij jaarlijkse betaling
Alle prijzen gelden voor bedrijven, niet voor consumenten. Ze zijn netto excl. btw bij jaarlijkse betaling; bij maandelijkse betaling geldt een toeslag van 15 %. Stand 16/10/2026. Enterprise en concerns op aanvraag.
Pakketten met de aanduiding ‘binnenkort beschikbaar’ of ‘in voorbereiding’ zijn nog niet boekbaar. Prijs en omvang noemen wij zodra een pakket boekbaar is. De bijbehorende normenkaders en functies laten wij u graag nu al in de demonstratie zien, voor zover ze beschikbaar zijn.
Veelgestelde vragen
Moeten wij als bank ook NIS2 uitvoeren?+
Voor risicobeheer, meldingen en de verplichtingen van de directie heeft DORA voorrang; de overeenkomstige voorschriften van de Duitse BSIG gelden niet voor financiële entiteiten binnen het toepassingsgebied van DORA (§ 28, lid 6 BSIG). Andere voorschriften, bijvoorbeeld over registratie, worden in deze uitzondering niet genoemd. Toets deze punten per geval.
Geldt DORA ook voor kleinere instellingen?+
Ja, maar evenredig. Kleine en niet-onderling verbonden beleggingsondernemingen en enkele andere ondernemingen passen een vereenvoudigd ICT-risicobeheerkader toe (art. 16 DORA). In Duitsland breidt de Duitse bankenwet (KWG) DORA bovendien uit naar andere instellingen.
Helpt Complass bij het informatieregister?+
Ja. Het DORA-normenkader bevat een werksjabloon voor het informatieregister volgens de technische uitvoeringsnormen. De indiening bij de toezichthouder verloopt via diens meldkanaal.
