DORA en security awareness training: wat artikel 13 van elke medewerker vraagt (2026)

In het kort: De Digital Operational Resilience Act (DORA, Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 voor banken, verzekeraars, beleggingsondernemingen, betaalinstellingen, pensioenfondsen en andere financiële entiteiten in de EU. Artikel 13(6) maakt programma's voor ICT-beveiligingsbewustzijn en training in digitale operationele weerbaarheid een verplicht onderdeel van de opleiding van medewerkers, voor iedereen en voor het senior management, met een diepgang die bij elke functie past. Artikel 5 legt de eindverantwoordelijkheid voor ICT-risico bij het leidinggevend orgaan, dat budget voor die training moet vrijmaken en zijn eigen kennis actueel moet houden met regelmatige, gerichte training. In Nederland houden DNB en de AFM toezicht en kunnen ze boetes opleggen. Wat zij willen zien is bewijs: wie is getraind, waarop, hoe vaak, en veranderde er iets in gedrag.

De trainingseisen van DORA in één overzicht

DORA heeft geen apart hoofdstuk over training. De verplichtingen staan verspreid over een aantal artikelen en één technische standaard. Dit betekenen ze, en dit leg je op tafel als de toezichthouder ernaar vraagt.

Wie valt onder DORA

Artikel 2(1) noemt twintig soorten financiële entiteiten. Daaronder: kredietinstellingen, betaalinstellingen en e-geldinstellingen, beleggingsondernemingen, aanbieders van cryptoactivadiensten, handelsplatformen, fondsbeheerders, verzekeraars, verzekeringstussenpersonen, pensioenfondsen, ratingbureaus en crowdfundingplatforms.

Er zijn uitzonderingen. Verzekeringstussenpersonen die micro, klein of middelgroot zijn vallen erbuiten, net als pensioenfondsen met in totaal niet meer dan 15 deelnemers. Kleine, niet verweven beleggingsondernemingen, vrijgestelde betaal- en e-geldinstellingen en kleine pensioenfondsen werken met een vereenvoudigd kader voor ICT-risicobeheer in artikel 16. Ook dat lichtere regime vraagt dat ze bewustzijnsprogramma's en weerbaarheidstraining ontwikkelen voor medewerkers en management, afgestemd op hun behoeften en ICT-risicoprofiel.

ICT-dienstverleners staan als laatste op de lijst. De meeste merken DORA via contracten met hun klanten. De grootste staan onder direct toezicht: op 18 november 2025 publiceerden de Europese toezichthouders de eerste lijst met kritieke ICT-dienstverleners, 19 bedrijven, van hyperscale cloud tot software voor de financiële sector.

De vijf pijlers in het kort

Artikel 1 beschrijft wat DORA regelt, meestal ingedeeld in vijf pijlers:

• ICT-risicobeheer. Een vastgelegd kader, governance en beheersmaatregelen (artikel 5 tot en met 16). Hier valt training onder.
• Incidentmelding. Ernstige ICT-incidenten classificeren en melden bij de toezichthouder.
• Testen van digitale weerbaarheid. Een risicogebaseerd testprogramma, en voor aangewezen instellingen minstens elke drie jaar een threat-led penetration test (artikel 26).
• Risico van ICT-derden. Contracteisen, een jaarlijks informatieregister en toezicht op kritieke aanbieders.
• Informatie delen. Vrijwillige uitwisseling van informatie over cyberdreigingen tussen financiële instellingen.

Wat artikel 13(6) zegt over training

De kernzin is kort. Financiële entiteiten ontwikkelen programma's voor ICT-beveiligingsbewustzijn en training in digitale operationele weerbaarheid als verplichte modules in hun opleidingsprogramma's. Die gelden voor alle medewerkers en voor het senior management, met een complexiteit die past bij de taken van hun functie.

Drie woorden dragen het gewicht. Verplicht betekent dat een vrijblijvende e-learning op het intranet niet telt. Alle betekent de receptionist en de CFO, niet een selectie van risicovolle functies. Passend betekent dat één algemene module voor iedereen ook niet genoeg is: een developer met toegang tot productie heeft meer diepgang nodig dan een collega van facilitair. Dezelfde alinea voegt toe dat ICT-dienstverleners waar passend in de training worden meegenomen, en artikel 30(2)(i) verplicht om de voorwaarden daarvoor in het contract op te nemen.

Artikel 13 heet "Leren en evolueren": incidenten en testresultaten moeten terug het kader in. Een programma dat na een echt phishing incident niet verandert, past niet in die gedachte.

Artikel 5: de verantwoordelijkheid ligt bij het bestuur

Volgens artikel 5(2) bepaalt, keurt, bewaakt en draagt het leidinggevend orgaan de verantwoordelijkheid voor het hele kader voor ICT-risicobeheer. Punt (a) geeft het de uiteindelijke verantwoordelijkheid voor het beheer van het ICT-risico. Punt (g) laat het bestuur het budget vaststellen en regelmatig evalueren, uitdrukkelijk inclusief de bewustzijnsprogramma's en training van artikel 13(6).

Artikel 5(4) richt zich daarna op de bestuurders zelf. DNB citeerde het in november 2024 op haar eigen sheets voor verzekeraars: "De leden van het leidinggevend orgaan van de financiële entiteit onderhouden actief voldoende kennis en vaardigheden om ICT-risico en de gevolgen daarvan voor de verrichtingen van de financiële entiteit te begrijpen en te beoordelen", onder meer met regelmatige, gerichte training. Dezelfde gedachte zit in de Cyberbeveiligingswet (NIS2); ons artikel over NIS2 en bestuurdersaansprakelijkheid legt uit hoe persoonlijke verantwoordelijkheid daar werkt, en training voor bestuurders laat zien hoe een programma voor het bestuur eruit kan zien.

Wat DNB en de AFM verwachten

In Nederland houden DNB en de AFM toezicht op DORA. DNB maakte in december 2024 bekend dat DORA voor instellingen binnen de reikwijdte de Good Practice Informatiebeveiliging 2023 vervangt, en dat ze risicogebaseerd en proportioneel werkt: vragenlijsten, gesprekken en onderzoeken ter plaatse, met middelen die lopen van een brief tot een boete. De Rijksoverheid bevestigt dat beide toezichthouders een financieel bedrijf dat DORA niet naleeft een boete kunnen geven.

Awareness is voor hen geen bijzaak. In een presentatie voor verzekeraars op 12 november 2024 zette DNB de uitkomsten van haar onderzoeken uit 2024 op een rij. Een daarvan: er is meer aandacht nodig voor kennis- en awarenessprogramma's. De AFM had eerder dat jaar een factsheet gepubliceerd op basis van een self-assessment uit 2023 van 212 beleggingsondernemingen. Op het thema "awareness en scholing" voldeed 37 procent nog niet aan het verwachte niveau. Die cijfers zijn van vóór DORA, maar ze laten zien waar de toezichthouder werk verwachtte: reken erop dat de vraag over training samengaat met een vraag om cijfers.

Hoe DORA zich verhoudt tot de Cyberbeveiligingswet (NIS2)

Veel financiële instellingen zijn ook essentiële of belangrijke entiteit onder NIS2. Artikel 1(2) van DORA regelt de overlap: voor die instellingen geldt DORA als sectorspecifieke Uniehandeling in de zin van artikel 4 van de NIS2-richtlijn. In de praktijk gaat DORA voor waar beide hetzelfde regelen, en daarom heet DORA vaak de lex specialis. De Rijksoverheid zegt het zonder omwegen: overlappen de regels, dan hebben de bepalingen uit DORA voorrang voor financiële instellingen.

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. Voor een bank of verzekeraar is DORA daarmee het hoofdkader voor ICT-risico en training, terwijl de Cyberbeveiligingswet (NIS2) blijft gelden voor groepsonderdelen en leveranciers buiten de financiële reikwijdte. Onze NIS2-gids voor 2026 legt uit wie eronder valt, en het verschil tussen NIS1 en NIS2 laat zien hoe de reikwijdte groeide.

Een praktisch uitrolplan

1. Koppel rollen aan risico. Zet functies met betaalbevoegdheid, toegang tot productie, klantdata of contact met leveranciers op een rij. Zij krijgen extra diepgang; iedereen krijgt de basis.
2. Leg het bestuursbesluit vast. Budget, reikwijdte en het eigen trainingsprogramma van het bestuur goedgekeurd in de notulen, zoals artikel 5(2)(g) en 5(4) vragen.
3. Maak de basis verplicht en doorlopend. Een kort, terugkerend ritme door het jaar werkt beter dan één jaarlijkse module en levert elke maand data op.
4. Voeg phishing simulaties en een meldkanaal toe. Meet wie klikt en wie meldt, en zorg dat iedereen weet waar hij kan melden.
5. Betrek leveranciers. Neem de trainingsbepaling van artikel 30(2)(i) op in nieuwe en verlengde ICT-contracten.
6. Sluit de cirkel. Pas na elk ernstig incident of elke test de inhoud aan, leg de wijziging vast en neem haar op in de jaarrapportage aan het leidinggevend orgaan.

Hoe phishing simulaties en doorlopende training het bewijs leveren

DORA noemt phishing simulaties niet bij naam. Artikel 25 somt op welke tests een testprogramma kan bevatten, van kwetsbaarheidsscans tot scenariotests, en laat de keuze aan de instelling. Toch zijn simulaties de meest directe manier om te laten zien dat training gedrag verandert, en ze passen bij artikel 13(4), dat instellingen de effectiviteit van hun weerbaarheidsstrategie laat bewaken. Een certificaat laat zien dat iemand een module heeft doorlopen. Een dalend klikpercentage en een stijgend aantal meldingen laten zien dat het werkte.

Daar betaalt doorlopende training zich ook uit. Bij Guardey speelt elke medewerker elke week een gamified challenge van ongeveer drie minuten, strijden teams op een leaderboard, en zijn phishing simulaties inbegrepen. Het resultaat is een overzicht per persoon, per week, dat je aan de auditor overhandigt in rapportages die geaccepteerd worden voor de Cyberbeveiligingswet (NIS2), ISO 27001 en meer dan 40 andere normen. Werk je al met ISO 27001? Onze gids over security awareness training voor ISO 27001 sluit goed aan op DORA.

Veelgestelde vragen

Is security awareness training verplicht onder DORA?

Ja. Artikel 13(6) vraagt om programma's voor ICT-beveiligingsbewustzijn en training in digitale operationele weerbaarheid als verplichte modules in de opleiding, voor alle medewerkers en het senior management. Ook instellingen onder het vereenvoudigde regime van artikel 16 moeten ze aanbieden, afgestemd op hun behoeften en risicoprofiel.

Moet het bestuur getraind worden onder DORA?

Ja. Artikel 5(4) verplicht leden van het leidinggevend orgaan om hun kennis en vaardigheden actueel te houden, onder meer met regelmatige, gerichte training, in verhouding tot het ICT-risico dat ze beheren.

Sinds wanneer geldt de DORA wetgeving?

Sinds 17 januari 2025. DORA is een verordening en geldt dus direct in elke lidstaat, zonder omzetting in nationale wetgeving.

Vervangt DORA de Cyberbeveiligingswet (NIS2) voor financiële instellingen?

Waar beide hetzelfde regelen, gaat DORA voor. Artikel 1(2) maakt DORA de sectorspecifieke regeling voor financiële instellingen die ook essentiële of belangrijke entiteit zijn onder NIS2.

Wie houdt in Nederland toezicht op DORA?

DNB en de AFM, elk voor de eigen instellingen. De Europese toezichthouders houden toezicht op kritieke ICT-dienstverleners.