Een medewerker van een verzekeraar die een AI-clouddienst gebruikt om polisvoorwaarden samen te vatten, haalt een nieuwe ICT-leverancier in huis. Onder de Europese Digital Operational Resilience Act (DORA) is dat geen detail. Sinds 17 januari 2025 moeten financiële instellingen elke ICT-dienst van een derde partij registreren, contractueel vastleggen en kunnen beëindigen.
Voor wie DORA geldt
DORA geldt voor vrijwel de hele financiële sector: banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, pensioenfondsen en meer. In Nederland houden De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) toezicht. Verzekeringstussenpersonen die een micro-, kleine of middelgrote onderneming zijn, vallen er volgens artikel 2 niet onder.
Elke ICT-dienst komt in het informatieregister
Artikel 28 verplicht financiële instellingen om een informatieregister bij te houden van alle contracten met derde aanbieders van ICT-diensten. DNB en AFM vragen dat register jaarlijks op en sturen het door naar de Europese toezichthouders.
Een AI-clouddienst is zo'n ICT-dienst. Dat geldt ook voor de chatbot die een afdeling op eigen initiatief is gaan gebruiken. Een dienst die niet in het register staat, is een gat in het register.
Het contract moet de locatie van de data noemen
Artikel 30 schrijft voor wat er in zo'n contract moet staan. Daaronder valt in welke landen of regio's de dienst wordt geleverd en waar de data wordt verwerkt en opgeslagen. Wil de leverancier die locaties veranderen, dan moet hij dat vooraf melden.
Ondersteunt de dienst een kritieke of belangrijke functie, dan komen er eisen bij. De instelling en de toezichthouder moeten onbeperkt toegang, inspectie en audit kunnen krijgen. Het contract moet ook een exitstrategie bevatten met een overgangsperiode, zodat de instelling naar een andere leverancier of een eigen oplossing kan overstappen.
Voor een AI-model dat ergens in een datacenter van een grote aanbieder draait, zijn die afspraken lastig af te dwingen. Een kleine instelling krijgt zelden een eigen auditrecht bij een hyperscaler.
De grote cloudaanbieders staan onder Europees toezicht
Op 18 november 2025 wezen de Europese toezichthouders 19 aanbieders aan als kritieke ICT-dienstverleners, onder wie Amazon Web Services, Google Cloud en Microsoft. Zij vallen nu onder direct Europees toezicht. Dat toezicht neemt de verantwoordelijkheid niet over: de financiële instelling blijft zelf verantwoordelijk voor het risico van de diensten die ze afneemt.
Lokale AI valt ook onder DORA
Een AI-systeem dat op eigen hardware draait, haalt een instelling niet buiten DORA. Wie het systeem levert en onderhoudt, is ook een ICT-dienstverlener en hoort in het register.
Het verschil zit in wat je in dat register en contract invult. De locatie van de data is het eigen pand. Auditrecht is eenvoudig, want het apparaat staat binnen de eigen muren. En de exitstrategie is kort: de hardware is eigendom van de instelling en de documenten blijven gewone bestanden. Zo is KennisKluis ingericht.
Dit artikel geeft algemene achtergrondinformatie en is geen juridisch advies. Of een dienst een kritieke of belangrijke functie ondersteunt, hangt af van de eigen bedrijfsvoering. Raadpleeg bij twijfel de eigen compliance-afdeling of een gespecialiseerde jurist.
Bronnen
- Verordening (EU) 2022/2554 (DORA), artikelen 2, 28, 30 en 64
- DNB, DORA: uitnodiging voor dry run ter voorbereiding op rapportering informatieregister
- Houthoff, DORA information registers, new timelines AFM and DNB
- ESMA, European Supervisory Authorities designate critical ICT third-party providers, 18 november 2025
- EIOPA, Q&A DORA237: scope voor tussenpersonen
Wil je dit onderwerp voor je eigen organisatie bespreken? Een gesprek van 30 minuten plan je via de contactpagina.