--- title: "DORA vs NIS2: belangrijkste verschillen en overlap" description: "DORA en NIS2 vergeleken: scope, rechtsvorm, meldingstermijnen, boetes en hoe lex specialis de overlap tussen beide wetten oplost." canonical: https://www.orbiqhq.com/nl/eu-regelgeving/dora-vs-nis2 html: https://www.orbiqhq.com/nl/eu-regelgeving/dora-vs-nis2 publisher: Orbiq GmbH language: en --- # DORA vs NIS2: belangrijkste verschillen en overlap DORA en NIS2 vergeleken: scope, rechtsvorm, meldingstermijnen, boetes en hoe lex specialis de overlap tussen beide wetten oplost. Twee EU-cybersecurityregelgevingen zijn nu van kracht in heel Europa: de [NIS2-richtlijn (EU 2022/2555)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022L2555) en de [DORA-verordening (EU 2022/2554)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554). Beide vereisen ICT-risicobeheer, incidentmelding en toezicht op derde aanbieders. Maar ze verschillen aanzienlijk in wie ze aanspreken, hoe ze als rechtsinstrument werken en wat ze specifiek vereisen. Als u compliance-verantwoordelijke, CISO of GRC-professional bent die wil begrijpen welk kader op uw organisatie van toepassing is — of hoe u met beide omgaat —, biedt deze gids een praktische vergelijking. --- ## In één oogopslag: DORA vs NIS2 | Dimensie | DORA | NIS2 | |---|---|---| | **Rechtsvorm** | Verordening — rechtstreeks van toepassing | Richtlijn — nationale omzetting vereist | | **Juridische referentie** | Verordening (EU) 2022/2554 | Richtlijn (EU) 2022/2555 | | **Inwerkingtreding** | 16 januari 2023 | 16 januari 2023 | | **Van toepassing / Omzettingstermijn** | 17 januari 2025 | 17 oktober 2024 | | **Toepassingsgebied** | Alleen financiële entiteiten (20 categorieën) | Sectoroverschrijdend: 18 kritieke sectoren | | **Drempel** | Alle gereguleerde financiële entiteiten (geen minimumomvang) | ≥ 50 werknemers OF ≥ €10 mln. jaaromzet | | **Melding — vroege waarschuwing** | 4 uur (na classificatie als ernstig) | 24 uur (na ontdekking) | | **Melding — volledige melding** | 24 uur eerste rapport, 72 uur tussenrapport | 72 uur | | **Melding — eindrapport** | 1 maand na oplossing | 30 dagen | | **Maximale boete (organisaties)** | ~2% van de wereldwijde jaaromzet (niveau 1) | Essentieel: €10 mln. of 2%; Belangrijk: €7 mln. of 1,4% | | **Persoonlijke aansprakelijkheid** | Nationaal sanctierecht kan leidinggevend orgaan of andere leidinggevenden raken | Aansprakelijkheid leidinggevend orgaan (nationaal recht) | | **Penetratietests** | Verplichte TLPT voor significante entiteiten | Niet expliciet vereist | | **Toezicht op derde aanbieders** | Formele CTPP-aanwijzing en toezicht | Beheer van toeleveringsketenrisico's vereist | --- ## Wat is NIS2? De [NIS2-richtlijn](/nl/eu-regelgeving/nis2-richtlijn) — officieel Richtlijn (EU) 2022/2555 — is de primaire sectoroverschrijdende cybersecuritywetgeving van de EU. Ze verving de oorspronkelijke NIS-richtlijn (2016/1148) en breidde de dekking uit van 7 naar 18 sectoren: energie, transport, gezondheidszorg, financiële marktinfrastructuur, digitale infrastructuur, afvalverwerking en voedselproductie. NIS2 is van toepassing op elke organisatie in een gedekte sector met ten minste 50 werknemers of een jaaromzet van ten minste €10 miljoen. Deze organisaties worden ingedeeld als **essentiële entiteiten** of **belangrijke entiteiten**, met verschillende toezichtsintensiteit en boeteplafonds. Als richtlijn moest NIS2 door elke EU-lidstaat in nationaal recht worden omgezet vóór 17 oktober 2024. De implementatie verliep wisselend: - **Nederland**: De [Cyberbeveiligingswet (Cbw)](https://www.ncsc.nl), die NIS2 omzet in Nederlands recht en voortbouwt op het bestaande Wbni-kader (Wet beveiliging netwerk- en informatiesystemen), wordt verwacht in Q2 2026 in werking te treden. Het [NCSC-NL](https://www.ncsc.nl) en de Autoriteit Persoonsgegevens (AP) spelen een centrale rol in toezicht en handhaving. - **Duitsland**: De NIS2UmsuCG-wet trad op 6 december 2025 in werking; essentiële en belangrijke entiteiten moeten zich vóór 6 maart 2026 registreren bij het BSI. - **België**: Actieve handhaving sinds eind 2024. Voor het volledige toepassingsgebied, de eisen en de maatregelen van Artikel 21 raadpleegt u onze [NIS2-compliancegids](/nl/eu-regelgeving/nis2-compliance) en [NIS2-vereisten](/nl/eu-regelgeving/nis2-vereisten). --- ## Wat is DORA? De [DORA-verordening](/nl/eu-regelgeving/dora-compliance) — Verordening (EU) 2022/2554 — is het EU-kader voor ICT-risicobeheer in de financiële sector. In tegenstelling tot NIS2 is DORA een **verordening**, geen richtlijn. Ze is rechtstreeks van toepassing in alle EU-lidstaten zonder dat nationale implementatiewetgeving vereist is. DORA geldt vanaf **17 januari 2025** en heeft betrekking op **20 categorieën financiële entiteiten**: banken, verzekeringsmaatschappijen, beleggingsondernemingen, betaalinstellingen, aanbieders van cryptoactivadiensten, handelsplatformen, centrale tegenpartijen en meer. [Artikel 64 van Verordening (EU) 2022/2554](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554) stelt deze toepassingsdatum rechtstreeks vast, zonder nationale omzetting. In Nederland zijn de [AFM (Autoriteit Financiële Markten)](https://www.afm.nl) en de [DNB (De Nederlandsche Bank)](https://www.dnb.nl) de bevoegde autoriteiten voor DORA. De AFM vereiste indiening van het Informatierapport (ROI) vóór 22 maart 2026 (DNB: vóór 20 maart 2026); de geconsolideerde deadline van de ETA's voor nationale autoriteiten is 31 maart 2026. De vijf pijlers van DORA zijn: 1. **ICT-risicobeheer** — Governancekader en risicobereidheid 2. **Melding van ICT-gerelateerde incidenten** — Gestandaardiseerde melding van ernstige incidenten aan bevoegde autoriteiten 3. **Testen van digitale operationele weerbaarheid** — Inclusief verplichte TLPT voor significante entiteiten 4. **Beheer van ICT-risico's van derden** — Toezicht op kritieke ICT-derdenaanbieders (CTPP's) 5. **Informatie-uitwisseling** — Vrijwillige uitwisseling van cyber-dreigingsinformatie In 2026 is de DORA-handhaving verschoven van begeleiding naar actief toezicht. De AFM en DNB voeren toezichtsbeoordelingen en audits uit. --- ## Incidentmelding: een kritiek verschil Voor organisaties die onder beide kaders vallen, is incidentmelding het gebied met het meest significante operationele verschil. ### NIS2-incidentmelding Conform [NIS2 Artikel 23](/nl/eu-regelgeving/incidentmelding-toeleveringsketen-nis2-artikelen-21-23) moeten organisaties bij een **significant incident** een driestaps-proces volgen: 1. **Vroege waarschuwing** — binnen **24 uur** na het ontdekken van een significant incident 2. **Incidentmelding** — binnen **72 uur**, met eerste ernst-beoordeling en indicatoren van compromittering 3. **Eindrapport** — binnen **30 dagen** na de melding, inclusief grondoorzaakanalyse en herstelmaatregelen ### DORA-incidentmelding De DORA-eisen — vastgesteld in de [technische regulatorische normen (JC 2024-33)](https://www.esma.europa.eu/sites/default/files/2024-07/JC_2024-33_-_Final_report_on_the_draft_RTS_and_ITS_on_incident_reporting.pdf) — zijn strenger en prescriptiever voor **ernstige ICT-gerelateerde incidenten**: 1. **Eerste melding** — binnen **4 uur** na classificatie van het incident als ernstig 2. **Eerste rapport** — binnen **24 uur** na ontdekking 3. **Tussenrapport** — binnen **72 uur** 4. **Eindrapport** — binnen **1 maand** na oplossing De 4-uur eerste melding onder DORA is de meest veeleisende vereiste in beide kaders. Financiële entiteiten hebben realtime-incidentclassificatiesystemen en vooraf opgestelde meldingssjablonen nodig om deze deadline te halen. Voor een uitgebreide vergelijking van [DORA-incidentmeldingsvereisten](/nl/eu-regelgeving/incidentmelding-leveranciermonitoring-dora-artikelen-19-28-30) raadpleegt u onze gespecialiseerde gids. --- ## Boetes: vergelijking van de sanctieregimes ### NIS2-boetes NIS2 creëert een tweeledig boetestelsel op basis van de classificatie van de entiteit: | Type entiteit | Maximale boete | |---|---| | **Essentiële entiteiten** | €10.000.000 of 2% van de wereldwijde jaaromzet (het hoogste bedrag) | | **Belangrijke entiteiten** | €7.000.000 of 1,4% van de wereldwijde jaaromzet (het hoogste bedrag) | Naast financiële sancties kunnen nationale autoriteiten bij grove nalatigheid na een ernstig incident tijdelijke beroepsverboden opleggen aan senior managers. ### DORA-boetes DORA legt geen uniform EU-breed boeteschema vast voor alle financiële entiteiten — lidstaten moeten effectieve, evenredige en afschrikkende nationale sancties vaststellen. In de praktijk: - **Niveau 1-overtredingen**: Boetes tot **2% van de wereldwijde jaaromzet** - **Dagelijkse boetes**: Tot **1% van de gemiddelde dagomzet** om voortdurende naleving af te dwingen - **Persoonlijke aansprakelijkheid**: Nationaal recht kan sancties of herstelmaatregelen uitbreiden tot leden van het leidinggevend orgaan of andere leidinggevenden - **Nederlandse specifics**: De AFM en DNB hanteren de nationale sanctieniveaus; de AFM stelde de ROI-deadline op 31 maart 2026 --- ## Wie moet aan beide regelgevingen voldoen? De vraag die compliance-teams het vaakst stellen: **welk kader is op ons van toepassing?** ### Financiële entiteiten: primair DORA Als u een gereguleerde financiële entiteit bent (bank, verzekeraar, beleggingsonderneming, betaalinstelling, enz.), is **DORA uw primaire kader** voor ICT-risicobeheer en incidentmelding. NIS2 kan ook financiële entiteiten als gedekte sectoren vermelden, maar DORA prevaleert als lex specialis. ### ICT-aanbieders: mogelijk beide ICT-dienstverleners staan voor het meest complexe scenario van dubbele verplichtingen: - **Aangewezen CTPP's** onder DORA (19 aanbieders per november 2025, inclusief AWS, Microsoft Azure, Google Cloud, IBM en Bloomberg) zijn onderworpen aan direct ETA-toezicht - **ICT-aanbieders die niet als CTPP zijn aangewezen** maar actief zijn in NIS2-gedekte sectoren moeten NIS2 naleven - **ICT-aanbieders die meerdere sectoren bedienen** (financieel + andere) kunnen voor verschillende delen van hun activiteiten aan beide kaders zijn onderworpen ### Niet-financiële sectoren Voor gezondheidszorg, energie, transport, digitale infrastructuur en andere sectoren die door NIS2 maar niet door DORA worden gedekt, is alleen NIS2 van toepassing. --- ## Lex Specialis: hoe de overlap in de praktijk wordt opgelost Het **lex specialis-beginsel** — de specifiekere wet prevaleert boven de algemene wet — is gecodificeerd in NIS2 Artikel 4. Voor financiële entiteiten vervangen DORA's meer gedetailleerde ICT-risicobeheer- en incidentmeldingsvereisten de equivalente NIS2-verplichtingen. **Wat dit in de praktijk betekent:** Alleen door DORA geregeld (NIS2 is niet van toepassing op financiële entiteiten voor deze gebieden): - ICT-risicobeheerkader (DORA Artikelen 5–16) - Melding van ernstige ICT-incidenten (DORA Artikel 19) - Testen van digitale operationele weerbaarheid (DORA Artikelen 24–27) - Beheer van ICT-risico's van derden en CTPP-toezicht (DORA Artikelen 28–44) Gebieden waar NIS2 nog steeds van toepassing kan zijn op financiële entiteiten: - Fysieke beveiliging van infrastructuur die DORA niet dekt - Verplichtingen voor beveiliging van de toeleveringsketen op niet-ICT-gebieden - Sectorspecifieke bepalingen buiten het toepassingsgebied van DORA Een bank is dus niet volledig vrijgesteld van NIS2, alleen van de specifieke verplichtingen die DORA vervangt. --- ## Compliancestrategie voor entiteiten met dubbele verplichtingen Als uw organisatie sectoroverschrijdend actief is of uw ICT-aanbieders zowel financiële als niet-financiële klanten bedienen, is een geïntegreerde compliancestrategie aan te raden: **1. Bepaal uw entiteitstype nauwkeurig.** Stel vast of u: (a) een gereguleerde financiële entiteit bent die primair onder DORA valt, (b) een niet-financiële entiteit bent die onder NIS2 valt, of (c) een ICT-dienstverlener bent die mogelijk onder beide kaders valt. **2. Bouw een uniform ICT-risicobeheerkader.** DORA's ICT-risicobeheervereisten (Artikelen 5–16) zijn gedetailleerder dan NIS2 Artikel 21. Een systeem dat voldoet aan de DORA-standaard voldoet doorgaans ook aan de equivalente NIS2-vereisten. **3. Richt incidentrespons in op DORA's 4-uurs drempel.** Als DORA van toepassing is, moet uw incidentresponsproces een eerste melding binnen 4 uur ondersteunen. Dit vereist geautomatiseerde waarschuwingen, vooraf opgestelde meldingssjablonen en gedefinieerde escalatiepaden naar bevoegde autoriteiten. Organisaties die aan DORA's termijnen voldoen, voldoen automatisch aan NIS2's 24-uurs drempel. **4. Beheer risico's van derde partijen met bewijs.** Beide kaders vereisen beheer van toeleveringsketen- en derde-partijrisico's. Het DORA Informatierapport (ROI) voor 2026 had bij de AFM een inleverdeadline voor bedrijven van 22 maart 2026 (DNB: 20 maart 2026); de geconsolideerde ETA-deadline voor nationale autoriteiten is 31 maart 2026. Voor de werkregisterlaag zelf mapt ons gratis [DORA-informatieregister-sjabloon](/nl/sjablonen/dora-informatieregister-sjabloon) de ITS-sjabloongroepen naar een spreadsheet die u het hele jaar kunt bijhouden. **5. Gebruik [continue compliance-monitoring](/nl/platform/continue-monitoring).** Zowel DORA als NIS2 vereisen aantoonbare, continue naleving. Orbiq biedt realtime bewijsverzameling, geautomatiseerde ondersteuning voor incidentclassificatie en dashboards voor leveranciersrisico's die op beide kaders zijn afgestemd. --- ## Hoe Orbiq helpt Orbiq is gebouwd voor EU-gereguleerde organisaties die DORA, NIS2 en hun snijvlakken moeten navigeren. Het platform biedt: - **Continue monitoring** van uw beveiligingshouding, gekoppeld aan DORA- en NIS2-controleraamwerken - **Vendor assurance** voor DORA's Informatierapport en NIS2-vereisten voor beveiliging van de toeleveringsketen - **Incidentbeheer** met configureerbare termijnen die zijn afgestemd op de 4-uurs DORA- en 24-uurs NIS2-drempels - **Trust Center** om compliancehouding te demonstreren aan toezichthouders, klanten en auditors --- ## Bronnen & Referenties 1. [Verordening (EU) 2022/2554 (DORA)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554) — Officiële tekst van de Digital Operational Resilience Act 2. [Richtlijn (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022L2555) — Officiële tekst van de NIS2-richtlijn 3. [Verordening (EU) 2022/2554, artikel 64](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32022R2554) — Stelt 17 januari 2025 vast als toepassingsdatum van DORA 4. [JC 2024-33 Eindrapport over Incidentmelding RTS/ITS](https://www.esma.europa.eu/sites/default/files/2024-07/JC_2024-33_-_Final_report_on_the_draft_RTS_and_ITS_on_incident_reporting.pdf) — DORA meldingstermijnen (4u/24u/72u/1 maand) 5. [NIS2 ontmoet DORA — PayTechLaw](https://paytechlaw.com/en/nis2-meets-dora-changes-for-financial-institutions/) — Analyse van de lex specialis-clausule 6. [DORA Register van Informatie 2026 — Thomas Murray](https://thomasmurray.com/insights) — AFM en ETA-deadlines voor ROI-indiening 2026 7. [NIS2-boetestructuur — Hornetsecurity](https://www.hornetsecurity.com/en/blog/nis2-fines/) — Boeteplafonds voor essentiële en belangrijke entiteiten 8. [DORA vs NIS2 — activeMind.legal](https://www.activemind.legal/guides/nis2-dora/) — Juridische analyse van dubbele compliance en veelvoorkomende misvattingen 9. [DORA-handhaving 2026 — aqmetrics](https://aqmetrics.com/blog/dora-2026-the-end-of-the-grace-period-for-digital-resilience/) — Overgang van begeleiding naar actief toezicht door AFM en DNB 10. [DORA vs NIS2 — Diligent](https://www.diligent.com/resources/blog/nis2-vs-dora) — Praktische vergelijking voor compliance-verantwoordelijken