NIS2 en DORA zijn twee verschillende Europese regelgevingen op het gebied van cybersecurity, maar ze richten zich op andere doelgroepen en hebben een andere reikwijdte. NIS2 geldt breed voor essentiële en belangrijke sectoren in de EU, terwijl DORA specifiek van toepassing is op de financiële sector. Voor organisaties in de financiële sector kunnen beide regelgevingen tegelijk van toepassing zijn. Dit artikel beantwoordt de meest gestelde vragen over het verschil tussen NIS2 en DORA, zodat je precies weet wat er voor jouw organisatie geldt.
Voor welke organisaties geldt NIS2 en voor welke DORA?
NIS2 geldt voor organisaties in een breed scala aan essentiële en belangrijke sectoren, zoals energie, transport, drinkwater, gezondheidszorg, digitale infrastructuur en overheid. DORA, de Digital Operational Resilience Act, geldt uitsluitend voor de financiële sector: banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en hun kritieke ICT-dienstverleners.
In Nederland vallen naar schatting ruim 10.000 organisaties rechtstreeks onder NIS2. Dat zijn niet alleen grote bedrijven, maar ook middelgrote organisaties die actief zijn in sectoren die als essentieel of belangrijk worden aangemerkt. Denk aan ziekenhuizen, drinkwaterbedrijven, aanbieders van digitale diensten en overheidsinstanties zoals gemeenten, provincies en waterschappen. Gemeenten vallen automatisch onder de wet, net als ministeries en waterschappen.
DORA richt zich op een specifiekere groep. De verordening is op 17 januari 2025 volledig van toepassing geworden en geldt voor alle financiële entiteiten die onder Europees financieel toezicht staan. Een belangrijk onderscheid met NIS2 is dat DORA een EU-verordening is en dus rechtstreeks werkt in alle lidstaten, zonder nationale omzetting. NIS2 is een richtlijn die via nationale wetgeving wordt geïmplementeerd. In Nederland gebeurt dat via de Cyberbeveiligingswet, waarvan de inwerkingtreding wordt verwacht in het tweede kwartaal van 2026.
Wat zijn de belangrijkste inhoudelijke verschillen tussen NIS2 en DORA?
Het grootste inhoudelijke verschil tussen NIS2 en DORA zit in de diepgang en focus. NIS2 legt brede cybersecurityverplichtingen op aan een groot aantal sectoren, terwijl DORA specifiek gericht is op de operationele digitale weerbaarheid van financiële instellingen en daarin op bepaalde punten veel verder gaat dan NIS2.
Wat regelt NIS2?
NIS2 verplicht organisaties om cybersecurityrisico’s structureel te beheersen. De kernverplichtingen omvatten:
- Implementeren van technische en organisatorische beveiligingsmaatregelen
- Beleid voor toegangsbeheer, cryptografie en systeembeveiliging
- Supply chain-beveiliging: inzicht in de cybersecuritymaatregelen van leveranciers
- Incidentmelding bij de bevoegde autoriteiten
- Bestuurlijke verantwoordelijkheid: het management is eindverantwoordelijk en moet aantoonbaar voldoende kennis hebben van cybersecurity
Bij niet-naleving kunnen essentiële entiteiten boetes krijgen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet.
Wat regelt DORA?
DORA gaat dieper in op specifieke thema’s die voor de financiële sector extra relevant zijn. De verordening bevat gedetailleerde eisen op het gebied van:
- ICT-risicobeheer: een uitgebreid raamwerk voor het identificeren, beschermen, detecteren en herstellen van ICT-risico’s
- Testen van digitale weerbaarheid: inclusief verplichte dreigingsgestuurde penetratietests (TLPT) voor grote instellingen
- Beheer van ICT-derde partijen: strikte contractuele eisen aan kritieke ICT-leveranciers, met directe toezichtsbevoegdheden van Europese toezichthouders over die leveranciers
- Informatie-uitwisseling over cyberdreigingen binnen de financiële sector
DORA is daarmee veel gedetailleerder en sectorspecifieker dan NIS2, met name op het gebied van leveranciersmanagement en het testen van weerbaarheid.
Overlappen NIS2 en DORA elkaar, of vullen ze elkaar aan?
NIS2 en DORA overlappen elkaar gedeeltelijk, maar vullen elkaar ook aan. Voor financiële instellingen die onder beide regelgevingen vallen, geldt dat DORA op de overlappende gebieden voorrang heeft. De Europese wetgever heeft dit expliciet bepaald: DORA wordt beschouwd als een sectorspecifieke aanvulling op NIS2 voor de financiële sector.
In de praktijk betekent dit dat een bank die voldoet aan DORA op het gebied van ICT-risicobeheer en incidentmelding, daarmee ook grotendeels voldoet aan de overeenkomstige NIS2-verplichtingen. De DORA-eisen zijn op die punten strenger en gedetailleerder, waardoor naleving van DORA als voldoende wordt beschouwd voor de overlappende onderdelen van NIS2.
Toch zijn er ook gebieden waarop NIS2 aanvullende verplichtingen oplegt die DORA niet dekt. Denk aan de bredere zorgplicht voor de beveiliging van netwerk- en informatiesystemen en de specifieke eisen rondom bestuurlijke verantwoordelijkheid zoals die in de Nederlandse Cyberbeveiligingswet worden uitgewerkt. Financiële instellingen moeten dus beide regelgevingen goed kennen en begrijpen waar ze overlappen en waar ze van elkaar afwijken.
Wat zijn de meldplichten onder NIS2 vergeleken met DORA?
Zowel NIS2 als DORA bevatten strikte meldplichten bij ernstige incidenten, maar de termijnen en structuur verschillen. Onder NIS2 moeten organisaties een significant incident binnen 24 uur melden bij de bevoegde autoriteit, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen een maand. DORA hanteert vergelijkbare termijnen, maar kent een gedetailleerdere classificatie van wat als een ernstig incident geldt.
Onder NIS2 is de meldstructuur als volgt:
- Vroegtijdige waarschuwing: binnen 24 uur na ontdekking van een significant incident
- Vervolgmelding: aanvullende informatie binnen 72 uur
- Eindverslag: gedetailleerde beschrijving van het incident, de ernst en de gevolgen, uiterlijk één maand na de eerste melding
DORA kent een vergelijkbare fasering, maar voegt daar een initiële kennisgeving aan toe die al binnen vier uur na classificatie van het incident moet plaatsvinden, gevolgd door een tussentijdse en een eindrapportage. Bovendien moeten financiële instellingen onder DORA ook hun klanten informeren als het incident hen raakt. Dit maakt de DORA-meldplicht operationeel zwaarder dan die van NIS2.
Voor de publieke sector in Nederland zijn de verwachte meldpunten het NCSC (rijksoverheid), de Informatiebeveiligingsdienst voor gemeenten en CERT-Watermanagement voor waterschappen. Voor de financiële sector zijn de relevante toezichthouders de Europese Bankautoriteit, de Europese Autoriteit voor verzekeringen en bedrijfspensioenen en de Europese Autoriteit voor effecten en markten.
Hoe bereid je je voor op zowel NIS2 als DORA tegelijk?
Als jouw organisatie onder zowel NIS2 als DORA valt, is de slimste aanpak om te beginnen met een geïntegreerde gap-analyse die beide regelgevingen tegelijk in kaart brengt. Zo voorkom je dubbel werk en kun je maatregelen slim combineren. Begin met de DORA-vereisten als basis, omdat die op de overlappende gebieden strenger zijn, en vul daarna aan met de specifieke NIS2-verplichtingen die DORA niet dekt.
Praktische stappen voor een gecombineerde voorbereiding:
- Bepaal je scope: Identificeer onder welke categorie je valt (essentieel of belangrijk onder NIS2, en welk type financiële entiteit onder DORA)
- Voer een gap-analyse uit: Breng in kaart welke maatregelen al zijn geïmplementeerd en waar de lacunes zitten ten opzichte van beide regelgevingen
- Stel een geïntegreerd beleidskader op: Ontwikkel beleid dat beide regelgevingen dekt, zodat je niet twee aparte trajecten hoeft te doorlopen
- Breng de toeleveringsketen in kaart: Zowel NIS2 als DORA stellen eisen aan de beveiliging van leveranciers; een gecombineerde aanpak bespaart tijd
- Train je bestuurders: Beide regelgevingen leggen verantwoordelijkheid bij het management; zorg dat zij de risico’s kennen en kunnen beoordelen
- Test je weerbaarheid: DORA verplicht dreigingsgestuurde penetratietests voor grote instellingen; een professionele pentest helpt ook NIS2-compliance aantonen
- Richt incidentmeldprocedures in: Zorg dat je processen de termijnen van beide regelgevingen kunnen halen
Voor organisaties die nog niet weten of en hoe ze onder NIS2 vallen, biedt de NIS2 Zelfevaluatietool van de RVO een goed startpunt. Financiële instellingen doen er verstandig aan ook de richtsnoeren van de Europese toezichthouders te raadplegen voor de DORA-implementatie. Wie nu al actief bezig is met cybersecurity onderzoek en beleidsvorming, staat straks veel sterker wanneer beide regelgevingen volledig van kracht zijn.
Hoe Q-Cyber helpt met NIS2 en DORA compliance
Wij begrijpen dat het navigeren door twee overlappende Europese regelgevingen tegelijk complex en tijdrovend is. Q-Cyber helpt organisaties om dit overzichtelijk en pragmatisch aan te pakken, zonder onnodige bureaucratie. Onze aanpak is concreet:
- Gap-analyse NIS2 en DORA: We brengen in kaart waar jouw organisatie nu staat en wat er nog moet gebeuren om aan beide regelgevingen te voldoen
- Beleidsschrijving op maat: We schrijven beleid dat aansluit op jouw risicoprofiel en voldoet aan de eisen van NIS2 en DORA
- Bestuurderstrainingen: We verzorgen trainingen die voldoen aan de trainingsplicht onder NIS2 en bestuurders in staat stellen weloverwogen beslissingen te nemen
- Technisch testen: Via red teaming en penetratietests toetsen we of jouw technische maatregelen in de praktijk standhouden
- Virtuele CISO: Via Continuous-Q bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO hoeft aan te nemen
We werken volledig onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten wat er voor jouw organisatie nodig is? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Hoe rapporteer je over cybersecurity aan het management?
- Wat is een APT (Advanced Persistent Threat)?
- Wat is de rol van het management bij NIS2-naleving?
- Hoe werkt incidentmelding onder de NIS2-richtlijn?
- Wat zijn de rechten van betrokkenen onder de AVG?
- Hoe automatiseer je pentesten?
- Hoe integreer je pentesten in DevSecOps?
- Wat is threat modeling in pentesten?
- Welke voorbereidingen zijn nodig voor pentesten?
- Wat zijn de signalen dat mijn website gecompromitteerd is?