DORA voor advieskantoren: valt uw kantoor eronder?

Kennisbank · Leestijd 7 minuten

DORA, de Europese verordening voor digitale operationele weerbaarheid, is sinds 17 januari 2025 van toepassing op een afgebakende lijst financiële ondernemingen: onder meer banken, verzekeraars, beleggingsondernemingen en grotere verzekeringstussenpersonen. Zij moeten aantonen dat hun IT tegen een stootje kan en dat hun ICT-leveranciers onder controle staan. Voor een klein of middelgroot advieskantoor ligt het anders. Dit artikel zet op een rij wanneer DORA rechtstreeks geldt, welke eisen partners u wél kunnen stellen en wat u los daarvan zelf op orde brengt. Controleer de toepasselijkheid altijd voor uw eigen vergunning en organisatie, bij twijfel met uw compliance-adviseur.

De DORA-check in vijf vragen

Vraag	Gevolg
Bemiddelt uw kantoor alleen in hypothecair of consumptief krediet?	DORA geldt niet alleen vanwege die bemiddeling.
Bemiddelt u ook in verzekeringen?	Controleer de DORA-drempels hieronder.
250 fte of meer?	DORA kan rechtstreeks gelden.
Minder dan 250 fte, maar zowel meer dan 50 miljoen euro omzet als meer dan 43 miljoen euro balanstotaal?	DORA kan eveneens gelden.
Onderdeel van een financiële groep?	Controleer de groepsberekening.

De criteria volgen de uitleg van de AFM. De rest van dit artikel geeft de verdieping.

Valt uw kantoor onder DORA?

DORA noemt verzekeringstussenpersonen expliciet, maar zondert micro-, kleine en middelgrote verzekeringstussenpersonen uit. De AFM vertaalt dit als volgt: een verzekeringstussenpersoon valt binnen DORA bij 250 fte of meer, óf bij minder dan 250 fte wanneer zowel de omzet boven 50 miljoen euro als het balanstotaal boven 43 miljoen euro ligt. Bij een groep tellen de relevante financiële entiteiten binnen de groep mee in de beoordeling.

Bemiddelaars in hypothecair en consumptief krediet staan niet als zelfstandige categorie in de lijst met financiële entiteiten van DORA en vallen er niet alleen vanwege die bemiddeling onder. Heeft een kantoor daarnaast een vergunning voor bemiddeling in verzekeringen, dan moet voor die activiteit afzonderlijk worden beoordeeld of de DORA-uitzondering voor kleinere verzekeringstussenpersonen van toepassing is.

Valt uw kantoor op basis van bovenstaande criteria buiten DORA, dan hoeft u op grond van DORA geen informatieregister voor ICT-overeenkomsten bij te houden, geen DORA-ICT-risicokader in te richten en geen DORA-incidentmeldingen te doen.

Let op: buiten DORA vallen betekent niet dat er nooit een incidentmelding nodig is. Voor financieel dienstverleners kunnen op grond van de Wft afzonderlijke meldplichten gelden, bijvoorbeeld wanneer een incident de integere en beheerste bedrijfsvoering of continuïteit van het kantoor raakt.

Welke beveiligingseisen partners wél aan u kunnen stellen

Ook als uw kantoor zelf buiten DORA valt, kunt u merken dat grotere financiële partners hun informatiebeveiliging aanscherpen. Verzekeraars, banken en andere financiële ondernemingen die binnen de reikwijdte van DORA vallen, kunnen bijvoorbeeld strengere voorwaarden stellen aan toegang tot extranetten, gegevensuitwisseling of incidentmeldingen binnen de samenwerking. Dat maakt die eisen nog geen rechtstreekse DORA-verplichtingen voor uw kantoor; ze kunnen wel onderdeel worden van de afspraken die u met zo’n partner maakt.

Twee voorbeelden die kantoren nu al tegenkomen:

Strengere eisen aan toegang. Persoonlijke accounts, tweestapsverificatie en periodieke controle op wie nog toegang heeft tot een extranet.
Eisen aan uw IT-continuïteit. Sommige aanbieders leggen in samenwerkingsvoorwaarden vast dat u back-ups heeft en incidenten meldt die hun gegevens raken.

Een advieskantoor dat het extranet van een verzekeraar gebruikt, wordt daarmee geen ICT-dienstverlener van die verzekeraar. De DORA-regels voor derde aanbieders gaan over partijen die ICT-diensten leveren aan een financiële onderneming, zoals cloudproviders en softwareleveranciers.

Wat wél rechtstreeks voor u geldt

Twee kaders gelden voor elk advieskantoor, ongeacht de omvang:

De Wft stelt eisen aan een integere en beheerste bedrijfsvoering. Dat raakt ook uw ICT en uitbesteding. Besteedt u bijvoorbeeld hosting, cloudopslag of applicatiebeheer uit, dan blijft uw kantoor verantwoordelijk voor een beheerste inrichting en moet u de risico’s van die uitbesteding beheersen: vooraf beoordelen, de leverancier volgen en rekening houden met de continuïteit als de samenwerking eindigt.
De AVG vraagt om passende beveiliging van persoonsgegevens, afgestemd op het risico: toegangsbeheer, back-ups, waar passend versleuteling, en een datalekprocedure met een meldtermijn van 72 uur als melden verplicht is. De AVG-checklist voor de website van uw advieskantoor loopt dit per onderdeel na.

De Wft, AVG en DORA raken deels dezelfde thema’s: beveiliging, continuïteit, leveranciers en incidenten. Maar wie buiten DORA valt, hoeft de specifieke DORA-verplichtingen niet alsnog via de achterdeur uit te voeren.

Zes praktische IT-afspraken die ieder advieskantoor helpen

Dit zijn praktische aanbevelingen van AS Support, geen wettelijke DORA-eisen voor kleine kantoren. Ze sluiten aan op wat de Wft en de AVG van een beheerste bedrijfsvoering en passende beveiliging verwachten.

1. Een overzicht van uw IT-leveranciers.

Website, hosting, e-mail, adviessoftware, CRM, nieuwsbriefsysteem, documentenopslag. Per leverancier: welke gegevens ziet deze partij, waar staan de servers, en wie is uw contactpersoon bij een storing.

2. Contracten die kloppen.

Een verwerkersovereenkomst met elke leverancier die persoonsgegevens namens u verwerkt. Afspraken over beschikbaarheid, beveiliging en wat er gebeurt als u overstapt: krijgt u uw gegevens mee, en in welk formaat?

3. Back-ups die getest zijn.

Een back-up die nooit is teruggezet, is een aanname. Test periodiek of een back-up daadwerkelijk kan worden teruggezet. Jaarlijks is voor veel kleinere kantoren een praktische ondergrens, afhankelijk van de systemen en risico’s. Leg het resultaat vast.

4. Toegang op naam.

Geen gedeelde accounts. Maak tweestapsverificatie de standaard voor systemen met klantgegevens. Bij vertrek van een medewerker dezelfde dag de toegang intrekken.

5. Een incidentprocedure van één pagina.

Wie belt de leverancier, wie informeert klanten, wie beoordeelt of een melding bij de Autoriteit Persoonsgegevens of de AFM nodig is, en waar staat het logboek. Oefen het één keer per jaar, ook als het een tafeloefening van een uur is.

6. Een uitwijkplan voor de belangrijkste processen.

Wat doet u als de adviessoftware een dag plat ligt? Als de website onbereikbaar is? Als e-mail uitvalt? Drie korte scenario’s met de eerste stappen volstaan.

Waar uw website in dit plaatje staat

Uw website kan buiten de adviessoftware een belangrijke verzamelplaats voor klantgegevens zijn: denk aan formulieren, berekeningen en geüploade documenten. Wat u uw websiteleverancier voorlegt:

Vraag	Antwoord waar u naar zoekt
Waar staan de servers en welke subverwerkers zijn er?	Een vastgelegde locatie, bij voorkeur in Nederland of elders in de EER, met een lijst van subverwerkers. Bij verwerking buiten de EER: op welke doorgiftegrondslag.
Hoe zijn formulier- en berekeningsgegevens opgeslagen?	Passend beveiligd, bij gevoelige gegevens versleuteld, in een beveiligde omgeving en niet in een mailbox.
Wie heeft toegang tot die gegevens?	Toegang beperkt tot geautoriseerde personen, met persoonlijke accounts, tweestapsverificatie waar passend en logging.
Hoe vaak is er een back-up en hoe snel is herstel?	Een back-upfrequentie en hersteltijd die passen bij hoeveel gegevensverlies en uitval uw kantoor kan accepteren, periodiek getest.
Wat gebeurt er bij een datalek?	De leverancier meldt binnen een afgesproken termijn en levert de informatie voor uw beoordeling en eventuele melding.
Hoe verlaat ik de leverancier?	Met een export van al uw gegevens, in een leesbaar formaat.

Zo is de hosting van AS Support ingericht, met beveiligd bestanden delen voor documenten.

Vaak gesteld

Moet ik een DORA-register van IT-leveranciers bijhouden?

Alleen als uw kantoor binnen DORA valt; het informatieregister is een verplichting voor financiële entiteiten onder de verordening. Een eenvoudig overzicht van uw leveranciers is voor elk kantoor verstandig en helpt bij de AVG, bij de Wft-eisen aan uitbesteding en bij de eisen van uw aanbieders.

Een verzekeraar stuurt mij een lijst met IT-eisen. Moet ik daaraan voldoen?

Zijn de eisen geldig onderdeel van uw samenwerkingsovereenkomst, dan kunnen ze contractueel voor uw kantoor gelden. Dat betekent niet automatisch dat DORA zelf rechtstreeks op uw kantoor van toepassing is. Laat bij omvangrijke of onduidelijke eisen vaststellen welke verplichtingen contractueel zijn en welke uit wet- en regelgeving voortvloeien.

Valt de Cyberbeveiligingswet (NIS2) ook op mijn kantoor?

Voor een regulier hypotheek- of assurantiekantoor doorgaans niet. De Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is, geldt voor specifieke sectoren en kent daarnaast omvangscriteria. Een financieel advieskantoor valt niet alleen vanwege zijn AFM-vergunning binnen deze wet. Controleer de scope wel opnieuw als uw onderneming ook activiteiten verricht in een sector die onder de Cyberbeveiligingswet valt.

Mijn kantoor groeit. Wanneer geldt DORA dan?

Voor verzekeringstussenpersonen geldt DORA bij 250 fte of meer. Een onderneming met minder dan 250 fte kan eveneens binnen DORA vallen wanneer zowel de relevante omzet- als balanstotaaldrempel wordt overschreden. Bij groepsstructuren kunnen bovendien gegevens van andere financiële entiteiten in de groep meetellen. Betrek tijdig uw compliance-adviseur; de eisen gaan verder dan dit artikel.

Bronnen en verder lezen

Geschreven door: Mark Klabbers, AS Support. Laatst inhoudelijk gecontroleerd: 5 september 2026.

AS Support host de websites van advieskantoren in Nederland, met versleutelde opslag van formulieren en berekeningen, een verwerkersovereenkomst en dagelijkse back-ups naar een tweede datacenter. Bekijk de hostingpagina of plan een demo.

Makelaar modules