DORA & AI Act

DORA verplicht financiële entiteiten tot een volledig ICT-risicobeheerskader: beleid, procedures, protocollen en hulpmiddelen om ICT-risico te identificeren, te classificeren en te beheersen. Artikel 6 stelt vast dat de raad van bestuur eindverantwoordelijkheid draagt. Artikel 8 verplicht tot continue monitoring van ICT-kwetsbaarheden. Artikel 16 vereist dat kleinere entiteiten een vereenvoudigd maar aantoonbaar risicobeheerskader hanteren.

AI Act Artikel 9 verplicht aanbieders van hoog-risico AI-systemen tot een risicomanagementproces dat gedurende de gehele levenscyclus van het systeem wordt bijgehouden. Dit risicomanagement omvat identificatie, analyse en mitigatie van risico's voor gezondheid, veiligheid en grondrechten. Voor financiële instellingen die AI-systemen inzetten voor kredietverlening, fraudedetectie of vermogensbeheer, zijn beide kaders van toepassing op hetzelfde systeem. Het risicomanagementproces van Art. 9 AI Act en het ICT-risicobeheerskader van DORA moeten op elkaar aansluiten — of, beter nog, worden geïntegreerd in één samenhangend framework.

DORA Artikel 19 verplicht financiële entiteiten tot het classificeren en rapporteren van grote ICT-gerelateerde incidenten. De classificatie vindt plaats aan de hand van criteria zoals de duur van de verstoring, het aantal getroffen cliënten, de financiële impact en de reputatieschade. Grote incidenten moeten worden gemeld aan de bevoegde toezichthouder — in Nederland DNB voor banken en verzekeraars — met een initiële melding binnen 4 uur, een tussenbericht binnen 72 uur en een eindrapport binnen een maand.

AI Act Artikel 62 introduceert een vergelijkbare maar bredere meldplicht: aanbieders van hoog-risico AI-systemen moeten ernstige incidenten — waarbij het AI-systeem een risico vormt voor leven, veiligheid of grondrechten — melden aan de markttoezichthouder. Voor financiële AI-systemen die als hoog-risico worden geclassificeerd, kan een AI-incident tegelijkertijd een ICT-incident zijn. Denk aan een defect fraudedetectiesysteem dat legitieme klantbetalingen blokkeert of een kredietscoringsmodel dat onjuiste beslissingen neemt door een data-anomalie. Zulke incidenten activeren meldverplichtingen onder beide verordeningen gelijktijdig, met verschillende tijdvensters en verschillende ontvangers.

DORA besteedt bijzondere aandacht aan uitbesteding en het gebruik van derde aanbieders van ICT-diensten. Artikel 28 verplicht financiële entiteiten tot een strategie voor het beheer van ICT-risico's van derde aanbieders. Artikel 29 stelt eisen aan het due diligence-proces. Artikel 30 bevat een uitgebreide lijst van verplichte contractbepalingen: het recht op audittogang, verwerkingslocaties, serviceniveaus, beschikbaarheid van data, exitstrategieën en — cruciaal — beschikbaarheid van informatie over de ICT-beveiliging van de aanbieder.

Wanneer een financiële instelling een AI-systeem betrekt van een externe aanbieder — een cloud-gebaseerd kredietscoringsmodel, een SaaS-fraudedetectieplatform, een AI-gedreven vermogensbeheermodule — dan is die aanbieder tegelijkertijd een ICT-derde partij onder DORA en een aanbieder van hoog-risico AI onder de AI Act. De AI Act legt aanbieders verplichtingen op rond technische documentatie, EU-conformiteitsbeoordeling, CE-markering en post-market monitoring. Financiële instellingen die deployer zijn, moeten zich ervan vergewissen dat hun AI-leveranciers aan deze AI Act-vereisten voldoen — naast de DORA-contractvereisten. Dit betekent in de praktijk: de DORA due diligence-checklist voor ICT-leveranciers uitbreiden met AI Act-specifieke vragen over technisch dossier, conformiteitsverklaring en incidentmelding.

DORA schrijft uitgebreide testprogramma's voor. Artikel 24 verplicht financiële entiteiten tot jaarlijkse basisweerbaarheidstests (vulnerability assessments, penetratietests op basis van open bronnen). Artikel 26 verplicht de meest systeemkritische instellingen tot Threat-Led Penetration Tests (TLPT) elke drie jaar. TLPT zijn gestandaardiseerde, door toezichthouders gevalideerde cyberaanvalssimulaties op live productiesystemen, uitgevoerd op basis van het TIBER-EU-raamwerk.

AI Act Artikel 9 verplicht aanbieders van hoog-risico AI-systemen tot gestructureerd testen gedurende de gehele ontwikkeling en inzet: testen om te bevestigen dat het systeem functioneert als ontworpen, dat risico's adequaat zijn gemitigeerd en dat het systeem consistent presteert voor alle relevante gebruikerspopulaties. Dit omvat ook het testen op ongewenste uitkomsten, systematische fouten en bias. Voor financiële AI-systemen — kredietscoringsmodellen, fraudedetectie-algoritmen — geldt dat DORA-tests (technische weerbaarheid tegen aanvallen) en AI Act-tests (functionele betrouwbaarheid en billijkheid) beide verplicht zijn op hetzelfde systeem. Ze raken niet aan dezelfde risico's, maar beide testprogramma's dienen gecoördineerd te worden om overlap in testomgevingen, testdata en testmomenten te benutten.

DORA Artikel 5 legt de eindverantwoordelijkheid voor ICT-risicobeheer expliciet bij het leidinggevend orgaan van de financiële entiteit. De raad van bestuur of raad van commissarissen moet het ICT-risicobeheerskader goedkeuren, voldoende middelen beschikbaar stellen, specifieke taken definiëren en een cultuur van digitale weerbaarheid bevorderen. Dit is geen delegeerbare verantwoordelijkheid: toezichthouders kijken bij een incident naar het bestuursniveau.

AI Act Artikel 26 definieert de verplichtingen van deployers — de organisaties die hoog-risico AI-systemen inzetten. Deployers moeten menselijk toezicht organiseren, de geschiktheid van het systeem voor de beoogde toepassing beoordelen, het systeem controleren op anomalieën en — bij publieke lichamen — een FRIA (Fundamental Rights Impact Assessment) uitvoeren. De governance-vereisten van beide verordeningen richten zich op hetzelfde bestuursniveau. In de praktijk betekent dit dat financiële instellingen de verantwoordelijkheid voor DORA-compliance en AI Act-compliance op boardniveau moeten integreren. Een apart DORA-governance-comité zonder AI Act-mandaat, of vice versa, creëert blinde vlekken.