DORA, en de toezichthouder wil het aantoonbaar zien.
DORA geldt sinds 17 januari 2025 voor banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en andere financiële entiteiten, en DNB en AFM vragen het jaarlijks aantoonbaar: ICT-risicobeheer, incidentmelding, testen en het register van ICT-leveranciers. Als intern niemand de tijd of de ervaring heeft om dat te trekken, heb je binnen twee dagen een ervaren DORA-specialist op gesprek. Zoek je iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
Bij DORA is het moment vaak een brief of een portaal. De jaarlijkse uitvraag van het register van ICT-leveranciers, een vragenlijst van DNB of de AFM over het ICT-risicobeheer, een melding die binnen de termijn de deur uit moet, of een audit die vaststelt dat het beleid er wel is maar het bewijs niet. De AFM meldde dat in het eerste jaar 40 procent van de ingediende registers door de EBA werd goedgekeurd en in 2026 94 procent; ontbrekende velden betekenen het hele register opnieuw indienen. Dat soort werk vraagt niet om nog een adviesrapport, maar om iemand die het doet en het volgend jaar weer kan laten zien.
Wat DORA van je vraagt
De verordening is sinds 17 januari 2025 van toepassing en kent vijf pijlers: ICT-risicobeheer met een kader dat het bestuur goedkeurt, het melden van grote ICT-incidenten aan de toezichthouder, het testen van digitale weerbaarheid (voor de grotere instellingen ook dreigingsgestuurde penetratietesten), het beheersen van risico's bij ICT-derden met een register van alle contracten, en afspraken over het delen van dreigingsinformatie. DNB houdt vooral toezicht op de ICT-risicobeheersing, de AFM op het gedragstoezicht; veel instellingen hebben met beide te maken. Wat voor jouw vergunning precies geldt bepaalt de toezichthouder, niet wij; wij komen in beeld als duidelijk is wat er moet gebeuren en er niemand is die het trekt.
Wat er nu moet gebeuren
- Het register van ICT-leveranciers. Elk contract, elke dienst, elke onderaannemer, in het vaste formaat en jaarlijks opnieuw. Werk voor een third-party-risk-specialist of GRC-officer, met de inkoop- en juridische afdeling erbij.
- Het ICT-risicobeheerkader. Beleid, rollen, risicoanalyse en de goedkeuring door het bestuur, met bewijs dat het draait. Een DORA-specialist of interim CISO.
- Incidentclassificatie en meldproces. Wat is een groot incident, wie beslist dat, en hoe gaat de melding op tijd de deur uit. Een security officer of IT-risk manager, samen met het incidentteam.
- Testen. Van kwetsbaarheidsscans tot, voor wie daaronder valt, TLPT. Iemand die het programma opzet en de resultaten in het risicobeheer terugbrengt.
- Contracten met leveranciers. De verplichte bepalingen in elk ICT-contract, en de exit-strategie voor kritieke diensten. GRC en juridisch, met iemand die het bewaakt.
Wie dit trekt
In de praktijk zoeken financiële instellingen een DORA-specialist of GRC-officer die de uitvraag en het register trekt, een IT-risk manager voor het kader en de bewijsvoering, een interim CISO als het bestuur erbij moet, of een third-party-risk-specialist voor de leveranciers. Welke van die rollen het bij jou wordt hangt af van wat er al ligt; daar beginnen we mee in de intake. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: welke pijler knelt, wat de toezichthouder precies vraagt, wie deze persoon moet meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker of inhuurdesk, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een register opbouwen, een kader neerzetten of een testprogramma inrichten is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Is het werk in werkelijkheid een functie, bijvoorbeeld de IT-risk manager die ook na de uitvraag blijft, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Geldt DORA of de Cyberbeveiligingswet voor ons?
Voor banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en andere financiële entiteiten gaat DORA voor; de toezichthouder is dan DNB of de AFM. Of jouw vergunning eronder valt bepaalt de toezichthouder, niet wij. Vallen jullie niet onder DORA maar wel in een sector van de Cyberbeveiligingswet, kijk dan bij onze pagina over NIS2 en de Cbw.
Hoe snel kunnen jullie iemand leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over welke pijler van DORA knelt en wat de toezichthouder vraagt, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Zzp'er, detachering of vast: wat past bij DORA-werk?
Een register opbouwen, een kader neerzetten of een uitvraag beantwoorden is een opdracht met een kop en een staart, en dan past een zzp'er met een modelovereenkomst goed. Blijkt bij de intake dat je eigenlijk een IT-risk manager zoekt die blijft, dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een interim DORA-specialist?
Dat hangt af van de persoon en de opdracht, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. De tariefbanden van wie nu beschikbaar is staan anoniem bij de interimmers op deze site.
Het register van ICT-leveranciers is afgekeurd. Wat nu?
Dan moet het hele register opnieuw worden ingediend, want de toezichthouder accepteert geen ontbrekende velden. In de praktijk zit het probleem in de volledigheid: onderaannemers, contractgegevens en de koppeling aan kritieke functies. Een third-party-risk-specialist of GRC-officer die dit al eerder deed, haalt dat in weken op orde en zet het zo neer dat de uitvraag van volgend jaar geen project meer is.
Moeten wij dreigingsgestuurde penetratietesten (TLPT) laten doen?
Dat geldt alleen voor de instellingen die de toezichthouder daarvoor aanwijst; de meeste kleinere entiteiten volstaan met het reguliere testprogramma. Wie wel moet, heeft iemand nodig die het programma opzet, de testpartij aanstuurt en de resultaten in het risicobeheer terugbrengt. Dat is bij uitstek interimwerk.
Werken jullie ook via onze broker of inhuurdesk?
Ja. Veel financiële instellingen huren in via een broker of inhuurdesk, en daar sluiten we op aan met een marge-only-constructie: jij contracteert via je eigen kanaal, wij factureren alleen onze marge. Dat verandert niets aan wie we voorstellen.
Kan dit ook parttime, bijvoorbeeld twee dagen per week?
Ja, een deel van de interimmers in ons netwerk werkt juist op die basis voor meerdere organisaties tegelijk. Bij een parttime opdracht kan onze marge per uur hoger liggen dan bij fulltime; dat zie je vooraf, net als het tarief.
Uitvraag van de toezichthouder op de mat?
Vertel welk onderdeel van DORA knelt en per wanneer je iemand nodig hebt. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.