AFM: ICT-registers beter, maar storing blijft mogelijk

De financiële sector krijgt beter zicht op de IT-bedrijven achter apps en diensten. Dat blijkt uit een DORA-update die de Autoriteit Financiële Markten (AFM) donderdag publiceerde. Van de informatieregisters die voor controle naar de Europese Bankautoriteit gingen, werd 94 procent goedgekeurd. In 2025 was dat nog 40 procent. Een forse stap, maar geen bewijs dat 94 procent van de systemen storingsvrij is.

Dat onderscheid is belangrijk. Het register beschrijft welke externe ICT-dienstverleners een financiële onderneming gebruikt. Denk aan cloudopslag, dataverwerking of software voor een klantportaal. Een vollediger register helpt toezichthouders om afhankelijkheden en concentratierisico’s te zien. Het cijfer zegt niets over de beschikbaarheid van uw bankapp, beleggingsrekening of verzekeringsportaal op een willekeurige dag.

Wat DORA precies regelt

DORA, de Europese Digital Operational Resilience Act, geldt sinds 17 januari 2025. De verordening verplicht veel financiële ondernemingen om hun digitale risico’s te beheren, incidenten te classificeren en melden, hun weerbaarheid te testen en grip te houden op uitbestede ICT. AFM en De Nederlandsche Bank (DNB) verdelen in Nederland het toezicht, afhankelijk van het type onderneming.

De regels zijn breder dan alleen banken. Ook onder meer verzekeraars, beleggingsondernemingen, betaalinstellingen en bepaalde aanbieders van cryptoactivadiensten vallen binnen het Europese kader. Er zijn uitzonderingen en verschillen per instelling. De AFM-update gaat bovendien over de ondernemingen waarop de AFM toezicht houdt; het is geen rapportcijfer voor iedere bank of financiële app in Nederland.

Het informatieregister is een praktische kern van DORA. Een onderneming moet daarin haar contracten en relaties met externe ICT-partijen vastleggen. Europese toezichthouders gebruiken die gegevens ook om kritieke dienstverleners te kunnen aanwijzen. Het blijft wel de financiële onderneming zelf die verantwoordelijk is voor de risico’s van uitbesteding. Een contract met een grote cloudleverancier schuift die verantwoordelijkheid niet door.

Twee punten zijn nog niet af

Volgens de AFM zijn nog niet alle vereiste beleidsstukken en procedures volledig ingevoerd. Vooral ondernemingen die groepsbeleid overnemen, moeten controleren of dat beleid echt past bij de Nederlandse vergunninghouder. Een document van het moederbedrijf is dus niet automatisch voldoende voor de lokale organisatie.

Daarnaast blijft het aantal meldingen van ernstige ICT-incidenten achter bij de verwachting van de toezichthouder. De AFM roept ondernemingen op incidenten goed te herkennen, juist te classificeren en op tijd te melden. Dat is geen bewijs dat incidenten worden verzwegen. Er kunnen ook simpelweg minder ernstige incidenten zijn geweest. Het signaal is vooral dat ondernemingen hun meldproces aantoonbaar op orde moeten hebben.

Een vastgelopen app of een geweigerde pinbetaling is ook niet automatisch een ernstig DORA-incident. De oorzaak kan lokaal liggen, bijvoorbeeld bij een winkelterminal, telecomverbinding of onderhoudsvenster. Voor een formele melding gelden Europese criteria rond onder meer duur, omvang, getroffen klanten en economische impact. De AFM noemt in deze update geen concrete consumentenstoring.

Wat u hier als klant aan hebt

DORA moet de kans en impact van digitale ontregeling verkleinen. De wet verlangt dat financiële ondernemingen problemen kunnen voorkomen, opvangen en herstellen. Maar de regels geven geen garantie op permanente bereikbaarheid. De update introduceert evenmin een nieuwe automatische schadevergoeding voor klanten na een storing. Bestaande afspraken en consumentenrechten blijven leidend voor een concreet geschil.

U hoeft voor DORA niets aan te vragen of aan te zetten. Wel is dit een goed moment om uw eigen afhankelijkheid van één betaalroute te bekijken. DNB en het Maatschappelijk Overleg Betalingsverkeer adviseren huishoudens meerdere betaalmogelijkheden achter de hand te houden. Het advies voor een noodsituatie van 72 uur is €70 contant per volwassene en €30 per kind, liefst in verschillende coupures. DNB benadrukt dat u dit rustig kunt opbouwen en dat er geen reden is om massaal geld op te nemen.

Een nuchtere controle kost tien minuten:

• Zorg dat u naast betalen met de telefoon ook uw fysieke betaalpas en pincode beschikbaar hebt.
• Houd een tweede betaalmogelijkheid aan als dat binnen uw budget past.
• Bewaar het geadviseerde noodbedrag veilig thuis en gebruik het niet als dagelijkse portemonnee.
• Kijk bij een storing alleen in de eigen app, op de officiële website of het bekende telefoonnummer van uw aanbieder.
• Controleer na een mislukte betaling eerst of het bedrag is afgeschreven voordat u opnieuw betaalt, en noteer tijd en bedrag als u later moet reclameren.

Wees extra terughoudend met links in mails, sms’jes of sociale media die tijdens een storing beloven uw toegang te herstellen. Operationele onrust is een bruikbaar haakje voor phishing. Een bank of toezichthouder hoeft uw pincode, inlogcode of volledige beveiligingsgegevens niet via zo’n bericht te ontvangen.

Beter toezicht, geen groen licht

De sprong van 40 naar 94 procent goedgekeurde registers laat zien dat de datakwaliteit vooruitgaat. Dat maakt de keten achter financiële dienstverlening beter zichtbaar. De openstaande procedures en het lage aantal incidentmeldingen laten tegelijk zien waarom DORA geen eenmalig vinkje is.

Voor klanten verandert donderdag niets aan de bediening van een app of betaalpas. De praktische winst zit achter de schermen: financiële ondernemingen moeten weten van welke ICT-partijen zij afhankelijk zijn en hoe zij handelen als een schakel uitvalt. Het verstandige tegenwicht thuis blijft eenvoudig: meerdere betaalopties, een bescheiden contante reserve en alleen officiële kanalen gebruiken wanneer een dienst hapert.