NIS2 financiële sector: wat DORA vervangt en wat u als MSP nog verschuldigd bent

De CFO van een Nederlandse betaalinstelling stuurt u de NIS2-vragenlijst die haar raad van commissarissen net kreeg. Uw MSP beheert hun werkplekken en hun ticketsysteem. Ze vraagt: "Moeten we dit invullen, of dekt DORA alles?"

Het eerlijke antwoord: dat hangt af van wat voor financiële instelling het is. In de NIS2 financiële sector vervangt DORA het grootste deel van de NIS2-verplichtingen, maar de bank verdwijnt niet uit NIS2. En u, als leverancier, belandt in een heel ander regelboek.

NIS2 financiële sector: DORA is lex specialis, geen vrijstelling

NIS2 (Richtlijn (EU) 2022/2555) noemt kredietinstellingen in bijlage I, sector 3 (bankwezen), en handelsplatformen en centrale tegenpartijen in sector 4 (infrastructuur voor de financiële markt). Die klanten vallen dus op sectorniveau binnen de scope.

Artikel 4 NIS2 sorteert vervolgens. Verplicht een sectorspecifieke Unierechtshandeling cyberbeveiligingsmaatregelen of de melding van significante incidenten, en is dat ten minste gelijkwaardig aan NIS2, dan zijn de betreffende NIS2-bepalingen niet van toepassing, inclusief toezicht en handhaving in hoofdstuk VII.

Overweging 28 van NIS2 bepaalt dat Verordening (EU) 2022/2554 (DORA) als sectorspecifieke handeling moet worden beschouwd. Overweging 16 van DORA noemt de verordening lex specialis ten opzichte van NIS2. En artikel 1, lid 2 DORA bevestigt dat DORA voor de toepassing van artikel 4 NIS2 de sectorspecifieke handeling is.

Lees dat zorgvuldig. DORA verdringt bepaalde NIS2-bepalingen. Het maakt de bank niet tot een niet-NIS2-entiteit.

Wat DORA vervangt en wie toezicht houdt

NIS2-verplichting	Wat geldt voor een DORA-instelling
Artikel 21 beheersmaatregelen	DORA-kader voor ICT-risicobeheer
Artikel 21, lid 2, onder d (toeleveringsketen)	DORA-regels voor ICT-derdenrisico (hoofdstuk V, artikelen 28 tot 44)
Artikel 23 incidentmelding	DORA-melding van ernstige ICT-gerelateerde incidenten
Hoofdstuk VII toezicht en boetes	Financieel toezichthouder en DORA-sancties

DORA geldt rechtstreeks sinds 17 januari 2025. In Nederland is De Nederlandsche Bank (DNB) de plek waar DORA-toezicht en -meldingen landen. Ernstige ICT-gerelateerde incidenten melden instellingen via Mijn DNB.

Niet elke financiële klant valt onder NIS2

Dit is het punt waar de meeste vragenlijsten de mist ingaan. NIS2 noemt alleen kredietinstellingen en infrastructuur voor de financiële markt. Artikel 2, lid 1 DORA is veel breder: ook betaalinstellingen, beleggingsondernemingen, centrale effectenbewaarinstellingen, transactieregisters en verzekeraars en herverzekeraars.

Een verzekeraar of betaalinstelling is dus alleen DORA-plichtig. Die klant een NIS2-gapanalyse sturen kost hen en u tijd. Een bank, handelsplatform of centrale tegenpartij heeft beide beelden nodig, waarbij DORA de inhoud draagt.

Twee meldklokken, één MSP in het midden

NIS2 vraagt een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. DORA hanteert voor ernstige ICT-gerelateerde incidenten een andere klok. Volgens Gedelegeerde Verordening (EU) 2025/301 is de eerste melding verschuldigd binnen vier uur na classificatie als ernstig, en in elk geval binnen 24 uur na detectie. Een tussentijds rapport volgt binnen 72 uur na de eerste melding, het eindrapport binnen een maand na het laatste tussentijdse rapport.

Uw bankklant meldt onder DORA. Uw niet-financiële klanten melden onder de Cyberbeveiligingswet (Cbw). Draait u een gedeeld SOC of een gedeelde ticketqueue, dan start dezelfde gebeurtenis op één dag twee verschillende klokken. Uw runbook heeft per klant een vlag nodig: welk regime geldt. Zie NIS2 Incident Reporting: The 24-Hour, 72-Hour and 1-Month Deadlines voor de NIS2-kant.

Waar uw MSP wordt meegetrokken

Dit is de commerciële realiteit. Een DORA-plichtige bank moet ICT-derdenrisico beheersen onder hoofdstuk V van DORA. Dat betekent een informatieregister van alle contractuele afspraken over ICT-diensten, en de contractuele minimumbepalingen van artikel 30 in uw overeenkomst: dienstbeschrijving, locaties, bijstand bij incidenten, audit- en toegangsrechten en exitstrategie.

DNB vraagt dat informatieregister ook daadwerkelijk op: de peildatum was 31 december 2025 en de uitvraag staat sinds 2 maart 2026 open in Mijn DNB. Uw bankklant heeft uw gegevens dus al nodig gehad: diensten, onderaannemers, datalocaties.

Op 18 november 2025 publiceerden de Europese toezichthouders (ESA's) de eerste lijst van kritieke ICT-derdenaanbieders onder DORA. De meeste MSP's staan daar niet op. Uw bankklanten leggen dezelfde verwachtingen toch door aan u.

Daarnaast heeft u eigen NIS2-plichten. ICT-dienstenbeheer voor bedrijven valt onder bijlage I, dus een MSP is doorgaans zelf een essentiële of belangrijke entiteit. Twee regimes, één bedrijf. De praktische overlap staat in NIS2 vs. DORA en in NIS2 Supply Chain Security.

Nederlands recht bepaalt de randen

DORA is een verordening, NIS2 een richtlijn. De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. De restpunten, zoals registratie en melding bij het NCSC, hangen af van de entiteit. De DNB-pagina over DORA verwijst financiële instellingen die onder NIS2 vallen nog altijd naar de registratie- en meldplicht van het NCSC. Controleer dus per klant, per rechtspersoon, welke plichten werkelijk gelden.

Elders in Europa liggen de randen anders. In Duitsland schakelt § 28 lid 6 BSIG een reeks NIS2-bepalingen uit voor DORA-instellingen. Frankrijk en Spanje hebben NIS2 niet omgezet en werden in 2026 doorverwezen naar het Hof van Justitie.

Heeft een bankconcern entiteiten in meerdere landen, dan helpt onze uitleg over welke toezichthouder uw klant controleert.

Wat u deze week doet

1. Lijst alle financiële klanten en markeer ze: kredietinstelling of marktinfrastructuur (NIS2 en DORA) of andere financiële instelling (alleen DORA).
2. Controleer elk contract op de bepalingen van DORA-artikel 30. Ontbrekende auditrechten en exitvoorwaarden zijn de klassieke hiaten.
3. Voeg een regimevlag toe aan uw incident-runbook: DORA-klok van vier uur of NIS2-klok van 24 uur.
4. Controleer uw eigen Cbw-registratie als aanbieder van ICT-dienstenbeheer.
5. Houd de gegevens klaar die de bank voor zijn informatieregister nodig heeft.

Begin bij uw eigen huis. Start een gratis NIS2 Quick Scan voor een readiness assessment van uw eigen compliance posture en beantwoord de vragenlijst van de bank met bewijs in plaats van beloftes.

DORA vervangt het regelboek voor de bank. Het vervangt de vragen niet die uw klanten aan u stellen.