DORA en NIS2 in de kern uitgelegd
NIS2 is een richtlijn die lidstaten in eigen wetgeving omzetten. In Nederland is dat de Cyberbeveiligingswet, die vanaf 2026 in werking treedt. NIS2 trekt een cybersecurity-baseline over achttien kritieke sectoren, van energie tot gezondheidszorg tot digitale infrastructuur, zoals beschreven in deze vergelijking van DORA en NIS2 door Invicti. Het doel is dat essentiële en belangrijke organisaties hun digitale weerbaarheid op orde hebben, incidenten snel melden, en risico’s structureel beheren. De toezichthouder is nationaal, in Nederland de toezichthouders die bij de Cyberbeveiligingswet worden aangewezen.
DORA is een verordening en dus in elke EU-lidstaat identiek van toepassing. DORA richt zich uitsluitend op de financiële sector. De verordening verplicht banken, verzekeraars, beleggingsondernemingen, pensioenfondsen, betaaldienstverleners en ongeveer twintig andere typen financiële entiteiten om hun ICT-risico’s te beheersen, incidenten te classificeren, derde partijen te monitoren en periodiek resilience-testen uit te voeren. DORA geldt sinds 17 januari 2025 op basis van Verordening (EU) 2022/2554, zo bevestigt een vergelijking van DORA en NIS2 door Mindspire Consulting.
Het verschil is dus niet alleen inhoudelijk maar ook juridisch. NIS2 wordt in Nederland vertaald naar nationale regels, met ruimte voor interpretatie per sector. DORA ligt vast, zonder ruimte voor afwijking. Voor financiële entiteiten zelf is DORA leidend (lex specialis), volgens deze uitleg van Copla over DORA versus NIS2. Wie aan die partijen levert, krijgt de DORA-eisen via contracten opgelegd, bovenop wat NIS2 vraagt.
Het moment dat DORA voor jou gaat gelden
De eerste vraag is simpel: lever je ICT-diensten aan een financiële entiteit? Denk aan SaaS, hosting, cloud-werkplekken, koppelingen voor betalingsverkeer, of beheer van een specifieke applicatie. Als jouw klant onder DORA valt, dan ben jij als ICT-derde-dienstverlener in beeld. DORA stelt eisen aan die derde partijen, via de contracten die de financiële entiteit met jou sluit. Je moet aantoonbaar kunnen laten zien dat jouw dienstverlening de operationele weerbaarheid van je klant niet ondermijnt.
Voor micro- en kleine ondernemingen gelden lichtere DORA-eisen, maar de keten werkt door. Een bank die jouw diensten afneemt, moet kunnen aantonen dat haar leveranciersportefeuille op orde is. De wijze waarop verschilt per situatie. Een mkb dat een niche-SaaS levert voor facturatie aan een paar verzekeraars heeft een andere exposure dan een hostingpartij die primaire systemen van een bank ondersteunt. De praktijk is dat de grootste klanten de strengste vragen stellen, en die eisen werken door in hun algemene inkoopvoorwaarden.
Het tweede scenario is dat je zelf onder NIS2 valt omdat je een digitale dienstverlener bent of in een van de andere sectoren opereert die de Cyberbeveiligingswet raakt. In dat geval gelden NIS2-eisen, en DORA komt erbij zodra je ook maar één financiële klant bedient. Je hebt dan twee kaders om aan te tonen, met verschillende rapportageketens en verschillende toezichthouders.
De drie verschillen die er operationeel toe doen
Het eerste verschil zit in de rapportageketen bij incidenten. Onder DORA heb je als financiële entiteit 24 uur de tijd om een eerste melding te doen, en 72 uur voor een tussentijds rapport. Onder NIS2 loopt de klok vanaf het moment dat de organisatie zich bewust wordt van een significant incident, wat in de praktijk korter voelt. Voor jou als leverancier betekent dit dat je incident-procedures moet inrichten die binnen die smalste marges een eerste classificatie en feitenbundel opleveren die je klant kan doorzetten.
Het tweede verschil zit in third-party management. NIS2 zegt dat de entiteit verantwoordelijk is voor leverancierssecurity, met ruimte voor eigen invulling. DORA gaat een stap verder: er is directe EU-toezicht op kritieke ICT-leveranciers. Voor jou betekent dit dat contracten met financiële klanten vaak verder gaan dan een NIS2-statement. Denk aan verplichte audits, rapportagelijnen, en het recht van de klant om jouw beveiligingsmaatregelen ter plaatse te inspecteren.
Het derde verschil is de testfrequentie. DORA verplicht threat-led securitytesten voor kritieke functies, terwijl NIS2 minder specifiek is over testvormen. Als jouw dienst een kritieke functie van een financiële entiteit ondersteunt, kan een jaarlijkse externe securitytest via een derde partij onderdeel van het contract worden. Dat is iets anders dan de standaard vulnerability scan die je zelf draait.
De gevolgen voor jouw security-inrichting
De bodem is voor beide kaders hetzelfde: je moet weten wat er in je omgeving draait, welke kwetsbaarheden er zijn, en hoe je die aanpakt. NetCaptain geeft je daar als mkb een concreet startpunt voor, met dagelijkse scans van je externe assets, een dashboard dat direct inzicht geeft, en alerts via e-mail, Slack of Teams zodra er iets verandert. In plaats van een losse scan-tool kijk je naar je hele netwerk vanaf één plek, zodat je zowel voor NIS2 als voor DORA dezelfde informatiebasis hebt.
De vervolgstap is dat je die informatie kunt aantonen. Een ISO 27001-aanpak of een ISAE 3402-verklaring is voor een bank of verzekeraar vaak het bewijs dat je als leverancier in control bent. Die rapportages komen niet uit de lucht vallen. Ze vragen een proces waarin je kwetsbaarheden niet alleen detecteert maar ook opvolgt, documenteert, en in een audit-trail vastlegt. Een platform dat je scanresultaten en opvolging logt, scheelt daar weken werk per audit.
Voor een aantal mkb-bedrijven is de praktische route om met DORA en NIS2 om te gaan: begin klein. Zorg dat je externe aanvalsoppervlak in kaart is. Werk de kritieke kwetsbaarheden weg. Leg vast wie wat heeft gedaan, en wanneer. Dat geeft je al een basis om met klanten in gesprek te gaan over welke extra’s nodig zijn. Een externe handmatige securitytest is dan een logische aanvulling voor de auditcyclus. Voor dat type werk kun je terecht bij CyberAnt, dat pentesten levert voor organisaties die verder willen gaan dan geautomatiseerde scanning.
De manier waarop je je inricht, hangt af van de vraag hoe zwaar je klanten wegen. Een mkb dat voor een paar financiële partijen werkt, kan volstaan met een degelijke vulnerability management-aanpak plus periodieke externe securitytesten. Een mkb dat kernsystemen van een bank ondersteunt, zit in een zwaarder regime met directe toezichtverplichtingen. Het is geen kwestie van kiezen tussen DORA en NIS2; het is de optelsom die telt.
Veelgestelde vragen
Ben ik als mkb verplicht om aan DORA te voldoen?
Niet direct. DORA verplicht financiële entiteiten, geen derde partijen. Maar als jij ICT-diensten levert aan een partij die onder DORA valt, dan vloeien de DORA-eisen via het contract naar jou toe. In de praktijk betekent dit dat je moet kunnen aantonen dat je beveiliging op orde is, soms via een audit of rapportage.
Geldt DORA of NIS2 voor mijn organisatie?
Dat hangt af van twee dingen: in welke sector je zit en of je klanten in de financiële sector bedient. NIS2 raakt organisaties in achttien kritieke sectoren, waaronder digitale dienstverleners. DORA raakt financiële entiteiten en hun ICT-leveranciers. Als je in beide werelden zit, gelden beide kaders. Voor financiële entiteiten zelf is DORA leidend; op punten die DORA niet dekt, vult NIS2 aan.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn. De Cyberbeveiligingswet is de Nederlandse uitwerking daarvan, die naar verwachting in 2026 in werking treedt. Wat in NIS2 staat, vind je dus terug in de Cyberbeveiligingswet, soms met aanvullingen die specifiek voor Nederland gelden. Wie in Nederland onder NIS2 valt, valt automatisch onder de Cyberbeveiligingswet.
Wat kost het om DORA-compliant te worden?
Dat verschilt sterk per situatie. Voor een mkb dat al een degelijke vulnerability management-aanpak heeft, zijn de extra kosten vooral rapportagetijd en eventueel een periodieke externe securitytest. Voor een mkb dat vanaf nul begint, loopt het al snel op door de inrichting van processen, logging, en audit-trail. De cyberverzekeraars en toezichthouders kijken niet naar een vast bedrag, maar naar de vraag of je in control bent.
Moet ik een aparte ISO 27001-certificering halen voor DORA?
Niet verplicht, maar in de praktijk vragen financiële klanten er vaak om. ISO 27001 en DORA raken elkaar op veel punten, maar zijn niet hetzelfde. Een ISO 27001-certificering is voor een bank of verzekeraar het gemakkelijkste bewijs dat jij als leverancier je beveiliging structureel hebt ingericht.
Direct aan de slag
Wacht niet op de vraag van een klant of auditor. Begin met het in kaart brengen van wat je nu hebt: welke externe systemen, welke kwetsbaarheden, welke processen. Een gratis CyberScan geeft je binnen vijf minuten een eerste beeld van waar je staat. Van daaruit kun je stap voor stap toewerken naar een inrichting die zowel NIS2 als DORA-incidentvragen aankan.
Voor de diepere implementatie, zoals een NIS2-traject of de aansluiting op wat je klant vraagt, helpt een NetCaptain-aanpak op de NIS2-strategie je op weg. En wie meer wil weten over hoe de Cyberbeveiligingswet werkt en wat er in de Nederlandse context bij komt kijken, vindt hier een uitgebreide uitleg.
Plan een vrijblijvend kennismakingsgesprek als je wilt sparren over waar jouw organisatie staat en welke stappen je het beste kunt zetten.
