De negentien soorten ICT-diensten van DORA, S01 tot S19: welke een SaaS-product is, wat het informatieregister erover vastlegt, en waarom één contract meerdere rijen kan zijn

Als een financiële klant heeft gevraagd welk "soort ICT-dienst" u levert en een lijst van negentien heeft voorgelegd, dan is die lijst bijlage III van Uitvoeringsverordening (EU) 2024/2956 van de Commissie van 29 november 2024, de handeling die de templates vaststelt van het informatieregister dat elke financiële entiteit bijhoudt op grond van artikel 28, lid 3, van Verordening (EU) 2022/2554, DORA. De code is geen classificatie van u; het is een kolom in het register van uw klant, ingediend bij zijn bevoegde autoriteit, en hij moet in elk register waarin u voorkomt dezelfde zijn. Dit artikel leest de taxonomie uit de uitvoeringsverordening op CELLAR op 12 september 2026, zegt welke code de producten van een softwarebedrijf gewoonlijk krijgen, en somt op wat de klant naast de code vastlegt. Het is geen juridisch advies.

Waarom er überhaupt een taxonomie is

DORA is van toepassing sinds 17 januari 2025 en definieert ICT-diensten in artikel 3, punt 21, als digitale en gegevensdiensten die via ICT-systemen doorlopend aan een of meer interne of externe gebruikers worden verleend, hardware als dienst inbegrepen, traditionele analoge telefoondiensten uitgezonderd. Die definitie is ruim genoeg voor een salaris-SaaS, een beheerde firewall, een marktdatafeed en de uren van een consultant, dus het register heeft een manier nodig om te zeggen welke daarvan een contract is. Bijlage III van de uitvoeringsverordening is die manier: negentien soorten, elk met een identificatiecode van S01 tot S19 en een beschrijving van één regel, en de instructie dat in de templates alleen de identificatiecode wordt gerapporteerd. Template B_02.02, de rij per contractuele overeenkomst en dienst, draagt hem in kolom B_02.02.0060, "Soort ICT-diensten", een gesloten reeks keuzemogelijkheden, verplicht.

Het register wordt niet één keer ingediend. Artikel 28, lid 3, laat de entiteit het bijhouden op entiteitsniveau en op gesubconsolideerd en geconsolideerd niveau, ten minste jaarlijks aan haar bevoegde autoriteit rapporteren over de nieuwe overeenkomsten, de categorieën aanbieders, de soorten contract en de verleende diensten en functies, en het volledige register op verzoek overleggen. Artikel 31, lid 10, laat de bevoegde autoriteiten die jaarlijkse rapporten vervolgens geaggregeerd doorsturen aan het Oversight Forum, dat daaruit de afhankelijkheid van financiële entiteiten van derde ICT-aanbieders beoordeelt; de aanwijzing van een aanbieder als kritiek voor de financiële sector op grond van artikel 31, lid 1, berust op de criteria van artikel 31, lid 2, waarvan het eerste de systeemimpact van een uitval is, gemeten aan het aantal bediende financiële entiteiten en de waarde van hun activa. De code van een aanbieder, herhaald in de registers van zijn klanten, is hoe hij wordt geteld.

De negentien soorten, in de woorden van de verordening

De tabel is bijlage III zoals de uitvoeringsverordening die in deze taal publiceert, nummering en beschrijvingen inbegrepen; niets erin is van StandardOS.

Welke een softwarebedrijf is

De uitvoeringsverordening definieert de drie cloudsoorten niet verder dan hun naam, dus wat volgt is de gewone lezing van de beschrijvingen, en de klant, niet de aanbieder, doet de invoer. Een product dat de klant via uw hosting gebruikt, op abonnement, is S19, Clouddiensten: SaaS. Hetzelfde product geleverd als een pakket dat de klant op zijn eigen systemen installeert en draait, is S13, Softwarelicenties (uitgezonderd SaaS), waarvan de beschrijving "software laten draaien in bedrijfsruimten" luidt. Als de klant u ook betaalt om zijn infrastructuur te beheren, is dat deel S14, Operationeel ICT-beheer, dat managed service providers uitdrukkelijk noemt. Maatwerkontwikkeling, bedrijfsanalyse en testen zijn S02. Een abonnement op een datafeed is S05, en analyse daarbovenop S06. Een als dienst verkochte helpdesk is S03. Advies is S15, en een controle van het eigen ICT-risicobeheerkader van de klant aan artikel 6, lid 10, is S16, een soort die alleen bestaat omdat DORA die controle in het leven heeft geroepen.

Twee punten wegen zwaarder dan het etiket. Ten eerste wordt het register ingevuld "met het hoogst mogelijke detailniveau", en waar een contractuele overeenkomst meerdere ICT-diensten omvat die meerdere functies ondersteunen, gebruikt de entiteit zoveel rijen als er combinaties van dienst en functie zijn. Een SaaS-contract dat het gehoste product, eerstelijnsondersteuning en een datafeed bundelt, is drie soorten dienst, en als het product twee functies van de klant ondersteunt, tot zes rijen. Ten tweede dragen de rijen van de cloudsoorten de gegevenskolommen: of u gegevens opslaat (B_02.02.0140), de landen waar gegevens worden opgeslagen (B_02.02.0150) en waar ze worden verwerkt (B_02.02.0160), verplicht waar de dienst op gegevensverwerking berust of erin voorziet, en de gevoeligheid van de opgeslagen gegevens (B_02.02.0170). Een S13-licentie die bij de klant is geïnstalleerd, heeft in die kolommen niets in te vullen; een S19-product altijd.

Wat de klant naast de code vastlegt

Voor elke dienstrij legt de klant ook het land van verlening (B_02.02.0130), het land van het toepasselijke recht (B_02.02.0120), de opzegtermijn voor de klant en de opzegtermijn voor de aanbieder, beide in kalenderdagen (B_02.02.0100 en B_02.02.0110), vast en, waar de dienst een kritieke of belangrijke functie ondersteunt, zijn mate van afhankelijkheid van de dienst (B_02.02.0180), op een schaal van vier stappen van "niet significant" tot "volledige afhankelijkheid". In template B_05.01 legt hij vast wie u bent: de officiële naam zoals geregistreerd, de naam in Latijns schrift, of u een rechtspersoon bent of een individu handelend in een zakelijke hoedanigheid, uw identificatiecode en het soort code (LEI, EUID, of een nationale code met de landcode ervoor), het land van uw hoofdzetel en de code van uw uiteindelijke moederonderneming. In template B_05.02 legt hij uw toeleveringsketen vast per rang: u bent rang 1, een onderaannemer die de dienst ondersteunt rang 2, diens onderaannemer rang 3, elk met een eigen identificatiecode.

Geen van die kolommen kan de klant zelf verzinnen. Het zijn feiten over u, en elke klant vraagt ze afzonderlijk, op zijn eigen vragenlijst, in zijn eigen woorden. Het gegevensblad voor het register somt ze op onder hun templatecodes en de kolomnamen van de verordening in deze taal, met de gesloten lijsten zoals de verordening ze formuleert, en schrijft de antwoorden als één document om aan elke klant te geven.

Wat de code voor u verandert

Niets in DORA verbindt een verplichting aan de code zelf; de clausules van artikel 30 die uw klant in het contract moet opnemen, zijn voor elke ICT-dienst dezelfde negen en voor een kritieke of belangrijke functie dezelfde zes extra, welk soort ook. Wat de code verandert, is rekenwerk. Artikel 29 laat de klant, vóór het tekenen voor een kritieke of belangrijke functie, beoordelen of hij meerdere van zulke diensten bij u of bij nauw met u verbonden aanbieders concentreert, en de kolom met het soort is hoe hij dat ziet. Artikel 31 laat de ETA's de financiële entiteiten tellen die van u afhankelijk zijn. En de eigen beoordeling van de klant in B_07.01 van uw vervangbaarheid en van de impact van het stopzetten van uw dienst wordt geschreven tegen de rij waarin uw code staat.

Geef dus elke klant dezelfde code, houd de rijen eerlijk over wat één contract werkelijk bundelt, en vul de locaties, het antwoord over opslag en de opzegtermijnen één keer in. De checklist van de clausules van artikel 30 dekt het contract waar de rij naar wijst, en de DORA-hub bevat de data en de handelingen.