DORA Pentest Nederland: Verplichtingen voor Penetratietesten op grond van Art. 24 en 26
Vanaf 17 januari 2025 is de Digital Operational Resilience Act (DORA, Verordening (EU) 2022/2554) rechtstreeks van toepassing in alle lidstaten van de Europese Unie. Artikel 24 verplicht financiële instellingen tot het regelmatig uitvoeren van penetratietesten op hun ICT-systemen; artikel 26 legt systeemrelevante instellingen aanvullende Threat-Led Penetration Tests (TLPT) op. In Nederland oefenen De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) een centrale toezichtsrol uit bij de handhaving van deze verplichtingen. Deze gids legt uit welke instellingen binnen het toepassingsgebied vallen, wat de verordening concreet vereist en welke aanpak aan de regelgevende eisen voldoet.
Waarom DORA penetratietesten een wettelijke verplichting maakt
DORA is geen best-practice richtlijn, maar een rechtstreeks werkende Europese verordening. Anders dan de vroegere EBA-richtsnoeren inzake ICT-risico's (EBA/GL/2019/04) heeft DORA bindende rechtskracht: DNB en AFM kunnen sancties en herstelmaatregelen opleggen op grond van art. 50 DORA en het Nederlandse recht, en kunnen bestuurders aanspreken. Artikel 24, lid 1 van DORA vereist een gedegen en volledig programma voor het testen van de digitale operationele weerbaarheid. Artikel 25 noemt de soorten testen, waaronder kwetsbaarheidsbeoordelingen en -scans en penetratietesten. Artikel 24, lid 6 vereist ten minste jaarlijks passende testen van alle ICT-systemen en -toepassingen die kritieke of belangrijke functies ondersteunen. Voor geselecteerde instellingen voegt art. 26 DORA daar TLPT aan toe (Threat-Led Penetration Testing, referentie TIBER-EU / TIBER-NL). Art. 27 regelt de eisen aan TLPT-testers.
- DORA Art. 24 en 25: verplichting tot een programma voor ICT-beveiligingstesten dat, afhankelijk van het risico, penetratietesten omvat, voor financiële entiteiten als bedoeld in Art. 2 DORA, kredietinstellingen, beleggingsondernemingen, verzekeraars, betalingsinstellingen, aanbieders van cryptoactivadiensten (MiCA), ratingbureaus, centrale effectenbewaarinstellingen.
- DORA Art. 26 §1: TLPT-verplichting voor systeemrelevante instellingen — ten minste elke drie jaar een volledige op dreigingsinformatie gebaseerde penetratietest, uitgevoerd door een erkende aanbieder, gecoördineerd met de bevoegde autoriteit (DNB / AFM).
- DORA Art. 24 §4 en §5: testen worden uitgevoerd door onafhankelijke partijen, intern of extern. Interne testers hebben voldoende middelen nodig en mogen geen belangenconflict hebben. De instelling heeft procedures om alle gevonden problemen te prioriteren, te classificeren en te verhelpen, en valideert intern dat alle zwakke plekken volledig zijn verholpen.
- RTS DORA (Gedelegeerde Verordening (EU) 2024/1774): de technische reguleringsnormen specificeren de minimale vereisten voor ICT-beveiligingstesten — minimale dekking, frequentie, rapportageverplichtingen.
- TIBER-NL (DNB-kader): de Nederlandse implementatie van het TIBER-EU-referentiekader, dat accrediteringscriteria voor Red Team-aanbieders op de Nederlandse markt vastlegt en coördinatieprocedures met DNB definieert; Nederland is een van de vroegste adoptors van TIBER-EU in Europa, met ervaringen daterend van 2019.
- Persoonlijke aansprakelijkheid van bestuurders (Art. 5 DORA): de raad van bestuur en de directie zijn rechtstreeks verantwoordelijk voor de digitale operationele veerkracht — het ontbreken van bewijsstukken van penetratietesten vormt een direct governancerisico.
- Grensoverschrijdende coördinatie (Art. 26 §8 DORA): voor instellingen die in meerdere lidstaten actief zijn, coördineert de ECB gemeenschappelijke TLPT-testen — het TIBER-EU-kader definieert het van toepassing zijnde referentiekader.
Wat moet een DORA-conform penetratietest omvatten
- ICT-systemen van essentiële functies (Art. 24 §6 DORA): kern-banksystemen, betaal-API's, handelsplatformen, klantengegevensopslagplaatsen, een volledig inventaris van activa als voorwaarde.
- Authenticatie en toegangsbeheer: MFA-implementaties (PSD2 SCA-vereisten), OAuth2/OIDC-stromen, beheer van bevoorrechte toegang (PAM), machtigingen van serviceaccounts.
- API-beveiliging conform OWASP API Top 10 (2023): API1 Broken Object Level Authorization, API2 Broken Authentication, API3 Broken Property Level Authorization — in het bijzonder kritiek voor Open Banking-API's (PSD2, Berlin Group NextGenPSD2).
- Netwerksegmentatie en firewallconfiguratie: scheiding van ICT-omgevingen (productie / test / ontwikkeling), laterale verplaatsing tussen segmenten, isolatie van het SWIFT-netwerk (SWIFT CSP CSCF v2024).
- Versleuteling van gegevens in rust en in transit: TLS 1.3 (RFC 8446), HSM-integratie voor cryptografisch materiaal, verouderde cipher suites (CVE-2016-2107 POODLE, CVE-2023-0215 OpenSSL), CVE-2022-0778 (oneindige lus OpenSSL).
- ICT-afhankelijkheden van derden (Art. 28 DORA): SaaS-componenten, cloudinfrastructuurleveranciers, betalingsverwerkers — supply chain-risico's, bekende CVE's in bibliotheken van derden.
- Bedrijfscontinuïteit en herstel na incidenten: testen van de mogelijkheid van een aanvaller om back-upprocessen te compromitteren; ransomware-simulatie op back-upsystemen; verificatie van hersteltijden.
- Social engineering- en phishingsimulaties (voor meer uitgebreide TLPT-opdrachten): personeelsbewustzijn, technische detectiecontroles voor phishing, responstijden van het incident response-team.
- Cloudinfrastructuur (risico's van derden Art. 28 DORA): IAM-misconfiguaties in AWS/Azure/GCP, S3 Bucket-machtigingen, blootgestelde opslagaccounts, onveilige serverloze functies.
- Logging en monitoring (Art. 10 DORA): verificatie dat aanvalsactiviteiten worden gedetecteerd door SIEM/SOAR — het principe 'detecteer wat wij doen' als DORA-bewijs.
Voorbeeldbevinding
Onveilige OAuth2-stroom op Open Banking API-gateway (FAPI-overtreding)
De Open Banking API-gateway implementeert de OAuth2 Authorization Code-stroom zonder PKCE (Proof Key for Code Exchange, RFC 7636). Een aanvaller in een man-in-the-middle-positie kan de autorisatiecode onderscheppen via de redirect-URL van de browser en deze inwisselen voor een toegangstoken zonder de code_verifier te bezitten. Bovendien valideert de gateway de 'state'-parameter niet, waardoor een Cross-Site Request Forgery-aanval mogelijk is tijdens OAuth-initialisatie. De gateway verwerkt meer dan 50.000 PSD2-transacties per dag; een gecompromitteerd token geeft volledige leestoegang tot rekeninggegevens en geinitieerde betalingen. CVE-2022-21449 (ECDSA 'Psychic Signatures' in Java) toont aan hoe onvolledige cryptografische validatie in financiële API-contexten tot catastrofale autorisatie-omzeiling kan leiden.
Oplossing: Implementeer PKCE (RFC 7636) als verplichte vereiste voor alle OAuth2-stromen (inclusief server-side, als verdediging in de diepte). Valideer de 'state'-parameter bij elk autorisatieverzoek. Migreer naar het Financial-grade API-beveiligingsprofiel (FAPI 2.0, OpenID Foundation) als best practice voor Open Banking. Roteer tokens na elk gebruik, handhaaf korte geldigheid van toegangstokens (maximaal 5 minuten), vernieuwingstokens alleen met rotatie. Documenteer het herstel en valideer het intern conform DORA Art. 24 §5.
Referentie: CVE-2022-21449 (ECDSA Psychic Signatures, Java) · OWASP API2:2023 Broken Authentication · RFC 7636 PKCE · DORA Art. 24 §2 · PSD2 RTS inzake SCA (EU) 2018/389 Art. 9
DORA pentest: vergelijking van opties
| — | Gratis scan | Matproof Sentinel | Traditionele consultancy |
|---|---|---|---|
| Geautomatiseerde scan-engine | ✓ (3-min preview) | ✓ Volledige scan | ✗ Alleen handmatig |
| OWASP Top 10 dekking | Gedeeltelijk | ✓ Volledig | ✓ Volledig |
| Proof-of-exploit bewijs | ✗ | ✓ Bevestigde bevindingen (request/response) | ✓ Per bevinding |
| Regulatorische mapping (DORA/NIS2/ISO 27001) | ✗ | ✓ Geautomatiseerd | ✓ Handmatig |
| Audit-geschikt PDF-rapport | ✗ | ✓ Direct | ✓ 2–4 weken levertijd |
| Continue / terugkerende scans | ✗ | ✓ Per deploy | ✗ Jaarlijkse opdracht |
| Tijd tot eerste resultaat | ~3 min | ~30 min volledige scan | 2–4 weken |
| Prijs | €0 | Vanaf €149 | €8.000–€25.000 |
| Broncode-review (SAST) | ✗ | ✓ Growth-plan | ✓ In scope |
| API-tests (REST/GraphQL) | ✗ | ✓ Geautomatiseerd | ✓ Handmatig |
DORA-conforme pentestaanbiedingen
- 1 volledige penetratietest-scan
- AI-geprioriteerde bevindingen met CVSS 3.1
- Opnieuw geteste bevindingen met request/response als bewijs
- PDF-rapport (geschikt voor audit)
- Regulatorische mapping (DORA, NIS2, ISO 27001)
- 3 volledige Sentinel-pentests per maand
- Continue monitoring
- CI/CD-integratie (GitHub, GitLab)
- Alle regulatorische mappings
- Prioriteitsondersteuning
- 10 Sentinel-pentests per maand
- Extra scans voor €149 per stuk
- Alle 10 agents, inclusief Cloud (Prowler) en Mobile (MobSF)
- Doorlopende schema's: per uur, per dag of per week
- Geauthenticeerd scannen (sessiecookies, bearer-tokens)
- Webhook-levering en prioriteitsondersteuning
Veelgestelde vragen over DORA penetratietesten in Nederland
Welke instellingen zijn in Nederland onderworpen aan de DORA Art. 24 penetratietestplicht?
Art. 2 DORA definieert het toepassingsgebied: kredietinstellingen, betalingsinstellingen, elektronischgeldinstellingen, beleggingsondernemingen, verzekeringsondernemingen, ratingbureaus, transactieregisters, handelsplatformen, aanbieders van cryptoactivadiensten (MiCA), rapportagediensten en kritieke ICT-derde-aanbieders. In Nederland houdt DNB toezicht op kredietinstellingen en betalingsinstellingen; AFM op beleggingsondernemingen. Kleine ondernemingen (Art. 3 DORA) vallen onder vereenvoudigde vereisten, maar het beginsel van regelmatige technische testen geldt ook voor hen.
Wat is het verschil tussen de DORA Art. 24 pentest en het Art. 26 TLPT?
Art. 24 schrijft algemene penetratietesten voor voor alle betrokken financiële entiteiten, frequentie, reikwijdte en diepte zijn risicogebaseerd, maar er moet een gedocumenteerd penetratietestraport bestaan. Art. 26 TLPT is een aanvullende vereiste uitsluitend voor 'significante' instellingen (systeemrelevante banken, grote verzekeraars): ten minste elke drie jaar een volledige Red Team-test waarbij een erkende aanbieder zijn methodiek baseert op een echte dreigingsanalyse en zonder voorafgaande kennisgeving aanvalt. Een TLPT kost doorgaans tussen de 80.000 en 250.000 euro; een standaard DORA-pentest wordt vaak uitgevoerd door een gespecialiseerde aanbieder (8.000 tot 25.000 euro); een AI-pentestplatform zoals Matproof Sentinel ondersteunt het testprogramma tussen die pentests.
Hoe vaak moet een DORA pentest worden uitgevoerd?
Art. 24 §6 DORA vereist ten minste jaarlijks passende testen van alle ICT-systemen en -toepassingen die kritieke of belangrijke functies ondersteunen. Na substantiële wijzigingen is een nieuwe test gebruikelijk. TLPT onder Art. 26 geldt alleen voor geselecteerde instellingen, doorgaans ten minste elke drie jaar. Aanbeveling: jaarlijkse volledige pentest plus continue scanning (via Matproof Sentinel) na elke grote release.
Wat moet een DORA pentestrapport bevatten?
Art. 24 §5 DORA vereist procedures om alle gevonden problemen te prioriteren, te classificeren en te verhelpen, en een interne validatie dat alle zwakke plekken volledig zijn verholpen. In de praktijk ondersteunt een pentestrapport dit met deze gegevens: reikwijdte (welke systemen zijn getest), methodiek, kwetsbaarheden met ernstgradering, herstelaanbevelingen en status (hersteld / in behandeling / geaccepteerd). Toetsers vragen vaak ook naar de kwalificatie van de tester en de gebruikte methodiek (PTES, OWASP Testing Guide). Het PDF-rapport van Matproof Sentinel bevat reikwijdte, methodiek, kwetsbaarheden met ernstgradering, herstelaanbevelingen en status. Elke bevinding wordt opnieuw getest. Bevestigde bevindingen bevatten het request en de response als bewijs. Niet-bevestigde bevindingen worden gemarkeerd.
Kan Matproof Sentinel de DORA Art. 26 TLPT vervangen?
Nee. TLPT onder DORA Art. 26 wordt uitgevoerd door gespecialiseerde red-team-testers die aan de eisen van Art. 27 voldoen. Matproof Sentinel is een AI-ondersteund pentestplatform. Het ondersteunt uw testprogramma onder Art. 24 en 25, TLPT-voorbereiding (gapanalyse, kwetsbaarheidsbasislijn) en continue beveiligingstesten tussen TLPT-cycli. Voor de TLPT zelf hebt u een gespecialiseerde aanbieder nodig.
Welke sancties riskeert een financiële instelling die geen DORA pentest kan aantonen?
DORA zelf noemt geen boetebedrag voor financiële entiteiten. Art. 50 DORA verplicht de lidstaten om bestuurlijke sancties en herstelmaatregelen in nationaal recht vast te leggen. In Nederland leggen DNB en AFM die op. De grens van 1% van de gemiddelde dagelijkse wereldwijde omzet in art. 35 DORA is een dwangsom voor kritieke externe ICT-dienstverleners, niet voor financiële entiteiten. Bij herhaalde of ernstige overtredingen is ook schorsing van de activiteiten mogelijk. Daarnaast zijn bestuurders persoonlijk aansprakelijk (Art. 5 DORA). In de praktijk wordt het ontbreken van bewijsstukken van penetratietesten bij prudentiële inspecties aangemerkt als significante niet-naleving, met verplichte compliancemaatregelen en verantwoording tot gevolg.
Moeten ICT-derde-aanbieders (cloud, SaaS) ook een DORA pentest uitvoeren?
Rechtstreeks: ja, indien zij zijn aangewezen als 'kritieke ICT-derde-aanbieders' op grond van Art. 31 DORA (aanwijzing door EBA/ESMA/EIOPA). In dat geval vallen zij rechtstreeks onder het DORA-toezicht. Indirect: alle andere ICT-derde-aanbieders moeten via contractuele clausules (Art. 30 DORA) aan minimale beveiligingseisen voldoen die penetratietesten kunnen omvatten. De financiële instelling moet op grond van Art. 28 DORA waarborgen dat haar kritieke derde-aanbieders adequate beveiligingstesten uitvoeren.
Hoe verhouden DORA en de Cyberbeveiligingswet (NIS2) zich tot elkaar voor Nederlandse financiële instellingen?
DORA is een sectorspecifieke bijzondere regeling voor financiële instellingen en prevaleert boven NIS2 als lex specialis. In Nederland is NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden en in het algemeen van toepassing is op essentiële en belangrijke entiteiten in kritieke sectoren, maar Art. 4 van de NIS2-richtlijn preciseert dat sectorspecifiek Europees recht (zoals DORA) prevaleert. Ondernemingen die aan zowel DORA als de Cbw zijn onderworpen, hoeven alleen aan DORA te voldoen, de toezichthouder beschouwt DORA-naleving als volledige dekking van de Cbw-vereisten.
Meer lezen — gerelateerde blogartikelen
Start uw DORA-conforme pentest
Verkrijg in 3 minuten een eerste beoordeling van uw ICT-beveiligingspositie, zonder registratie, zonder verplichtingen. De volledige Matproof Sentinel pentest levert pentestbewijs voor uw audit en ondersteunt uw programma voor het testen van digitale operationele weerbaarheid onder DORA Art. 24-25. Het is geen TLPT. Voor TLPT onder Art. 26 hebt u een gespecialiseerde red-team-aanbieder nodig die aan de eisen van Art. 27 voldoet.
Start de DORA pentest