Het DORA-informatieregister: lessen uit de ronde van 2026
4 min lezen
Financiële instellingen die onder de Digital Operational Resilience Act (DORA) vallen, houden een informatieregister bij van alle contractuele afspraken met ICT-dienstverleners (informatie- en communicatietechnologie). Dat staat in artikel 28, lid 3, van Verordening (EU) 2022/2554. Het register wordt jaarlijks bij de toezichthouder aangeleverd. In maart 2026 vond de tweede uitvraag plaats. Dit artikel zet de feiten en de praktische lessen op een rij.
De uitvraag van 2026 in het kort
- De Nederlandsche Bank (DNB) stelde de uitvraag op maandag 2 maart 2026 beschikbaar. De uiterste aanleverdatum was vrijdag 20 maart 2026.
- De peildatum was 31 december 2025.
- Bij DNB kon u kiezen tussen het xBRL-CSV-formaat (een gestandaardiseerd technisch rapportageformaat) en een gestandaardiseerd Excel-model.
- Bij de Autoriteit Financiële Markten (AFM) werd vanaf 2026 alleen xBRL-CSV geaccepteerd, geen Excel.
- De AFM meldde in augustus 2026 dat het aandeel registers dat de Europese Bankautoriteit (EBA) accepteerde, steeg van 40 procent in 2025 naar 94 procent in 2026.
De vooruitgang is dus groot. Tegelijk vraagt de AFM aandacht voor de kwaliteit van het register en de onderliggende gegevens.
Les 1: technische fouten zijn vaak eenvoudig te voorkomen
De AFM noemde in een vragensessie in maart 2026 een aantal veelvoorkomende foutcodes. Een greep daaruit:
- De naam van het ZIP-bestand komt niet overeen met de naam van de map daarin.
- Verplichte aanvullende bestanden ontbreken naast de CSV-bestanden.
- Niet alle template-ID’s staan in het bestand met de zogeheten filing indicators.
- Het veld voor de identificatie van de instelling is leeg.
- De meest voorkomende afwijzing: een verwijzing naar een sleutel die niet bestaat. Een contract verwijst bijvoorbeeld naar een leverancier die niet in de leverancierstabel staat.
Bij opnieuw aanleveren moet het bestand bovendien een andere naam hebben dan bij de vorige aanlevering. Niet elke converter is geschikt: controleer of hij xBRL-CSV maakt en de EBA-taxonomie ondersteunt.
Les 2: de kwaliteit begint in het contractregister
Het informatieregister is zo goed als de gegevens waarop het rust. Bij veel instellingen komen die gegevens uit verschillende bronnen: het contractregister, de crediteurenadministratie en lijsten van IT. Daar ontstaan de fouten. Een leverancier staat dubbel onder twee namen. Een contract heeft geen einddatum. De koppeling tussen contract en dienst ontbreekt.
Richt daarom het contractregister zo in dat het de velden van het informatieregister direct bevat. Dan is de jaarlijkse aanlevering een export en geen project.
Les 3: identificatie van leveranciers
Het register werkt met identificatienummers zoals de Legal Entity Identifier (LEI, een internationaal nummer voor rechtspersonen) en de European Unique Identifier (EUID, het Europese nummer uit het handelsregister). Heeft uw ICT-dienstverlener nog geen LEI of EUID, dan vult u volgens de AFM een ander beschikbaar identificatienummer in. Vraag deze gegevens bij nieuwe contracten standaard op bij de leverancier.
Les 4: volledigheid
Alle contractuele afspraken met aanbieders van ICT-diensten horen in het register, niet alleen de grote. Ook bij vaste keuzelijsten, zoals de locatie van gegevens, kunt u alleen een van de beschikbare opties invullen. Werk daarom met dezelfde keuzelijsten in uw eigen contractregister.
Les 5: functies en ketens
Het register vraagt welke functies van de instelling door een dienst worden ondersteund, en of die functies kritiek of belangrijk zijn. Ook onderaannemers die kritieke of belangrijke functies ondersteunen, moeten in beeld zijn. Die beoordeling hoort bij de intake en contractering, niet bij de jaarlijkse rapportage.
Voorbereiding op de volgende ronde
- Analyseer de terugkoppeling van de toezichthouder en de validatiefouten van 2026.
- Wijs per tabel in het register een eigenaar aan.
- Leg in het contractregister de velden vast die het informatieregister vraagt.
- Voeg aan het intakeformulier voor nieuwe ICT-contracten de vragen toe over functie, kritikaliteit, locatie en onderaannemers.
- Doe een proefaanlevering ruim voor de deadline, met een validator die direct de datakwaliteit controleert.
- Leg de uitkomst en de verbeterpunten vast, zodat de volgende ronde sneller gaat.
Let op: de instelling blijft zelf verantwoordelijk voor de juistheid en volledigheid van het register, ook als een externe partij de conversie doet.
Dit artikel bevat algemene informatie en is geen juridisch advies voor uw specifieke situatie.
Hulp nodig?
Ad Rem Consultants helpt bij het inrichten van een contractregister dat aansluit op het DORA-informatieregister, en bij het verbeteren van de datakwaliteit. Wilt u de volgende ronde goed voorbereiden? neem contact op.
