Onderaanneming onder DORA: wat de RTS van 2025 vraagt
3 min lezen
ICT-diensten (informatie- en communicatietechnologie) worden zelden door één partij geleverd. Een softwareleverancier draait op het platform van een cloudaanbieder en besteedt de servicedesk uit. Voor financiële instellingen onder de Digital Operational Resilience Act (DORA), Verordening (EU) 2022/2554, is die keten belangrijk. Artikel 30, lid 5, van DORA gaf de Europese toezichthouders de opdracht om technische reguleringsnormen (RTS) op te stellen over onderaanneming. Het resultaat is Gedelegeerde Verordening (EU) 2025/532.
De feiten
- De verordening is vastgesteld op 24 maart 2025 en gepubliceerd in het Publicatieblad van 2 juli 2025.
- Zij trad in werking op de twintigste dag na publicatie, op 22 juli 2025.
- Zij geldt alleen voor onderaanneming van ICT-diensten die kritieke of belangrijke functies ondersteunen, of een wezenlijk deel daarvan.
Wat is er geschrapt?
Het oorspronkelijke ontwerp bevatte een artikel 5 met voorwaarden voor de hele keten van onderaannemers. De Europese Commissie oordeelde dat de bepalingen over het monitoren van de volledige onderaannemingsketen buiten het mandaat van artikel 30, lid 5, vielen. Dat artikel is geschrapt. De Europese toezichthouders gingen daarmee akkoord. In de vastgestelde tekst zijn de artikelen daarna doorgenummerd.
Let op: dit betekent niet dat de keten er niet toe doet. De instelling moet nog steeds zicht hebben op onderaannemers die kritieke of belangrijke functies ondersteunen, onder meer voor het informatieregister.
Wat de verordening vraagt
Due diligence vooraf
Voordat de instelling een contract sluit, beoordeelt zij of onderaanneming verantwoord is. Daarbij hoort onder meer of de hoofdleverancier zelf onderaannemers goed kan selecteren en beoordelen, of hij onderaannemers kan identificeren en melden, of dezelfde toegangs-, inspectie- en auditrechten gelden in de keten, en of de instelling zelf voldoende capaciteit heeft om toezicht te houden. Ook de locatie van de onderaannemer en de gevolgen van een uitval wegen mee.
Voorwaarden in het contract
Het contract legt vast:
- welke diensten mogen worden uitbesteed en onder welke voorwaarden;
- dat de hoofdleverancier verantwoordelijk blijft voor de levering;
- dat de hoofdleverancier zijn onderaannemers bewaakt;
- dat beveiligings- en continuïteitseisen ook voor onderaannemers gelden;
- dat de rechten van de instelling en de toezichthouder op toegang en audit doorwerken in de keten.
Wezenlijke wijzigingen
Wil de leverancier een onderaannemer toevoegen of wezenlijk wijzigen, dan meldt hij dat vooraf, met een termijn waarin de instelling de risico’s kan beoordelen. De instelling kan bezwaar maken of aanpassing eisen.
Beëindiging
De instelling heeft een beëindigingsrecht in bepaalde gevallen, bijvoorbeeld als de leverancier een wezenlijke wijziging doorvoert ondanks bezwaar, of zonder toestemming onderaanneemt.
Praktische aanpak
- Vraag in de aanbesteding of offerte-aanvraag een overzicht van onderaannemers die de dienst ondersteunen, met locatie en rol.
- Beoordeel per onderaannemer of hij een kritieke of belangrijke functie raakt.
- Neem in het contract een meldplicht op voor wijzigingen, met een vaste termijn en een bezwaarrecht.
- Laat de hoofdleverancier jaarlijks bevestigen welke onderaannemers actief zijn.
- Verwerk de onderaannemers in uw informatieregister.
Valkuilen
- Een lijst met onderaannemers op de website van de leverancier die hij zonder melding kan wijzigen.
- Auditrechten die stoppen bij de hoofdleverancier.
- Geen afspraak over wat er gebeurt als u bezwaar maakt tegen een nieuwe onderaannemer.
- Onderaanneming binnen het concern van de leverancier niet meetellen. Ook onderaannemers binnen dezelfde groep vallen onder de regels.
Voorbeeld
Een verzekeraar neemt een polisadministratiesysteem af als clouddienst. De leverancier host het systeem bij een grote cloudaanbieder en laat de tweedelijnsondersteuning uitvoeren door een zusterbedrijf buiten de Europese Unie. Beide partijen ondersteunen een kritieke functie. De verzekeraar vraagt daarom vooraf naar de locaties, beoordeelt of de auditrechten doorwerken naar beide onderaannemers en spreekt een meldtermijn af voor wijzigingen. Wil de leverancier later de ondersteuning naar een andere partij verplaatsen, dan beoordeelt de verzekeraar die wijziging voordat die ingaat.
Dit artikel bevat algemene informatie en is geen juridisch advies voor uw specifieke situatie.
Hulp nodig?
Ad Rem Consultants helpt bij het opnemen van onderaannemingseisen in aanbestedingsstukken en contracten, en bij het beoordelen van leveranciersvoorstellen. Wilt u uw contracten hierop laten toetsen? neem contact op.
