DORA-informatieregister: gratis sjabloon (2026, Excel)

DORA-informatieregister: gratis sjabloon (2026, Excel)

Kort antwoord: dit gratis DORA-informatieregister-sjabloon is een downloadbare XLSX (plus PDF-veldgids en machine-leesbare Markdown; de downloadbestanden zijn beschikbaar in het Nederlands) die financiële entiteiten een menselijk leesbaar werkregister geeft voor artikel 28, lid 3, van Verordening (EU) 2022/2554. De acht gegevensbladen volgen de veldlogica van de officiële informatieregistersjablonen van de ESA's in Uitvoeringsverordening (EU) 2024/2956 van de Commissie — entiteiten en bijkantoren (B_01), contractuele overeenkomsten (B_02), ondertekenende en gebruikende entiteiten (B_03–B_04), aanbieders en toeleveringsketens (B_05), functies (B_06) en criticaliteitsbeoordelingen (B_07) — zodat het register dat u het hele jaar bijhoudt op het rapportagemoment converteert naar het officiële xBRL-CSV-pakket, in plaats van elk voorjaar opnieuw te worden opgebouwd.

Over één ding is dit sjabloon eerlijk, omdat de ESA's dat ook zijn: er bestaat geen officiële Excel die de indieningsvalidatie doorstaat, en die komt er ook nooit. De RoI-rapportage-FAQ van de EBA stelt dat de ESA's geen Excel-oplossing kunnen maken die de referentiële integriteit van het datamodel respecteert, "niet in de laatste plaats vanwege de beperkingen van Excel". Indiening gebeurt als xBRL-CSV-pakket via het portaal van uw NCA. Wat ondernemingen werkelijk missen, is de laag daarvóór — een register dat een derdenrisicoteam tussen twee jaarlijkse indieningen actueel kan houden. Dat is wat dit sjabloon is.

---

Belangrijkste punten

• Een werkregister, geen indieningsbestand. Houd het het hele jaar bij in Excel; map het in het venster van uw NCA op de officiële sjablonen en converteer naar xBRL-CSV. De bladstructuur maakt daar een mappingoefening van, geen nieuw onderzoek.
• Per ontwerp gemapt op de ITS. Elk blad correspondeert met een sjabloongroep van Uitvoeringsverordening (EU) 2024/2956, en de gesloten lijsten zitten erin als keuzelijsten — inclusief de S01–S19-taxonomie van ICT-diensten en de LEI-/EUID-identificatieregels voor B_05.01.
• Eén relationele sleutel. Het contractreferentienummer verbindt contracten met aanbieders, toeleveringsketens, ondertekenende/gebruikende entiteiten, functies en beoordelingen — dezelfde relationele logica die de 15 officiële sjablonen gebruiken.
• Gebouwd op de echte foutendata. Slechts 6,5% van de registers doorstond alle 116 controles in de droogoefening van de ESA's in 2024; 86% van de fouten betrof ontbrekende verplichte informatie. Het blad Controles vóór indiening vertaalt die bevindingen naar een werklijst.
• Klaar voor de 2026-cyclus. Referentiedatum 31 december 2025; entiteitsvensters nationaal vastgesteld in Q1 (DNB uiterlijk 20 maart via MyDNB, AFM verlengd tot 31 maart, Central Bank of Ireland 1–31 maart, CSSF eDesk vanaf 11 februari); NCA's sturen door naar de ESA's uiterlijk 31 maart.

---

Wat er in het sjabloon zit

De XLSX bevat een instructieblad, zeven op de ITS gemapte gegevensbladen met uitgewerkte voorbeeldrijen, en een checklist vóór indiening.

1. Entiteit & groep (B_01)

Veld	Voorbeeld	RoI-anker
Juridische naam entiteit + LEI	Nordbank SE · 529900T8BM49AURSDO55	B_01.01–B_01.02
Rol in het register	Registerbeheerder / Groepsentiteit in scope / Bijkantoor	B_01.01–B_01.03
Type financiële entiteit	Kredietinstelling	B_01.02
Bevoegde autoriteit	BaFin / ECB	B_01.01

2. Contractuele overeenkomsten (B_02)

Veld	Voorbeeld	RoI-anker
Contractref. (relationele sleutel)	CTR-2024-018	B_02.01
Type overeenkomst	Zelfstandig / Master / Vervolg / Intragroep	B_02.01
Type ICT-dienst	S17 — Infrastructure-as-a-service (keuzelijst, gesloten lijst)	B_02.02, bijlage III
Start / einde / opzegtermijnen	2024-03-01 → onbepaald · 180 dagen	B_02.02
Ondersteunt kritieke of belangrijke functie?	Ja / Nee / In beoordeling	Art. 28, lid 2, art. 3, punt 22
Locaties gegevensopslag en -verwerking	NL; IE	B_02.02

3. ICT-leveranciers (B_05.01) en toeleveringsketens (B_05.02)

Leveranciersidentificatie met de identificatieregels van de ITS ingebouwd — LEI of EUID voor rechtspersonen in de EU, uitsluitend LEI voor rechtspersonen uit derde landen, landcode + CRN/VAT/PNR/NIN voor natuurlijke personen — plus een CTPP-aanwijzingsvlag, en een op rangorde gebaseerd ketenblad (rang 1 = directe aanbieder, rang 2+ = de onderaannemers die de dienst feitelijk dragen, conform artikel 29 en de onderaannemings-RTS).

4. Functies (B_06.01) en CIF-beoordelingen (B_07.01)

Functieregister met de criticaliteitstoets van artikel 3, punt 22, en gedocumenteerde redenen, en een beoordelingsblad per overeenkomst voor vervangbaarheid, laatste auditdatum, exitplandocumentatie en testdata (artikel 28, lid 8), reïntegratiemogelijkheid en de impact van beëindiging. De exitplannen waarnaar dit blad verwijst, bouwt u met het bijbehorende DORA-exitstrategie-sjabloon.

5. Controles vóór indiening

Elf controles afgeleid uit de foutendata van de droogoefening en de eerste verzamelronde van de ESA's: volledigheid van verplichte velden, LEI-formaat en GLEIF-vervalstatus, discipline op de gesloten lijsten, ISO-datums en -landcodes, integriteit van relationele sleutels, conversie naar xBRL-CSV en de EBA-validatieregels — elk met een statuskeuzelijst.

---

Zo gebruikt u dit sjabloon

1. Zet de entiteitslaag eenmalig op. Vul Entiteit & groep in met de registerbeheerder, de groepsentiteiten binnen scope en de bijkantoren (het register bestaat op entiteits-, gesubconsolideerd en geconsolideerd niveau).
2. Inventariseer elke ICT-overeenkomst. Artikel 28, lid 3, dekt alle contractuele overeenkomsten over ICT-diensten — niet alleen cloud, niet alleen kritiek. Het contractreferentienummer dat u hier toekent, is de sleutel waarop al het andere aansluit.
3. Dedupliceer aanbieders. Elke aanbieder staat één keer in B_05.01 met een geldige identificatiecode. Valideer LEI's tegen GLEIF — vervallen LEI's uit verouderde leveranciersdatabases zijn een topvalidatiefout.
4. Breng ketens, handtekeningen en functies in kaart. Rangschik de toeleveringsketen achter elke kritieke overeenkomst, leg vast wie tekent versus wie gebruikt, en voer per functie de criticaliteitstoets van artikel 3, punt 22, uit.
5. Beoordeel wat kritiek is. Elke overeenkomst die een kritieke of belangrijke functie ondersteunt, krijgt een B_07-beoordelingsrij — vervangbaarheid, exit, reïntegratie, impact.
6. Converteer op het rapportagemoment. Werk in het Q1-venster van uw NCA het blad Controles vóór indiening af, map naar de officiële sjablonen, converteer naar het xBRL-CSV-pakket en draai de EBA-validatieregels vóór indiening.

Voor het bewijs dat u van elke aanbieder verzamelt — certificaten, assurancerapporten, resultaten van weerbaarheidstests, exitplantests — gebruikt u de bijbehorende DORA-bewijschecklist voor ICT-leveranciers; dit sjabloon volgt het register zelf, die checklist volgt het bewijs per aanbieder.

---

Juridische grondslag

• Artikel 28, lid 3, Verordening (EU) 2022/2554 (DORA) — financiële entiteiten houden een informatieregister bij en actualiseren dat, voor alle contractuele overeenkomsten over het gebruik van ICT-diensten geleverd door ICT-derde aanbieders, op entiteits-, gesubconsolideerd en geconsolideerd niveau, en rapporteren het aan de bevoegde autoriteit.
• Uitvoeringsverordening (EU) 2024/2956 van de Commissie (29 november 2024) — de ITS met de standaardsjablonen: 15 sjablonen in 8 groepen, verbonden door relationele sleutels, met gesloten waardelijsten waaronder de S01–S19-taxonomie van ICT-diensten en de identificatieregels voor aanbieders.
• EBA DORA RoI-rapportage-FAQ (bijgewerkt 28 maart 2025) — het indieningsformaat (plain-CSV / xBRL-CSV volgens de ESA-taxonomie), de verklaring dat geen validatiebestendige Excel kan worden geleverd, en de kalender vanaf 2026: referentiedatum 31 december, NCA-naar-ESA-deadline 31 maart.
• ESA's — samenvattend rapport droogoefening 2024 — de datakwaliteitsbasis waarop de controles van dit sjabloon zijn gebouwd.

Voor het volledige regulatoire beeld, zie onze DORA-compliancegids; waarom de artikelen 19, 28 en 30 een traditioneel ISMS ontgroeien, leest u in de analyse van DORA-artikelen 19, 28 en 30; weegt u elders in uw groep DORA af tegen NIS2-verplichtingen, dan brengt onze vergelijking DORA vs. NIS2 de verschillen in kaart.

---

Indienen in Nederland: DNB en de AFM

Nederland kent twee verzamelroutes, en het loont ze uit elkaar te houden. DNB liet haar uitvraag voor 2026 lopen via MyDNB (Dienst Rapportages): de rapportageverplichting werd zichtbaar vanaf 2 maart 2026, met een deadline van 20 maart 2026. Het formaat is xBRL-CSV, maar DNB bood daarnaast — als enige van de grote NCA's — een gestandaardiseerd Excel-sjabloon aan dat DNB zelf naar xBRL-CSV converteert (DNB — DORA Registers of Information in March 2026). Dat onderstreept precies de stelling achter dit sjabloon: de werklaag mág menselijk leesbaar zijn, zolang de structuur strak op de ITS-velden zit.

De AFM verzamelt informatieregisters afzonderlijk van de entiteiten onder haar toezicht, via het AFM Portal — uitsluitend xBRL-CSV, zonder Excel-conversie. Voor 2026 verlengde de AFM haar deadline tot 31 maart 2026, met correcties mogelijk tot 30 april (AFM — informatieregister). Valt uw entiteit onder AFM-toezicht, dan is de conversiestap dus onverkort nodig; het blad Controles vóór indiening is uw laatste halte daarvóór.

---

VK, Noorwegen en de EER

VK: geen DORA, geen registerindiening. Britse ondernemingen volgen het operationele-weerbaarheidsregime van de FCA/PRA (FCA PS21/3, PRA SS1/21 — volledig van kracht sinds 31 maart 2025) plus het regime voor kritieke derde partijen onder FSMA 2023. De mapping die die regels vereisen, is een deelverzameling van de DORA-veldenset, zodat pan-Europese groepen dit register één keer kunnen bijhouden en hergebruiken voor Britse zelfbeoordelingen.

Noorwegen / EER: DORA is op 20 februari 2025 opgenomen in de EER-overeenkomst, en de Noorse DORA-wet is sinds 1 juli 2025 van kracht. Finanstilsynet verzamelt als bevoegde autoriteit de registers — Noorse entiteiten gebruiken dit sjabloon precies zoals hun EU-tegenhangers, met de vensters van Finanstilsynet in de plaats.

---

Van jaarlijkse sprint naar staand register

Het patroon dat toezichthouders na de eerste verzamelrondes signaleerden, is eenvoudig: registers die elk voorjaar opnieuw worden opgebouwd, stranden; registers die continu worden bijgehouden, komen erdoorheen. Nieuwe overeenkomsten worden bij ondertekening vastgelegd, LEI's worden vóór elke cyclus gehervalideerd, criticaliteit wordt herbeoordeeld wanneer functies veranderen. Het Vendor Assurance Platform van Orbiq maakt van dat onderhoud een workflow in plaats van een agendaherinnering — gestructureerde leveranciersrecords, bewijs met vervaltracking en continue monitoring, gebouwd voor Europese financiële entiteiten met EU-dataresidentie. De machine-leesbare Markdown-variant van dit sjabloon is beschikbaar op /downloads/templates/nl/dora-register-of-information-starter.md voor AI-agent-workflows.

---

Bronnen en verwijzingen

1. Verordening (EU) 2022/2554 (DORA) — EUR-Lex — registerverplichting van artikel 28, lid 3; context artikelen 29–30
2. Uitvoeringsverordening (EU) 2024/2956 van de Commissie — EUR-Lex — ITS over de standaardsjablonen van het informatieregister; dienstenlijst in bijlage III
3. EBA — Preparation for DORA application: RoI-rapportagemateriaal en FAQ — indieningsformaat, Excel-verklaring, kalender vanaf 2026
4. ESA's — 2024 Dry Run exercise summary report (ESA 2024 35) — slagingspercentage van 6,5%; foutcategorieën
5. DNB — DORA Registers of Information in March 2026 — Nederlandse 2026-uitvraag via MyDNB (deadline 20 maart), xBRL-CSV en het door DNB geconverteerde Excel-sjabloon
6. AFM — informatieregister — AFM Portal, uitsluitend xBRL-CSV, deadline 2026 verlengd tot 31 maart, correcties tot 30 april
7. Central Bank of Ireland — Reporting of Registers of Information — Iers 2026-venster (1–31 maart)
8. CSSF — DORA: submission timeframe for the Register of Information 2026 — Luxemburgs eDesk-portaal open vanaf 11 februari 2026
9. FCA PS21/3 — Building Operational Resilience — Brits regime (geen registerindiening)
10. Finanstilsynet — Noorse DORA-wet van kracht op 1 juli 2025 — implementatie in Noorwegen / de EER