--- title: "DORA-compliance 2026: vereisten, deadlines & checklist" description: "DORA-compliance in 2026: ICT-risicobeheer, incidentmelding, weerbaarheidstests & deadline informatieregister. Bekijk de vereistenchecklist." canonical: https://www.orbiqhq.com/nl/eu-regelgeving/dora-compliance html: https://www.orbiqhq.com/nl/eu-regelgeving/dora-compliance publisher: Orbiq GmbH language: en --- # DORA-compliance 2026: vereisten, deadlines & checklist DORA-compliance in 2026: ICT-risicobeheer, incidentmelding, weerbaarheidstests & deadline informatieregister. Bekijk de vereistenchecklist. **Kort antwoord:** DORA-compliance betekent voldoen aan de Digital Operational Resilience Act ([Verordening (EU) 2022/2554](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554)), die sinds **17 januari 2025** rechtstreeks in de hele EU van toepassing is. Financiële entiteiten moeten een ICT-risicobeheerframework uitvoeren, ernstige ICT-incidenten binnen strenge termijnen melden, hun operationele weerbaarheid testen, ICT-risico van derden beheersen en een informatierapport voor ICT-regelingen met derden bijhouden. Omdat DORA als EU-verordening rechtstreeks van toepassing is, zijn de kernverplichtingen in de lidstaten geharmoniseerd; nationale bevoegde autoriteiten bepalen nog steeds lokale indieningsvensters, sancties en toezichtprocessen. De Digital Operational Resilience Act (DORA) — [Verordening (EU) 2022/2554](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554) — is het toegewijde EU-kader voor ICT-risicobeheer in de financiële sector. Het is van toepassing sinds **17 januari 2025** en treft vrijwel elke gereguleerde financiële entiteit in de Europese Unie. In tegenstelling tot NIS2 is DORA een **verordening**, geen richtlijn. Het is rechtstreeks van toepassing in alle lidstaten zonder nationale omzetting. [Verordening (EU) 2022/2554, artikel 64](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554), stelt 17 januari 2025 vast als toepassingsdatum. In 2026 hebben toezichthouders hun aanpak verscherpt: het gaat niet meer om papieren compliance, maar om bewijs van daadwerkelijke operationele weerbaarheid. --- ## Wat is DORA? DORA stelt een alomvattend kader vast om te waarborgen dat financiële entiteiten ICT-gerelateerde verstoringen en dreigingen kunnen weerstaan, erop kunnen reageren en ervan kunnen herstellen. Het bestrijkt vijf kernpijlers: 1. **ICT-risicobeheer** — Governancekader (Artikelen 5–16) 2. **ICT-gerelateerde incidentmelding** — Gestandaardiseerde melding van ernstige incidenten (Artikelen 17–23) 3. **Digitale operationele weerbaarheidstesten** — Regelmatige tests van ICT-systemen (Artikelen 24–27) 4. **ICT-risicobeheer van derden** — Toezicht op kritieke ICT-dienstverleners (Artikelen 28–44) 5. **Informatie-uitwisseling** — Vrijwillige uitwisseling van cyberdreigingsinformatie (Artikel 45) De verordening erkent dat de toenemende afhankelijkheid van de financiële sector van technologie systemische risico's creëert die verder gaan dan individuele instellingen. Een enkele ICT-storing of cyberaanval kan zich verspreiden door onderling verbonden financiële systemen — waardoor operationele weerbaarheid een kwestie van financiële stabiliteit is, niet alleen van IT-beveiliging. --- ## Wie moet voldoen aan DORA? DORA is van toepassing op **20 categorieën financiële entiteiten**: | Categorie | Voorbeelden | |---|---| | Kredietinstellingen | Banken | | Betalingsinstellingen | Betalingsverwerkers, PSP's | | Instellingen voor elektronisch geld | Uitgevers van elektronisch geld | | Beleggingsondernemingen | Makelaars, vermogensbeheerders | | Cryptoactiva-dienstverleners | Beurzen, bewaarders | | Verzekerings- en herverzekeringsondernemingen | Verzekeraars, herverzekeraars | | Verzekeringsbemiddelaars | Makelaars, agenten | | Instellingen voor bedrijfspensioenvoorziening | Pensioenfondsen | | Centrale tegenpartijen | Clearinghuizen | | Transactieregisters | Transactierapportage | | Centrale effectenbewaarinstellingen | Effectenafwikkeling | | Handelsplatformen | Effectenbeurzen, MTF's | | Securitisatieregisters | ABS-gegevens | | Ratingbureaus | Ratingaanbieders | | Aanbieders van crowdfundingdiensten | Crowdfundingplatformen | | Aanbieders van datarapporteringsdiensten | APA's, ARM's | | Beheerders van alternatieve beleggingsfondsen | Hedgefondsmanagers, PE-managers | | Beheermaatschappijen | ICBE-beheerders | | Aanbieders van rekeninginformatiediensten | Open banking-aanbieders | Daarnaast zijn **kritieke ICT-dienstverleners van derden** (CTPP's) onderworpen aan een eigen toezichtkader. ### Evenredigheid DORA past het evenredigheidsbeginsel toe. Vereisten schalen op basis van: - Omvang en algemeen risicoprofiel van de entiteit - Aard, schaal en complexiteit van diensten - De ICT-risicoblootstelling van de entiteit Micro-ondernemingen (minder dan 10 werknemers en minder dan €2M omzet) profiteren van een vereenvoudigd ICT-risicobeheerframework op grond van Artikelen 15–16. --- ## De vijf pijlers van DORA ### Pijler 1: ICT-risicobeheer (Artikelen 5–16) Financiële entiteiten moeten een alomvattend ICT-risicobeheerframework opzetten. De meeste bedrijven bouwen dit op een gevestigd [risicomanagement-framework](/nl/compliance-automatisering/risicomanagement-frameworks) — doorgaans COBIT 2019 voor governance, gecombineerd met ISO/IEC 27005 voor het ICT-risicobeoordelingsproces: **Governance:** - Het bestuursorgaan behoudt de uiteindelijke verantwoordelijkheid voor ICT-risico - Specifieke ICT-risicobeheerfunctie, onafhankelijk van operationele ICT - ICT-risicobeheerstrategie ten minste jaarlijks herzien - Management moet ICT-risicotraining voltooien **Identificatie:** - Alle ICT-ondersteunde bedrijfsfuncties identificeren, classificeren en documenteren - ICT-middelen en hun afhankelijkheden in kaart brengen - Alle bronnen van ICT-risico identificeren - Ten minste jaarlijks risicobeoordelingen uitvoeren **Bescherming en preventie:** - ICT-beveiligingsbeleid en -procedures implementeren - Patchbeheer met gedefinieerde termijnen - Netwerkbeveiliging en toegangscontroles - Gegevensbescherming en versleutelingsmaatregelen **Detectie:** - Continue monitoring van ICT-systemen - Anomaliedetectiemechanismen - Meerdere controlelagen **Respons en herstel:** - ICT-bedrijfscontinuïteitsbeleid - Rampherstelplannen met RTO's en RPO's - Crisiscommunicatieprocedures - Evaluaties na incidenten **Leren en evolueren:** - Dreigingsinformatie verzamelen en analyseren - Analyse van grondoorzaken na incidenten - Continue verbetering van het framework ### Pijler 2: ICT-gerelateerde incidentmelding (Artikelen 17–23) DORA standaardiseert incidentclassificatie en -melding in de gehele financiële sector. Financiële entiteiten moeten **ernstige ICT-gerelateerde incidenten** classificeren en melden op basis van strikte drempelwaarden: **Criteria voor classificatie als ernstig incident:** - Aantal getroffen cliënten of tegenpartijen - Duur van het incident - Geografische spreiding - Omvang van gegevensverlies - Impact op kritieke diensten - Economische impact **Meldingstijdlijn:** | Termijn | Type rapport | Inhoud | |---|---|---| | Binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na detectie) | Initiële melding | Basale feiten en classificatie | | Binnen 72 uur na classificatie | Tussentijds rapport | Bijgewerkte beoordeling en impact | | Binnen 1 maand na het tussentijdse rapport | Eindrapport | Grondoorzaakanalyse, herstelmaatregelen | Financiële entiteiten moeten ook getroffen cliënten onverwijld informeren wanneer incidenten hun financiële belangen raken (Artikel 19, lid 3). Deze **horizontale communicatieplicht** — naar tegenpartijen, niet alleen naar toezichthouders — is een van de operationeel meest veeleisende vereisten van DORA. In Nederland zijn de **AFM** (Autoriteit Financiële Markten) en **DNB** (De Nederlandsche Bank) de bevoegde autoriteiten. Het **NCSC-NL** vervult een coördinerende rol op het gebied van cybersecurity voor de financiële sector. ### Pijler 3: Digitale operationele weerbaarheidstesten (Artikelen 24–27) **Basistesten (alle entiteiten):** - Kwetsbaarheidsbeoordelingen en -scans - Open source-analyses - Netwerkbeveiligingsbeoordelingen - Gap-analyses - Fysieke beveiligingsreviews - Scenariogebaseerde tests - Compatibiliteits- en prestatietests - End-to-end-testen **Geavanceerde testen (significante entiteiten):** - **Threat-Led Penetration Testing (TLPT)** ten minste elke drie jaar - Moet erkende kaders volgen: TIBER-EU of het Nederlandse **TIBER-NL**-programma van De Nederlandsche Bank - Uitgevoerd door gekwalificeerde externe testers - Bestrijkt kritieke ICT-systemen die kritieke of belangrijke functies ondersteunen - Resultaten gemeld aan bevoegde autoriteiten (AFM/DNB) Het [TIBER-kader van De Nederlandsche Bank](https://www.dnb.nl/en/sector-information/cash-and-payment-systems/dnb-oversees-cyber-resilience-tests/threat-intelligence-based-ethical-red-teaming-tiber/) is het erkende nationale kader voor TLPT in Nederland. ### Pijler 4: ICT-risicobeheer van derden (Artikelen 28–44) DORA creëert een alomvattend kader voor het beheer van uitbesteding en ICT-risico van derden: **Precontractuele vereisten:** - Risicobeoordeling vóór het aangaan van ICT-dienstverleningscontracten - Due diligence bij potentiële aanbieders - Beoordeling van concentratierisico — voorkomen van systemische afhankelijkheid van één aanbieder **Contractuele vereisten (Artikel 30):** Contracten met ICT-dienstverleners van derden moeten verplichte bepalingen bevatten voor: - Volledige beschrijving van diensten en SLA's - Locatie van gegevensverwerking en -opslag - Recht op audit en toegang - Samenwerkingsverplichtingen bij incidenten - Gegevensportabiliteit en transitieondersteuning - Exitstrategieën en transitieplannen — voor kritieke of belangrijke diensten vereist artikel 28, lid 8, bovendien gedocumenteerde, geteste exitplannen per overeenkomst; ons gratis [DORA-exitstrategie-sjabloon (DOCX + PDF + MD)](/nl/sjablonen/dora-exitstrategie-sjabloon) dekt de strategie, het planformulier per overeenkomst en de testlog **Informatierapport (Artikel 28, lid 3):** Financiële entiteiten moeten een gestructureerd, continu bijgewerkt register bijhouden van **alle regelingen met ICT-dienstverleners van derden**. Dit rapport is een centraal toezichtsinstrument — het moet te allen tijde beschikbaar zijn voor inspectie en jaarlijks worden ingediend bij de nationale autoriteiten. **Toezicht op CTPP's:** De Europese Toezichthoudende Autoriteiten kunnen aanbieders aanwijzen als CTPP's, die dan onderworpen zijn aan direct toezicht met Joint Examination Teams (JETs), inspecties en periodieke dwangsommen. ### Pijler 5: Informatie-uitwisseling (Artikel 45) DORA moedigt financiële entiteiten aan — maar verplicht niet — cyberdreigingsinformatie te delen: - Indicatoren van compromittering (IoC's), tactieken, technieken en procedures (TTP's) delen - Informatie uitwisselen binnen vertrouwde gemeenschappen - Deelnemen aan regelingen voor informatie-uitwisseling - Bevoegde autoriteiten informeren over deelname --- ## DORA in 2026: Wat er veranderd is ### 19 kritieke ICT-dienstverleners van derden aangewezen Op 18 november 2025 publiceerden [EBA, EIOPA en ESMA de eerste officiële lijst](https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital) van 19 aangewezen kritieke ICT-dienstverleners van derden (CTPP's): - **Hyperscale cloud**: AWS, Microsoft Azure, Google Cloud - **Financiële data en technologie**: Bloomberg, London Stock Exchange Group, IBM - **IT-diensten en telecom**: Tata Consultancy Services, Orange Deze aanbieders staan nu onder direct toezicht van Joint Examination Teams (JETs). Financiële entiteiten die sterk afhankelijk zijn van een aangewezen CTPP moeten deze afhankelijkheid documenteren in hun informatierapport en het concentratierisico beoordelen. ### Informatierapport — planning voor indieningen in 2026 De officiële [EBA-bronnen voor DORA-informatierapportage](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act/preparation-dora-application) bevestigen dat DORA sinds 17 januari 2025 van toepassing is en dat financiële entiteiten binnen het toepassingsgebied een volledig register van ICT-regelingen met derden beschikbaar moeten hebben op entiteits-, subconsolidatie- en geconsolideerd niveau. De EBA biedt hiervoor de ITS, het datamodel, validatieregels, feedbackmateriaal over gegevenskwaliteit en materialen uit de ESA-droogoefening van 2024. Behandel het informatierapport in 2026 als een indiening bij de nationale bevoegde autoriteit, niet als één universele EU-deadline. Bevestig datum en bestandsformaat bij de bevoegde autoriteit en valideer het register vóór indiening tegen het EBA-rapportagepakket. Om het register tussen indieningen bij te houden, downloadt u ons gratis [DORA-informatieregister-sjabloon (XLSX + PDF + MD)](/nl/sjablonen/dora-informatieregister-sjabloon) — een menselijk leesbaar werkregister gemapt op de ITS-sjabloongroepen (B_01–B_07), met de S01–S19-dienstentaxonomie, de identificatieregels voor aanbieders en een ingebouwde checklist vóór indiening. | Planningspunt | Brononderbouwde richtlijn | |---|---| | Officiële rapportagebasis | DORA artikel 28 en de EBA-bronnen voor RoI-rapportage | | Indieningsroute | Nationale bevoegde autoriteiten verzamelen registers van financiële entiteiten en leveren informatie aan de ESA's voor CTPP-aanwijzing | | Timing 2026 | Volg het indieningsvenster van uw nationale bevoegde autoriteit | | Kwaliteitscontrole | Pas de EBA-validatieregels en gegevenskwaliteitscontroles toe vóór indiening | **Waarschuwing over gegevenskwaliteit:** De ESA-materialen uit de droogoefening van 2024 en de EBA-bronnen voor het informatierapport wijzen op veelvoorkomende fouten in RoI-rapportage, zoals onvolledige contractgegevens, ontbrekende informatie over onderaannemers en onjuiste kritikaliteitsclassificaties. Behandel het register in 2026 als een gegevenskwaliteitsproject, niet als alleen een documentupload. ### Handhaving is verscherpt DORA is nu een actieve toezichtvereiste, geen toekomstig implementatieproject. De officiële EBA-bronnen voor het informatierapport bevatten validatieregels, feedback over gegevenskwaliteit en veelvoorkomende rapportageproblemen. Financiële entiteiten moeten daarom gestructureerd bewijs kunnen tonen, niet alleen beleidsdocumenten. Operationeel betekent dit: - Het informatierapport volledig en validatieklaar houden - Bewijs voor ICT-risicobeheerbesluiten en weerbaarheidstests bijhouden - Onderaannemers, dienstverleningslocaties en kritikaliteitsclassificaties documenteren - Bestuurlijke verantwoordelijkheid en opvolging van verbetermaatregelen regelmatig controleren --- ## DORA versus NIS2: De relatie begrijpen Voor financiële entiteiten kunnen zowel DORA als NIS2 relevant zijn. DORA is **lex specialis** — het heeft voorrang waar de vereisten specifieker zijn: | Aspect | DORA | NIS2 (Nederlandse omzetting) | |---|---|---| | **Rechtsvorm** | Verordening (rechtstreeks van toepassing) | Richtlijn (vereist nationale omzetting) | | **Reikwijdte** | Financiële sector + kritieke ICT-aanbieders | 18 sectoroverstijgende categorieën | | **Incidentmelding** | 4u initieel (vanaf classificatie) / 72u tussentijds / 1 maand eindrapport | 24u vroegtijdige waarschuwing / 72u melding / 1 maand | | **Testen** | TLPT elke 3 jaar voor significante entiteiten | Effectiviteitsbeoordeling (minder voorschrijvend) | | **Risico van derden** | Gedetailleerd kader met toezichtregime | Vereisten voor beveiliging van de toeleveringsketen | | **Voorrang** | Heeft prioriteit voor financiële entiteiten | Van toepassing waar DORA niet dekt | In Nederland loopt de omzetting van NIS2 via de **Cyberbeveiligingswet**; tot de inwerkingtreding daarvan blijft de Wbni het huidige kader. Voor financiële entiteiten gaat DORA echter voor. Zie voor een uitgebreide analyse van toepassingsgebied, meldingstermijnen, boetes en dubbele-verplichtingsstrategie onze [vergelijkingsgids DORA vs NIS2](/nl/eu-regelgeving/dora-vs-nis2). --- ## DORA-sancties en boetes DORA harmoniseert de precieze hoogte van geldboetes voor financiële entiteiten niet volledig op EU-niveau. Artikel 50 verplicht lidstaten om effectieve, evenredige en afschrikkende sancties en herstelmaatregelen vast te leggen, waardoor de exacte boete afhangt van nationaal recht en de bevoegde toezichthouder. **Voor financiële entiteiten:** - Herstelmaatregelen en bindende termijnen - Openbare verklaringen en toezichtsmaatregelen - Beperkingen op bestuursfuncties - Opschorting of intrekking van vergunningen - Administratieve sancties onder toepasselijk nationaal recht **Voor kritieke ICT-dienstverleners van derden:** - Aanbevelingen van de Lead Overseer en opvolgmaatregelen - Remediëringsverplichtingen binnen het toezichtskader - Periodieke dwangsommen bij niet-naleving of niet-medewerking De verantwoordelijkheid van senior management is expliciet verankerd in DORA, maar de precieze financiële blootstelling voor financiële entiteiten hangt af van het nationale sanctieregime. --- ## DORA-compliance stappenplan ### Stap 1: Toepasselijkheid en evenredigheid beoordelen Bepaal welke DORA-vereisten van toepassing zijn: - Type entiteit (welke van de 20 financiële-entiteitcategorieën) - Omvang (micro-onderneming, standaard of significante entiteit) - ICT-risicoblootstelling en kritikaliteit van operaties ### Stap 2: DORA-gapanalyse uitvoeren Breng uw huidige kader in kaart ten opzichte van de vijf pijlers. Veelvoorkomende hiaten uit toezichtsbeoordelingen in 2025: - Geen of onvolledig informatierapport - Niet gedefinieerde drempelwaarden voor incidentclassificatie - Geen TLPT-programma voor kwalificerende significante entiteiten - Contracten met derden zonder DORA-verplichte bepalingen - Concentratierisico niet formeel beoordeeld ### Stap 3: ICT-risicobeheerframework opbouwen Stel uw framework op of werk het bij conform Artikelen 5–16: - Formele toezichtsrol van het bestuursorgaan documenteren - ICT-risicostrategie, -bereidheid en -beleid opstellen of bijwerken - Onafhankelijke ICT-risicobeheerfunctie instellen - Continue monitoring en anomaliedetectie implementeren ### Stap 4: Incidentmeldingscapaciteit opbouwen De 24-uurs initiële melding is operationeel veeleisend: - Vooraf gedefinieerde classificatiecriteria en drempelwaarden - 24/7 detectie- en escalatieprocedures - Vooraf overeengekomen meldingssjablonen - Benoemde regelgevende contacten bij AFM en DNB - Workflows voor cliëntnotificatie (Artikel 19, lid 3) ### Stap 5: Weerbaarheidstestprogramma implementeren Voor alle entiteiten: - Jaarlijkse kwetsbaarheidsbeoordelingen en netwerkbeveiligingstests - Scenariogebaseerde bedrijfscontinuïteitsoefeningen Voor significante entiteiten: - Gekwalificeerde TLPT-testers identificeren en inschakelen - Afstemmen op TIBER-NL (DNB) of TIBER-EU - Scope vooraf afstemmen met AFM/DNB ### Stap 6: Informatierapport corrigeren Dit is de meest urgente praktische prioriteit in 2026: - Alle ICT-regelingen met derden documenteren met de [officiële EBA-bronnen voor het informatierapport](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act/preparation-dora-application) - Inclusief: providerdetails, contractomvang, servicelocaties, onderaannemers, kritikaliteitsclassificatie - Concentratierisico beoordelen voor aanbieders die meerdere kritieke functies bedienen - Indienen binnen het venster dat door de bevoegde nationale autoriteit wordt gecommuniceerd ### Stap 7: Continue compliance instellen DORA-compliance is geen eenmalige exercitie: - Continue monitoring van de beveiligingshouding van ICT-dienstverleners van derden - Driemaandelijkse review van het informatierapport - Jaarlijkse review van het ICT-risicobeheerframework - Jaarlijkse review van drempelwaarden voor incidentclassificatie --- ## Hoe Orbiq DORA-compliance ondersteunt Orbiq helpt financiële entiteiten bij het doorlopend beheer van de operationele vereisten van DORA: - **Informatierapportbeheer:** Volledig, gestructureerd inventaris van alle ICT-regelingen met derden — altijd gereed voor toezichtsindiening bij de AFM - **Leveranciersmonitoring:** Continue beoordeling van de beveiligingshouding en nalevingsstatus van externe ICT-dienstverleners, inclusief aangewezen CTPP's - **Bewijsbeheer:** Geautomatiseerde verzameling en organisatie van nalevingsbewijs voor toezichtsinspecties en TLPT-processen - **Trust Center:** Demonstreer uw operationele weerbaarheidshouding aan tegenpartijen, auditors en toezichthouders — voldoet aan de horizontale communicatieplicht van Artikel 19, lid 3 - **Toeleveringsketenzichtbaarheid:** Realtime overzicht van uw ICT-afhankelijkheidslandschap, concentratierisicoscoring en CTPP-blootstelling - **[Continue monitoring](/nl/platform/continue-monitoring):** Geautomatiseerde controlemonitoring die inspectieklaar bewijs genereert zonder handmatige inspanning Vanaf dag één gebouwd voor Europese financiële diensten, met EU-dataresidentie en AVG-native architectuur. --- ## Belangrijke DORA-deadlines in 2026 | Deadline | Vereiste | |---|---| | **Venster per bevoegde autoriteit** | Indiening informatierapport, indien gevraagd door uw nationale bevoegde autoriteit | | **Doorlopend** | Continue monitoring van ICT-dienstverleners van derden | | **Jaarlijks** | Review van het ICT-risicobeheerframework | | **Elke 3 jaar** | TLPT voor significante entiteiten | --- ## Meer lezen - [DORA-incidentmelding en leveranciersmonitoring: Artikelen 19, 28, 30](/nl/eu-regelgeving/incidentmelding-leveranciermonitoring-dora-artikelen-19-28-30) - [NIS2-compliancegids](/nl/eu-regelgeving/nis2-compliance) — Voor vereisten buiten het bereik van DORA - [NIS2-beveiliging van de toeleveringsketen](/nl/eu-regelgeving/nis2-toeleveringsketenbeveiliging) — Aanvullende richtlijnen voor risicobeheer van derden - [Beste ISMS-software 2026](/nl/compliance-automatisering/beste-isms-software) — Vergelijk platformen op ISO 27001-diepte, NIS2/DORA-dekking en EU-dataopslag - [Vendor Assurance Platform](/nl/platform/vendor-assurance-platform) — Hoe Orbiq ICT-risico van derden op schaal beheert --- ## Bronnen & Referenties 1. [Verordening (EU) 2022/2554 — DORA volledige tekst](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554) — Publicatieblad van de EU, bron voor alle artikelverwijzingen 2. [EIOPA-overzicht van de Digital Operational Resilience Act](https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en) — Officieel ESA-overzicht van DORA-toepassingsdatum, toepassingsgebied en kernvereisten 3. [EBA-bronnen voor rapportage van DORA-informatieregisters](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act/preparation-dora-application) — Officiële RoI-rapportagetools, ITS, validatieregels, materialen over gegevenskwaliteit en droogoefening 4. [ESA's wijzen kritieke ICT-dienstverleners aan, 18 november 2025](https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital) — Officiële bron voor de eerste CTPP-aanwijzing 5. [Threat Intelligence Based Ethical Red Teaming (TIBER) — De Nederlandsche Bank](https://www.dnb.nl/en/sector-information/cash-and-payment-systems/dnb-oversees-cyber-resilience-tests/threat-intelligence-based-ethical-red-teaming-tiber/) — Nederlands TLPT-kader van DNB --- *Deze gids wordt onderhouden door het Orbiq-team. Laatst bijgewerkt: juni 2026.*