DORA-contracten met ICT-dienstverleners in Cyprus: checklist artikel 30

Bepaal de gereguleerde entiteit, ICT-dienst en ondersteunde functie

Begin bij de rechtspersoon die de dienst koopt. DORA geldt voor de financiële entiteiten van artikel 2, onder de daarin opgenomen uitzonderingen en evenredigheidsregels. Een Cypriotische beleggingsonderneming, fondsbeheerder of andere gereguleerde onderneming moet haar eigen categorie toetsen; de positie van een zustermaatschappij gaat niet automatisch over. De contractbeoordeling betreft ICT-diensten van een derde ICT-dienstverlener. Een juridisch adviseur die intern software gebruikt, is daarmee niet vanzelf een ICT-leverancier van de financiële entiteit. Leg de directe leverancier, contractspartij, interne diensteigenaar en het werkelijke operationele gebruik vast voordat een bestelling als wel of niet DORA-relevant wordt ingedeeld.

Breng de bedrijfsfunctie in kaart die van de dienst afhankelijk is, niet alleen de technologische naam. Wat gebeurt er als een betaalpoort, handelsplatform, cloudomgeving, identiteitsdienst of back-upsysteem uitvalt, wordt gewijzigd of onbereikbaar wordt? DORA noemt een functie kritiek of belangrijk wanneer verstoring de financiële prestaties, continuïteit van diensten en activiteiten of voortdurende naleving van vergunningvoorwaarden en financiële verplichtingen wezenlijk zou aantasten. Ook een goedkope licentie kan een gereguleerde kerntaak dragen. Documenteer de functie, het uitvalscenario, alternatieve capaciteit, afhankelijkheden en de gemotiveerde indeling. Onderzoek daarbij ook de gevolgen voor klanten en groepsmaatschappijen.

De indeling stuurt de diepgang van het contract, de risicoanalyse vóór contractsluiting en het exitplan. Kopieer niet zonder nadenken dezelfde uitgebreide bijlage naar elke kleine overeenkomst als de afspraken in de praktijk niet uitvoerbaar zijn. Laat de basisclausules van artikel 30 lid 2 echter niet weg omdat een leverancier intern als niet-kritiek is aangemerkt. Ondersteunt een leverancier meer functies, beoordeel dan elke afhankelijkheid en het gecombineerde risico. Herzie de indeling wanneer gebruik, volume of groepsbereik groeit of een optioneel systeem de enige toegang voor klanten wordt. Bewaar de goedgekeurde classificatie bij het ondertekende contract en de wijzigingen.

Lees ook: gids voor NIS2-classificatie.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; CySEC-circulaire C751 van 19 januari 2026 over DORA-rapportage, registerformaat en portaal; EBA: voorbereiding op rapportage van het DORA-informatieregister

Neem de beslissing volgens artikel 28 vóór ondertekening

Artikel 28 laat de verantwoordelijkheid bij de financiële entiteit, ook wanneer zij technologie inkoopt. Voordat zij een ICT-overeenkomst sluit, moet zij onder meer beoordelen of de dienst een kritieke of belangrijke functie ondersteunt, of aan toezichtvoorwaarden is voldaan en welke risico’s ontstaan, waaronder ICT-concentratie. Zij onderzoekt de beoogde leverancier en mogelijke belangenconflicten. Dit zijn aantoonbare stappen in een besluit, geen vragenlijst die na voltooiing van de inkoop wordt opgeborgen. De contracteigenaar moet kunnen uitleggen waarom de gekozen leverancier aan de vereisten voor dienstverlening, beveiliging en herstel kan voldoen. Een ISO-certificaat is daarbij bewijs, maar geen volledige risicobeoordeling.

Kijk voor concentratie verder dan merknamen. Twee ogenschijnlijk onafhankelijke aanbieders kunnen dezelfde cloudinfrastructuur, gezamenlijke eigenaren of dezelfde kritieke onderaannemer gebruiken. Vergelijk regio’s, datacentra, bevoorrechte toegang en vervangbaarheid. Bij een kritieke of belangrijke functie en een in een derde land gevestigde leverancier verlangt artikel 29 bijzondere aandacht voor naleving van EU-gegevensbescherming en effectieve handhaving van het recht. Als onderuitbesteding is toegestaan, beoordeel dan of een lange of complexe keten uw monitoring of het effectieve toezicht door de bevoegde autoriteit belemmert. Noteer gedeelde uitvalpunten concreet in plaats van alleen twee bedrijfsnamen te vergelijken.

Een bruikbaar besluitdossier vermeldt de dienst, ondersteunde functie, classificatie, leveranciersonderzoek, beveiligingsnormen, alternatieven, concentratierisico, geplande onderuitbestedingsketen, restrisico’s en het goedkeurende orgaan. Koppel elke wezenlijke bevinding aan een contractuele maatregel of een gemotiveerde risicoacceptatie. Het leidinggevend orgaan van de entiteit blijft verantwoordelijk voor haar ICT-risicokader; een leveranciersverklaring verschuift deze plicht niet. Stel ook gebeurtenissen vast die een nieuwe beoordeling uitlokken, zoals een andere locatie, gegevensverwerking, belangrijke onderaannemer of dienstomvang. Alleen op de jaarlijkse contractdatum terugkijken kan bij snel veranderende infrastructuur te laat zijn.

Lees ook: Data Act-gids voor cloudwissel.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; Gedelegeerde Verordening (EU) 2025/532 over onderuitbesteding voor kritieke of belangrijke functies; Gedelegeerde Verordening (EU) 2024/1773 over het beleid voor ICT-diensten bij kritieke of belangrijke functies

Controleer alle basisclausules van artikel 30 lid 2

Artikel 30 lid 1 verlangt een duidelijke schriftelijke verdeling van rechten en plichten. Het volledige contract met dienstenniveauafspraken moet als één papieren of downloadbaar, duurzaam en toegankelijk document beschikbaar zijn. Lid 2 verlangt voor elke relevante ICT-overeenkomst een volledige beschrijving van functies en diensten, de toegestane onderuitbesteding van kritieke of belangrijke diensten en de voorwaarden daarvoor, en de regio’s of landen van dienstverlening en gegevensverwerking, inclusief opslag. Voorgenomen locatieveranderingen moeten vooraf worden gemeld. De formulering “elk wereldwijd datacentrum” kan de verplichte locatiebeoordeling zinloos maken. Het operationele team moet de feitelijke plaats van de dienst kunnen vaststellen.

De basisclausules beschermen beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens. Zij regelen ook toegang, herstel en teruggave van persoonsgegevens en andere gegevens in een gemakkelijk toegankelijk formaat bij insolventie, afwikkeling, bedrijfsbeëindiging of contracteinde. Verder zijn dienstenniveaubeschrijvingen en bijstand bij ICT-incidenten zonder extra kosten of tegen vooraf bepaalde kosten nodig. Toets de teruggaveclausule aan een echte migratie: formaat, tijd, authenticatie, reservekopieën en een contactpersoon die bij een leverancierscrisis bereikbaar blijft. Een recht dat pas bruikbaar wordt nadat de leverancier zijn activiteiten heeft gestaakt, biedt ondanks een correcte titel te weinig praktische bescherming.

Controleer ten slotte samenwerking met bevoegde en afwikkelingsautoriteiten, opzeggingsrechten met minimale termijnen, en de voorwaarden waaronder de leverancier deelneemt aan bewustwording over ICT-beveiliging en opleiding in digitale weerbaarheid. Deze bepalingen moeten samengaan met vergoedings-, aansprakelijkheids- en geheimhoudingsclausules. Een brede geheimhoudingsplicht mag rechtmatige samenwerking met toezichthouders niet blokkeren. Een open prijzenlijst voor hulp bij incidenten voldoet niet aan het vereiste van kosteloze of vooraf vastgelegde hulp. Lees de ondertekende bestelling, raamovereenkomst, bijlagen en ingelaste beleidsregels als één geheel. Los tegenstrijdigheden tussen deze stukken op voordat het contract wordt goedgekeurd.

Lees ook: gids voor AVG-datalekken.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30

Voeg artikel 30 lid 3 toe voor kritieke of belangrijke functies

Ondersteunt de ICT-dienst een kritieke of belangrijke functie, dan is een algemene belofte van beschikbaarheid onvoldoende. Artikel 30 lid 3 vraagt nauwkeurige kwantitatieve en kwalitatieve prestatiedoelen, met actualisering en herziening zodat de entiteit prestaties kan volgen en tijdig herstel kan eisen. Definieer maatstaf, meetperiode, uitzonderingen, gegevensbron, grenswaarde en eigenaar van escalatie. Een toezegging van 99,9 procent beschikbaarheid zonder meetregel kan een storing tijdens het handelsvenster verhullen. Stem doelen af op de betrokken functie en de aannames van de eigen continuïteitsplanning. Bekijk naast jaarcijfers ook de uren waarop een storing de meeste schade veroorzaakt.

Het uitgebreidere contract moet voorafgaande kennisgeving en rapportage bevatten over ontwikkelingen die de levering wezenlijk kunnen raken. Het verlangt dat de leverancier noodplannen uitvoert en test en passende ICT-beveiligingsmaatregelen toepast. Ook zijn deelname en volledige samenwerking bij dreigingsgestuurde penetratietests vereist voor zover die van toepassing zijn. Dit vraagt een werkprotocol: wie meldt wat, welke informatie wordt geleverd, hoe wordt bewijs beschermd, wie keurt tests goed en hoe wordt een zwakte hersteld? Alleen beloven “naar commercieel redelijk inzicht mee te werken” kan te onbepaald zijn wanneer een gereguleerde functie op het spel staat.

Neem voortdurende monitoring en de rechten op toegang, inspectie en audit van artikel 30 lid 3 onder e op voor de entiteit of aangewezen derden en de bevoegde autoriteit, inclusief samenwerking tijdens inspecties. De bepaling kent een specifieke afwijking voor micro-ondernemingen bij het delegeren van eigen auditrechten aan een onafhankelijke derde; toets of zij werkelijk van toepassing is. Daarnaast verlangt lid 3 een exitstrategie met een toereikende verplichte overgangsperiode, waarin de leverancier blijft leveren terwijl migratie naar een ander of intern systeem plaatsvindt. Controleer of aansprakelijkheidsplafonds, uitstapkosten of intellectuele-eigendomsbeperkingen die rechten feitelijk uithollen. Bepalend is de ondersteunde functie, niet de afzonderlijke formele aanwijzing van de leverancier als kritisch.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; Gedelegeerde Verordening (EU) 2024/1773 over het beleid voor ICT-diensten bij kritieke of belangrijke functies

Beheers de onderuitbestedingsketen in plaats van blanco toestemming

Artikel 30 verlangt duidelijkheid of een ICT-dienst voor een kritieke of belangrijke functie, of een wezenlijk deel daarvan, mag worden onderuitbesteed en onder welke voorwaarden. Vraag welke taak iedere onderaannemer uitvoert, waar hij en de relevante gegevens zich bevinden en welke toegang hij krijgt. Onbeperkte toestemming voor elke toekomstige groepsmaatschappij of onderleverancier verhindert een afweging van concentratie, beveiliging, toezicht en exit. Een vaste lijst zonder kennisgeving bij veranderingen wordt daarentegen snel onjuist. Spreek een goedkeurings- of bezwaarprocedure af en welke informatie een werkelijke beslissing mogelijk maakt. De directe contractspartner blijft aanspreekbaar op zijn eigen beloften.

Gedelegeerde Verordening (EU) 2025/532 werkt normen uit voor onderuitbesteding van ICT-diensten die kritieke of belangrijke functies ondersteunen. De financiële entiteit beoordeelt dienst en leverancier voordat zij onderuitbesteding toestaat en toetst of het contract monitoring en reactie op wijzigingen praktisch mogelijk maakt. Vereisten voor beveiliging, continuïteit, prestaties, melding en toegang moeten in de relevante schakels van de keten doorwerken. Een hoofdaanbieder kan geen betrouwbaar recht toezeggen dat zijn volgende contractlaag weigert. Onderzoek derde-landlocaties en insolventierisico waar relevant. Leg de werkelijke keten vast; een algemene webpagina met “subprocessors” bewijst niet zonder meer de vereiste operationele weerbaarheid.

Richt een proces in voor nieuwe onderaannemers of wezenlijke taakwijzigingen: ontvanger van bericht, beoordelingstermijn, opvraagbaar bewijs en escalatie van restrisico. Laat bezwaar- en opzeggingsrechten aansluiten op de technische mogelijkheid tot migratie. Als de leverancier een belangrijke afhankelijkheid niet wil onthullen, documenteer de beperking en beslis of de dienst rechtmatig en veilig bruikbaar is. Wanneer persoonsgegevens worden verwerkt kan daarnaast toestemming voor subverwerkers onder de AVG nodig zijn. AVG en DORA beantwoorden verschillende vragen; één subprocessorclausule voldoet niet automatisch aan beide stelsels. Controleer zorgvuldig hoe de raamovereenkomst wijzigingen en kennisgevingen laat doorwerken.

Lees ook: gids voor de Cyber Resilience Act.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; Gedelegeerde Verordening (EU) 2025/532 over onderuitbesteding voor kritieke of belangrijke functies; Verordening (EU) 2016/679, AVG, artikel 28 en hoofdstuk V

Laat het ICT-register aansluiten op ondertekende contracten

Artikel 28 lid 3 verlangt een actueel informatieregister van alle contractuele regelingen voor ICT-diensten van derde ICT-dienstverleners, op entiteits-, subconsolidatie- en consolidatieniveau voor zover toepasselijk. Het register is niet beperkt tot kritieke functies. De entiteit meldt haar bevoegde autoriteit ook tijdig een geplande overeenkomst die een kritieke of belangrijke functie ondersteunt, of een functie die later zo wordt geclassificeerd. Registerregel, getekend contract, leveranciersnaam, dienst, functie en groepsstructuur moeten overeenkomen. Verwerk wijzigingen en beëindigingen. Uitvoeringsverordening (EU) 2024/2956 schrijft de templates voor; een willekeurig intern spreadsheet is daarvoor geen vervanging.

CySEC-circulaire C751 van 19 januari 2026 bevestigt voor de daarin genoemde gereguleerde entiteiten een jaarlijkse indiening uiterlijk 28 februari met 31 december als peildatum. De eerdere werkwijze “Build in Excel” is stopgezet. Volgens C751 wordt het register als XBRL-CSV met compatibele software en volgens de EBA-regels gemaakt, als ZIP gecomprimeerd en via het CySEC XBRL Portal ingediend. Gebruik de uitzonderlijke termijn van de eerste rapportage in 2025 niet voor latere jaren en verwacht niet dat een gewoon spreadsheet wordt aanvaard. Controleer recente instructies voor uw sector en rapportagejaar. Inkoop, risicobeheer en IT hebben één consistente bron nodig.

Vergelijk het register regelmatig met crediteurenadministratie, inkoopgoedkeuringen, cloudaccounts en het contractarchief. Los verschillen op: een nieuw SaaS-account kan een ICT-regeling zijn ook als geen raamcontract werd opgeslagen; een oude leverancier kan na migratie ten onrechte blijven staan. Uit openbaar EBA-materiaal blijkt dat de registergegevens dienen voor toezicht en de identificatie van kritieke ICT-dienstverleners. Wijs iemand aan voor kwaliteit van identificatienummers en koppeling van groepsentiteiten. Laat het contractdossier naar de registerregel verwijzen en het register naar de relevante ondertekende stukken. Een verouderde export vlak voor de indiening is moeilijk te verdedigen.

Lees ook: AVG-gids voor datalekmelding.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; Uitvoeringsverordening (EU) 2024/2956 met templates voor het informatieregister; CySEC-circulaire C751 van 19 januari 2026 over DORA-rapportage, registerformaat en portaal; EBA: voorbereiding op rapportage van het DORA-informatieregister

Test exit, gegevensteruggave en samenlopende rechtsregels

Een exitclausule moet een praktische vraag beantwoorden: kan de financiële entiteit de gereguleerde functie voortzetten als de leverancier verzwakt, uitvalt of verlenging weigert? Benoem gebeurtenissen, beslisser, opzegging, verplichte overgangsdienst, gegevensformaat, exportmethode, bijstandskosten en doelomgeving. Voor een kritieke functie verdient een oefening met de werkelijke contracttermijnen en technische afhankelijkheden aanbeveling. Een recht op onmiddellijke beëindiging kan averechts werken als de enige bruikbare gegevenskopie nog bij de leverancier staat. Omgekeerd kan een lange opzegtermijn zonder risicogerelateerd uitstaprecht de entiteit na ernstige beveiligingsfouten gevangen houden.

Artikel 28 lid 7 noemt beëindigingsscenario’s zoals wezenlijke contractbreuk, omstandigheden die de levering kunnen veranderen, zwakke punten in ICT-risicobeheer en onvermogen van de bevoegde autoriteit om effectief toezicht te houden. Contractuele rechtsmiddelen moeten optreden in die gevallen mogelijk maken. Controleer of bronmateriaal, configuratie, toegangsgegevens en documentatie beschikbaar komen en of een vervanger de export daadwerkelijk kan lezen. Plan reservekopieën en verwijdering afzonderlijk: snel herstel kan nodig zijn voor continuïteit terwijl persoonsgegevens rechtmatig moeten worden beheerd. Test een mislukte export voordat u beweert dat het exitplan operationeel is.

DORA vervangt de AVG niet. Verwerkt de leverancier persoonsgegevens in opdracht, dan vraagt artikel 28 AVG eigen afspraken over onderwerp, doeleinden, beveiliging, subverwerkers en teruggave of verwijdering. Gaan gegevens buiten de EER, beoordeel dan afzonderlijk het doorgiftemechanisme en eventuele aanvullende waarborgen. Sectorale uitbestedingsregels en geheimhouding kunnen verdere voorwaarden stellen. Maak een clausulematrix die iedere verplichting aan een concrete contractbepaling koppelt. Het opschrift “DORA-bijlage” herstelt geen tegenstrijdigheid in de raamovereenkomst. Registreer open punten, verantwoordelijke persoon en hersteldatum voordat de dienst voor een gereguleerde taak onmisbaar wordt.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; Verordening (EU) 2016/679, AVG, artikel 28 en hoofdstuk V; Gedelegeerde Verordening (EU) 2024/1773 over het beleid voor ICT-diensten bij kritieke of belangrijke functies

Voer de contracttoets uit in de volgorde van het risico

Inventariseer eerst de werkelijke ICT-dienst en betrokken rechtspersonen, classificeer elke ondersteunde functie en voltooi de beoordeling vóór contractsluiting van artikel 28. Markeer daarna het contract tegen artikel 30 lid 2 en, bij een kritieke of belangrijke functie, ook tegen lid 3 en toepasselijke technische normen. Controleer vervolgens met het dienstteam of operationele beloften kloppen: locatielijst, gemeten dienstenniveaus, contactpersonen bij incidenten, auditbewijs en exportmethode. Een juridische afvinkregel mag pas worden goedgekeurd wanneer degenen die het recht bij een incident moeten gebruiken, de praktische werkwijze hebben bevestigd.

Breng ten vierde de definitieve getekende stukken in overeenstemming met het informatieregister en actuele CySEC-instructies. Plan ten vijfde periodieke monitoring en herbeoordeling na gebeurtenissen: een nieuwe onderaannemer, verhuizing, storing, wezenlijke dienstwijziging of bevinding van de toezichthouder opent het relevante onderdeel opnieuw. Houd een gedateerde clausulematrix bij met document en paragraafnummer, verantwoordelijke en goedgekeurde afwijking. Zo ontstaat een toetsbaar spoor voor toezicht en hoeft tijdens een incident niet het hele contract te worden gereconstrueerd. Noteer daarnaast welk team een recht daadwerkelijk kan uitoefenen en waar het bewijs ligt.

Simuleer tot slot drie telefoontjes: een bedrijfsstoring, een toezichtsverzoek om toegang en een leveranciers-exit. Kan de entiteit de verantwoordelijke aanwijzen, bewijs ontvangen, instructies geven en de noodzakelijke gegevens binnen de contracttermijn terugkrijgen? Als een antwoord alleen van de goodwill van de leverancier afhangt in plaats van een afdwingbaar en bruikbaar recht, wijzig dan het contract of de dienstarchitectuur. Controleer primaire wetgeving en nieuwe CySEC-berichten opnieuw voordat een template wordt vastgesteld: gedelegeerde normen en rapportageformaten kunnen na de oorspronkelijke DORA-verordening veranderen. De overstap naar XBRL-CSV in 2026 illustreert dat concreet.

Lees ook: gids voor cloudwisselcontracten.

Grondslag en toelichting: Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30; CySEC-circulaire C751 van 19 januari 2026 over DORA-rapportage, registerformaat en portaal; Gedelegeerde Verordening (EU) 2025/532 over onderuitbesteding voor kritieke of belangrijke functies; Uitvoeringsverordening (EU) 2024/2956 met templates voor het informatieregister

Primaire bronnen en toepassingsgebied

Bronnen gecontroleerd: 7 oktober 2026. Deze gids betreft de Republiek Cyprus. Voorbeelden zijn hypothetisch en geen klantendossiers. Controleer de actuele officiële vereisten voordat u een aanvraag indient.

• Verordening (EU) 2022/2554, DORA, artikelen 2 en 28–30
• Gedelegeerde Verordening (EU) 2025/532 over onderuitbesteding voor kritieke of belangrijke functies
• Gedelegeerde Verordening (EU) 2024/1773 over het beleid voor ICT-diensten bij kritieke of belangrijke functies
• Uitvoeringsverordening (EU) 2024/2956 met templates voor het informatieregister
• CySEC-circulaire C751 van 19 januari 2026 over DORA-rapportage, registerformaat en portaal
• EBA: voorbereiding op rapportage van het DORA-informatieregister
• Verordening (EU) 2016/679, AVG, artikel 28 en hoofdstuk V