Ga naar hoofdinhoud
Audact
Bekijk het aanbod

Van kracht · 17 januari 2025

DORA: wat een financiële klant over zijn leveranciers moet kunnen zeggen.

Van kracht sinds 17 januari 2025

Laatst getoetst: 6 oktober 2026

De Digital Operational Resilience Act, Verordening (EU) 2022/2554, geldt sinds 17 januari 2025 voor banken, verzekeraars, betaal- en elektronischgeldinstellingen, beleggingsondernemingen, aanbieders van cryptodiensten en de overige financiële entiteiten uit artikel 2. Bijna elke plicht die eruit volgt ligt bij de financiële entiteit zelf, niet bij haar leveranciers. Wie AI-gesprekken voert voor een financiële klant, wordt door DORA bereikt via diens contract, diens informatieregister en diens meldingen.

Wat de wet vereist

DORA geldt voor de financiële entiteiten uit artikel 2 en via hen voor de ICT-dienstverleners van derden die zij inzetten.
Verordening (EU) 2022/2554, art. 2; van toepassing sinds 17 januari 2025 (art. 64)
Een financiële entiteit houdt een informatieregister bij van alle contractuele afspraken over het gebruik van ICT-diensten, op entiteits-, subgeconsolideerd en geconsolideerd niveau.
Verordening (EU) 2022/2554, art. 28(3)
Contracten voor ICT-diensten moeten een vaste set bepalingen bevatten, waaronder dienstenniveaus, bijstand zonder meerkosten bij een ICT-incident, audit- en toegangsrechten en exitstrategieën.
Verordening (EU) 2022/2554, art. 30
Ernstige ICT-gerelateerde incidenten moeten worden geclassificeerd en aan de bevoegde autoriteit gemeld binnen de termijnen uit de technische reguleringsnormen.
Verordening (EU) 2022/2554, art. 18 en art. 19
De aanwijzing als kritieke ICT-dienstverlener van derden gebeurt door de Europese toezichthoudende autoriteiten en brengt rechtstreeks toezicht mee; elke andere leverancier valt onder het contract van de financiële entiteit.
Verordening (EU) 2022/2554, art. 31
Bij een aangewezen kritieke dienstverlener kan de hoofdtoezichthouder dwangsommen opleggen van 1% van de gemiddelde dagelijkse wereldwijde omzet.
Verordening (EU) 2022/2554, art. 35(8)

Wat Audact daarin levert

Bij bestuurde gesprekken is in het product een bon zichtbaar: invoerhash, uitvoerhash, de schakel naar de vorige bon en de Merkle-inclusie, zodat een latere wijziging of herordening detecteerbaar is. De eerste drie reken u zonder sleutel na; de vierde, de insluiting in de Merkle-wortel, wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd.
Zichtbaar in het product · Merkle-wortels gepubliceerd
De mededeling uit artikel 50, in het gesprek uitgesproken en per interactie vastgelegd.
In gecontroleerde tests
Primaire toepassingshosting: Frankfurt. De volledige lijst subverwerkers en de doorgiftegrondslag staan in het Trust Center.
Werkt vandaag
Incidentgegevens met tijdstempel en de gesprekscontext waar ze bij horen, exporteerbaar naar het incidentverslag van uw klant.
In ontwikkeling

Wiens plicht

DORA is aan uw klant geschreven en bereikt u via diens contract.

Dat onderscheid bepaalt hoeveel van DORA uw probleem is. Het informatieregister, de incidentclassificatie en de meldtermijnen zijn plichten van de financiële entiteit. Wat artikel 30 doet, is een vaste lijst bepalingen het contract in duwen dat die entiteit met u sluit: dienstenniveaus, bijstand tijdens een ICT-incident, audit- en toegangsrechten, exitstrategieën en de plaatsen waar gegevens worden verwerkt.

Het praktische gevolg: aan een leverancier wordt zelden gevraagd of hij aan DORA voldoet. Aan een leverancier wordt gevraagd of zijn contract artikel 30 kan dragen, en of hij bewijs snel genoeg aanlevert zodat de entiteit artikel 19 haalt. Dat zijn beantwoordbare vragen, en het antwoord is beter als het verslag tijdens het gesprek ontstond in plaats van na binnenkomst van de vragenlijst te worden gereconstrueerd.

De kritieke aanwijzing

Kritieke ICT-dienstverlener is een status, geen omschrijving.

De term valt in elk DORA-gesprek en wordt vaak losjes gebruikt. Onder artikel 31 is het een formele aanwijzing door de Europese toezichthoudende autoriteiten, op criteria als systemisch belang en vervangbaarheid. Ze brengt een hoofdtoezichthouder mee en de handhavingsbevoegdheden uit artikel 35, en ze betreft een korte lijst zeer grote aanbieders.

Elke andere leverancier is een gewone ICT-dienstverlener van derden. Zijn verplichtingen zijn contractueel: wat artikel 30 de financiële entiteit voorschrijft voor de overeenkomst, en wat die entiteit van u terug nodig heeft om haar eigen rapportage rond te krijgen.

Let op

Informatie, geen juridisch advies.

Deze pagina geeft de regels weer zoals wij ze lezen, met de artikelnummers erbij zodat u ons kunt nakijken. Het is geen juridisch advies, en uw eigen positie hangt af van omstandigheden die deze pagina niet kent. Laat u adviseren door een jurist voordat u erop steunt.

Vragen

Geldt DORA voor mijn bureau?
Niet rechtstreeks, tenzij uw bureau zelf een financiële entiteit uit artikel 2 is. Ze bereikt u via het contract met een financiële klant: artikel 30 vereist een vaste set bepalingen in die overeenkomst, en de klant heeft bewijs van u nodig voor zijn eigen register en zijn eigen meldingen.
Wie bepaalt dat een dienstverlener onder DORA kritiek is?
De Europese toezichthoudende autoriteiten, op grond van artikel 31, op criteria als systemisch belang en vervangbaarheid. Een aangewezen dienstverlener krijgt een hoofdtoezichthouder en valt onder de toezichtsbevoegdheden van de artikelen 33 tot en met 35.
Vervangt DORA de AI-verordening voor een financiële klant?
Nee. Ze regelen verschillende dingen: DORA gaat over operationele weerbaarheid en ICT-risico bij derden, artikel 50 van de AI-verordening over iemand vertellen dat hij met een AI spreekt. Een financiële klant met AI-gesprekken valt onder allebei.

De vastlegging ontstaat terwijl het gesprek loopt

Wat een financiële entiteit van een leverancier nodig heeft, is een vastlegging van wat er werkelijk gebeurde. Audact maakt die tijdens het gesprek en toont haar in het product. De productie-export werkte bij de hertest op 26 augustus 2026 na de deploy, gemeten op browsergesprekken in plaats van over een telefoonlijn. Het maandelijkse bewijspakket zit niet in het aanbod; In validatie.

Bekijk een bon

Verwante pagina's