Verordening (EU) 2022/2554
DORA, voor een softwareleverancier
Uw bankklant is gereguleerd; u komt DORA tegen in zijn contract, dat sinds 17 januari 2025 9 clausules draagt voor elke ICT-dienst en 6 meer voor een kritieke of belangrijke functie.
Beantwoord hierboven om de bepaling voor uw geval te lezen; het volledige instrument neemt uw antwoorden mee.
Doorgaan in de gratis bepalingIn één oogopslag
De data
Gelezen uit de verordening en de acht handelingen die de details invullen, op 12 september 2026. DORA heeft geen wijzigingshandeling.
- 27 december 2022
De verordening in het Publicatieblad.
- 13 maart 2024
Gedelegeerde Verordeningen (EU) 2024/1773 en 2024/1774: het beleid van de klant inzake contracten voor kritieke of belangrijke functies, met inbegrip van het zorgvuldigheidsonderzoek naar zijn leveranciers, en zijn ICT-risicobeheerinstrumenten en -processen.
- 13 maart 2024
Gedelegeerde Verordening (EU) 2024/1772: de zes classificatiecriteria en de materialiteitsdrempels die een ICT-gerelateerd incident ernstig maken, waaronder twee uur uitval van een dienst die een kritieke of belangrijke functie ondersteunt.
- 23 oktober 2024
Gedelegeerde Verordening (EU) 2025/301 en Uitvoeringsverordening (EU) 2025/302: de inhoud, termijnen en template van de eerste kennisgeving, het tussentijdse verslag en het eindverslag van een ernstig incident.
- 29 november 2024
Uitvoeringsverordening (EU) 2024/2956: de standaardtemplates van het informatieregister waarin elk leverancierscontract wordt vastgelegd en gerapporteerd.
- 17 januari 2025
De verordening is van toepassing (artikel 64): elk nieuw ICT-dienstencontract bevat de clausules van artikel 30, en de registers worden ingediend.
- 13 februari 2025
Gedelegeerde Verordening (EU) 2025/1190: welke financiële entiteiten dreigingsgestuurde penetratietests uitvoeren, de fasen, de testers, en de gebundelde test die een leverancier voor meerdere entiteiten mag uitvoeren.
- 24 maart 2025
Gedelegeerde Verordening (EU) 2025/532: wat de klant beoordeelt wanneer een leverancier een dienst die een kritieke of belangrijke functie ondersteunt, uitbesteedt.
Drie instrumenten, en de norm achter het due-diligenceonderzoek
- Gratis controleAan welke kant van DORA u staat, en wat die kant draagt(in het Engels)Drie antwoorden, gelezen door de bepaling die het portaal uitvoert. Een financiële entiteit draagt het register en de incidentmeldingen; een aanbieder de clausules uit de contracten van zijn klanten.
- DocumentgeneratorDe clausules van artikel 30, met een status voor elkDe 9 clausules van elk contract, de 6 voor een kritieke of belangrijke functie en de 12 onderaannemingsbepalingen van Gedelegeerde Verordening (EU) 2025/532, woordelijk in uw taal, elk met de ISO 27001-registraties die erop antwoorden; een status en een notitie per clausule, geschreven als het document om terug te sturen.
- DocumentgeneratorHet informatieregister, als uw gegevensbladElke klant vult dezelfde templates over u in. De kolommen die feiten over de aanbieder en de dienst zijn, met hun codes en namen uit de uitvoeringsverordening, één keer beantwoord en geschreven als het blad dat met het contract meegaat.
- DocumentgeneratorDe leveranciersvragenlijst, geschreven door de verordeningVoor de kant van de financiële entiteit: de 21 punten van Gedelegeerde Verordening (EU) 2024/1773 die een beleid haar aan een leverancier moet laten vragen, in de woorden van de verordening, samengesteld tot de vragenlijst met de zekerheidselementen en auditmethoden die de entiteit gebruikt, en het bewijs dat een ISO 27001-systeem onder elk punt oplevert.
- GidsISO 27001, de norm waar het zorgvuldigheidsonderzoek om vraagtArtikel 28, lid 5, maakt passende informatiebeveiligingsnormen tot voorwaarde voor elk contract; de 93 beheersmaatregelen van bijlage A en het clausuleregister zijn het antwoord dat de vragenlijst van een klant verwacht.
- GidsDe beheersmaatregelen van bijlage A, één pagina per maatregelElke maatregel met haar doel en het bewijs dat zij oplevert, in zes talen; de clausulechecklist verwijst er per referentie naar.
- KoppelingNIS2 naast ISO 27001 gelegdDe leverancier van een bank is vaak zelf een NIS2-entiteit; de afdelingen van de uitvoeringsverordening tegen dezelfde maatregelen.
Elk gratis sjabloon op één pagina
9 artikelen, uit de primaire bronnen
- ArtikelDORA voor een softwareleverancier: de contractclausules van artikel 30 die uw bankklant stuurt, het informatieregister waarin u komt te staan, en wat ISO 27001 al beantwoordtSinds 17 januari 2025 beheert elke bank, verzekeraar, beleggingsonderneming en betalingsinstelling in de Unie haar softwareleveranciers onder Verordening (EU) 2022/2554, DORA.
- ArtikelDe negentien soorten ICT-diensten van DORA, S01 tot S19: welke een SaaS-product is, wat het informatieregister erover vastlegt, en waarom één contract meerdere rijen kan zijnElke ICT-dienst die een bank, verzekeraar of betalingsinstelling inkoopt, wordt in haar informatieregister vastgelegd onder een van negentien codes, S01 tot S19, uit bijlage III van Uitvoeringsverordening (EU) 2024/2956.
- ArtikelUitbesteding onder DORA, RTS 2025/532: tien voorwaarden die uw klant controleert, twaalf bepalingen die uw contract draagt, een opzegtermijn vóór elke wissel van onderaannemerVan kracht sinds 22 juli 2025 voor elke ICT-dienst die een kritieke of belangrijke functie ondersteunt: Gedelegeerde Verordening (EU) 2025/532 geeft de klant tien voorwaarden om te beoordelen vóór hij uitbesteding toestaat, twaalf bepalingen die het contract vervolgens draagt, van uw verantwoordelijkheid voor de dienst van de onderaannemer tot de beëindigingsrechten van de klant, en een termijn vóór elke wezenlijke wijziging van een onderaannemer.
- ArtikelHet DORA-leveranciersbeleid van uw bank, RTS 2024/1773: de zes due-diligencevragen, de vijf bronnen van zekerheid, de acht voorwaarden om uw ISO 27001-certificaat in plaats van een audit te aanvaarden, en de vijf rapporten die u verschuldigd zult zijnElke financiële entiteit in de Unie heeft een schriftelijk beleid over haar contracten voor ICT-diensten die kritieke of belangrijke functies ondersteunen, en Gedelegeerde Verordening (EU) 2024/1773 zegt wat dat beleid moet bevatten, in werking sinds 15 juli 2024.
- ArtikelWanneer uw storing het ernstige incident van uw bankklant wordt: de zes criteria van DORA, de drempel van twee uur uitval van RTS 2024/1772, de termijnen van vier uur, 24 uur, 72 uur en één maand van RTS 2025/301, en de feiten die uw klant van u nodig zal hebbenEen financiële entiteit moet een ernstig ICT-gerelateerd incident binnen vier uur na de classificatie en uiterlijk 24 uur nadat zij ervan kennis heeft gekregen aan haar toezichthouder melden, binnen 72 uur een tussentijds verslag indienen en binnen één maand afsluiten.
- ArtikelDe negen plaatsen waar het ICT-risicokader van uw bankklant uw product binnenreikt, RTS 2024/1774: einddata van support, kwetsbaarheidsrapporten en bibliotheekregistratie, instellingen die hij niet mag omzeilen, broncode getest vóór productie, persoonlijke accounts voor uw medewerkers, en uw incidenten als zijn alarmenGedelegeerde Verordening (EU) 2024/1774, in werking sinds 15 juli 2024, specificeert het ICT-risicobeheerkader dat elke financiële entiteit onder DORA voert, en negen van haar artikelen noemen de derde aanbieder van ICT-diensten.
- ArtikelDreigingsgestuurde penetratietests onder DORA, vanuit de leverancier: wanneer het red team van uw bankklant uw productiesystemen in mag, de test van 12 weken van RTS 2025/1190, de gebundelde test die u in plaats daarvan kunt uitvoeren, en wat het contract al zegtArtikel 26 van DORA laat de grootste financiële entiteiten ten minste elke 3 jaar een dreigingsgestuurde penetratietest op productiesystemen uitvoeren, inclusief de kritieke of belangrijke functies die zij hebben uitbesteed, en artikel 30, lid 3, punt d), zet de deelname van de leverancier in het contract.
- ArtikelISO 27001 vs SOC 2 in Europa: waar kopers werkelijk om vragenVerkoopt u in Europa, haal dan ISO 27001: EU-aanbestedingen noemden het in een jaar 3.405 keer, tegenover 104 voor SOC 2, en het lag voor in elk van de twaalf maanden achter dat getal.
- ArtikelCRA of NIS2: welke geldt voor een softwarebedrijf, en kan het allebei zijn?De Cyber Resilience Act reguleert producten die in de handel worden gebracht; NIS2 reguleert entiteiten die diensten verlenen.
Wat het van u vraagt
158 eisen in 4 groepen
Verplichtingen
112- 5(1) Zet een intern governancekader voor ICT-risico op
- 5(2) Het leidinggevend orgaan keurt het kader goed
- 5(3) Wijs iemand aan die de ICT-contracten monitort
en nog 109
Plichten
4- RTS 5(1) Licht de klant vroeg genoeg in over onderaannemingswijzigingen om te beoordelen
- RTS 5(3) Wijzig de onderaanneming pas na goedkeuring of uitblijvend bezwaar
- 26(3) Neem deel aan de TLPT wanneer het bereik u omvat
en nog 1
Clausules
39- 31(5) Reageer binnen zes weken op de aanwijzing
- 31(11) Vraag desgewenst om als kritiek te worden aangewezen
- 35(1) Ken de bevoegdheden van de leidende toezichthouder
en nog 36
Termijnen
3- 301-5(1)(a) Ondersteun het eerste verslag binnen vier uur na classificatie
- 301-5(1)(b) Ondersteun het tussentijdse verslag binnen 72 uur na het eerste
- 301-5(1)(c) Ondersteun het eindverslag binnen een maand na het tussentijdse
13 van de 15 clausules worden beantwoord door een ISO 27001-registratie
StandardOS houdt de ISO 27001-registraties bij waar het zorgvuldigheidsonderzoek en het auditrecht van een financiële klant om vragen, in één werkruimte, in zes talen: leveranciersregister, back-ups en hersteltests, incidentproces, continuïteitsplan, interne audits, de verklaring van toepasselijkheid.
De data zijn gelezen uit de verordening en de genoemde handelingen en op deze pagina nooit getypt. Dit is geen juridisch advies, en de verordening is de tekst om te lezen: Verordening (EU) 2022/2554.
Zie ook:ArtikelenGratis tools