Van 40% naar 94% goedgekeurd: waarom de AFM nu naar de data onder uw DORA-register kijkt

Veertig procent, vorig jaar. Vierennegentig procent dit jaar.

Dat is het goedkeuringspercentage van de informatieregisters die financiële ondernemingen bij de AFM indienen, en het is een opmerkelijke sprong in twaalf maanden. De AFM publiceerde het op 6 augustus in DORA-update 7.

Lees vervolgens waar haar aandacht wél naartoe gaat. Niet naar het percentage. Naar, in haar eigen woorden, de kwaliteit van het register en de onderliggende data.

Daar zit een verschil in dat de moeite waard is om uit te pakken, want het is precies het verschil waar architecten mee zitten en compliance-afdelingen zelden over horen.

Wat 94% eigenlijk meet

Een goedgekeurde indiening betekent dat het bestand door de controle kwam. Het formaat klopte, de verplichte velden waren gevuld, de referenties tussen de templates sloten op elkaar aan.

Dat is echt iets. Vorig jaar lukte dat zes van de tien ondernemingen niet, en de sprong naar 94% laat zien dat de sector het indieningsproces onder de knie heeft.

Wat het niet meet, is of wat er in de velden staat overeenkomt met wat er draait.

De AFM zegt dat ook, beleefd. “Blijf aandacht houden voor de kwaliteit van het register en de onderliggende data.” Dat is toezichthouderstaal voor: het formulier is nu in orde, we gaan naar de inhoud kijken.

En de inhoud is een architectuurvraag.

Een register is een momentopname van een bewegend doel

Kijk waar een informatieregister uit bestaat. Welke ICT-diensten u afneemt, van wie, voor welke functie, met welke onderliggende resources, in welke regio, met welke afhankelijkheden.

Voor een Azure-omgeving is dat geen lijst die stilstaat. Het is een afspiegeling van een tenant die dagelijks verandert. Een resource group erbij tijdens een sprint. Een service principal die een koppeling regelt die niemand meer een naam kan geven. Een tweede regio die is aangezet voor een test en is blijven staan.

Het register dat u in maart heeft ingediend, beschreef de omgeving van maart. De vraag van de toezichthouder gaat over de omgeving van nu.

Niemand vult dat register kwaadwillend verkeerd in. Het verouderde gewoon, op de manier waarop documentatie dat doet: niet met een fout, maar met een reeks kleine veranderingen die elk afzonderlijk te klein leken om het register voor open te trekken.

Wat de factuur vond en het register niet

Ik heb een klant gehad die geld kwijt was dat nergens op sloeg. Niet spectaculair veel, maar genoeg dat iemand uiteindelijk vroeg waar het naartoe ging.

Het antwoord was een complete omgeving, opgezet door een vorige beheerder, die in geen enkel overzicht voorkwam. Niet in de Excel. Nergens. Nooit uitgezet, nooit op kosten bekeken, gewoon maandenlang duizenden euro’s per maand aan het verstoken.

Let nu op wat dat heeft gevonden.

Niet het register. De factuur.

Dat is het hele probleem in één zin. Het register kende die omgeving niet, dus het register kon er ook niet over alarmeren. Een lijst die met de hand wordt bijgehouden weet alleen wat iemand erin heeft getypt, en wat er nooit in is getypt bestaat voor die lijst niet. Het bleef netjes kloppen met zichzelf terwijl het steeds minder klopte met de werkelijkheid.

En kosten waren daarbij nog het minst interessante. Een omgeving die niemand kent, wordt door niemand gepatcht, door niemand geback-upt en door niemand gemonitord. Onder DORA is dat in één keer een probleem met artikel 8, met de continuïteitseisen en met uw derdenafhankelijkheden, want alles wat daar draait hangt ook ergens aan vast.

Was die omgeving in het informatieregister goedgekeurd? Uiteraard. Zij stond er niet in.

Het tweede aandachtspunt zegt hetzelfde, anders

De AFM noemt er meer. Eén ervan: niet alle ondernemingen beschikken over alle verplichte beleidsstukken en procedures, of die sluiten niet volledig aan op de regelgeving.

Let op die tweede helft. Niet ontbrekend. Niet aansluitend.

Dat is dezelfde constatering als bij het register, een laag hoger. Het beleid bestaat, is ooit goed geschreven, en beschrijft inmiddels een organisatie die op onderdelen anders werkt. Ook hier is er niets misgegaan op een aanwijsbaar moment. Het beleid stond stil en de praktijk niet.

De AFM voegt er iets aan toe dat groepsstructuren raakt: groepsbeleid moet de DORA-eisen op entiteitsniveau bevatten, want de vergunninghoudende entiteit blijft eindverantwoordelijk. Wie zijn ICT-beleid van het moederbedrijf overneemt, moet dus kunnen aantonen dat het op zijn eigen omgeving van toepassing is. Dat is opnieuw een vraag over de werkelijke inrichting, niet over het document.

“Wij hebben ons register net ingediend en goedgekeurd gekregen”

Mooi. Serieus, dat is meer dan veel partijen kunnen zeggen.

De vervolgvraag is alleen niet of het is goedgekeurd, maar hoe u erachter zou komen als het niet meer klopte. Wat is het mechanisme? Wie kijkt, hoe vaak, en waartegen legt diegene het aan?

Als het antwoord is “we werken het bij voor de volgende indiening”, dan is het register een jaarlijkse reconstructie en geen weergave. Dat werkt zolang niemand er tussentijds naar vraagt.

Wat u eraan kunt doen

Er is een structurele en een praktische kant.

De structurele: haal het register uit de omgeving in plaats van uit het geheugen. Azure Resource Graph kan de tenant bevragen en teruggeven wat er werkelijk draait, per subscription, met tags, regio’s en afhankelijkheden. Dat is een query, geen project. Het verschil tussen die uitkomst en uw ingediende register is meteen uw kwaliteitsprobleem, in resources uitgedrukt.

De praktische: doe die vergelijking op een vaste cadans en leg de uitkomst vast, ook wanneer er niets veranderd blijkt. Een gedateerde vergelijking die “geen afwijkingen” zegt, is bewijs. Een register zonder vergelijkingen is een bewering.

Voor de bredere verplichting waaronder dit valt, zie DORA artikel 11 en Azure-architectuur en Microsoft als kritieke derde partij onder artikel 28.

Ik ben Platform Architecture Authority gaan bouwen omdat ik deze vergelijking te vaak met de hand heb gemaakt: de lijst aan de ene kant, wat Resource Graph zegt dat er draait aan de andere, en het gat ertussen opgeschreven zodat iemand die geen Azure leest er iets mee kon. Als dat de vergelijking is die u voor de volgende uitvraag moet maken, neem contact op.

De vraag om mee te nemen

Uw register is goedgekeurd. Dat weet u.

Als iemand vanmiddag uw tenant zou bevragen en de uitkomst naast dat register zou leggen, hoeveel regels zouden er dan verschillen?

En belangrijker: zou u dat vandaag kunnen laten zien, of zou u het eerst moeten uitzoeken?

Veelgestelde vragen

Wat staat er in DORA-update 7 van de AFM?

De AFM meldt dat het goedkeuringspercentage van de informatieregisters is gestegen van 40% in 2025 naar 94% in 2026, en vraagt aandacht voor de kwaliteit van het register en de onderliggende data. Verder noemt zij dat niet alle ondernemingen over alle verplichte beleidsstukken en procedures beschikken of dat die niet volledig aansluiten, dat het aantal ontvangen DORA-incidentmeldingen achterblijft bij de verwachting, en geeft zij verduidelijking over drempelwaarden voor verzekeringsbemiddelaars.

Betekent een goedgekeurd informatieregister dat het klopt?

Nee. Goedkeuring bevestigt dat de indiening voldeed aan de vereisten van formaat en volledigheid. Of de inhoud overeenkomt met de werkelijk draaiende omgeving is een aparte vraag, en dat is precies de vraag waar de AFM in update 7 de aandacht naartoe verlegt.

Hoe houdt u een informatieregister actueel voor een Azure-omgeving?

Door het af te leiden uit de live omgeving in plaats van het handmatig bij te werken. Azure Resource Graph geeft per subscription terug welke resources er werkelijk draaien, met tags, regio en afhankelijkheden. Door die uitkomst op een vaste cadans naast het ingediende register te leggen, wordt afwijking zichtbaar op het moment dat zij ontstaat in plaats van bij de volgende uitvraag.

Geldt groepsbeleid ook voor de dochterentiteit onder DORA?

De AFM wijst erop dat groepsbeleid de DORA-eisen op entiteitsniveau moet bevatten, omdat de vergunninghoudende entiteit eindverantwoordelijk blijft voor naleving. Beleid overnemen van de groep is dus niet voldoende zonder aan te tonen dat het op de eigen omgeving van toepassing is.

Kort samengevat

• Het goedkeuringspercentage van informatieregisters ging van 40% naar 94%. Dat meet de indiening, niet de inhoud.
• De AFM verlegt haar aandacht expliciet naar de kwaliteit van het register en de onderliggende data.
• Een register voor een Azure-omgeving veroudert vanzelf, omdat de tenant beweegt en het document niet.
• Het tweede aandachtspunt, beleid dat niet aansluit op de praktijk, is dezelfde constatering een laag hoger.
• Leid het register af uit de omgeving en leg de vergelijking vast op een vaste cadans. Een gedateerde vergelijking is bewijs, ook als er niets is veranderd.