16/06/2026
ESAs publiceren eerste DORA-rapport over major ICT-incidenten
De Europese toezichthouders EBA, EIOPA en ESMA hebben hun eerste gezamenlijke rapport gepubliceerd over major ICT-related incidents onder DORA. Het rapport geeft, op geanonimiseerde en geaggregeerde basis, een overzicht van de belangrijkste ICT-incidenten die zich in 2025 voordeden in de Europese financiële sector. Een major ICT-related incident is een ICT-incident met een aanzienlijke negatieve impact op de netwerk- en informatiesystemen die kritieke of belangrijke functies van een financiële entiteit ondersteunen.
Belangrijkste vaststellingen
In 2025 werden in de EU 3.383 major ICT-related incidents gerapporteerd. Dat komt overeen met gemiddeld 0,18 major incidents per financiële entiteit die onder DORA valt. De meeste incidenten situeerden zich in de krediet- en betalingssector. Meer dan 60% van de incidenten werd gerapporteerd in de kredietsector en nog eens 16% in de betalingssector.
De pensioensector werd in vergelijking met andere financiële sectoren slechts beperkt getroffen. Volgens de beschikbare gegevens ging het om een zeer beperkt aantal major incidents. Dit is een geruststellend signaal, maar het neemt niet weg dat IBP’s onder DORA aandacht moeten blijven besteden aan operationele weerbaarheid, ICT-governance en incidentbeheer.
Een tweede belangrijke vaststelling is dat ICT-risico’s steeds minder nationaal begrensd zijn. Ongeveer een derde van de gerapporteerde major incidents had een grensoverschrijdende impact. Dit bevestigt de toenemende verwevenheid van financiële entiteiten via gedeelde infrastructuren, gemeenschappelijke ICT-diensten, uitbestedingsmodellen en grensoverschrijdende dienstverlening.
Systeemfalen en externe gebeurtenissen waren de belangrijkste oorzaken van major incidents. Bijna een derde van de incidenten vond zijn oorsprong bij derde partijen, waaronder ICT-dienstverleners, andere financiële entiteiten en infrastructuurproviders. Voor IBP’s onderstreept dit het belang van een robuust kader voor ICT third-party risk management, duidelijke contractuele afspraken, monitoring van dienstverleners en goede coördinatie bij incidenten.
De meeste incidenten werden als major gekwalificeerd omwille van hun duur, de onbeschikbaarheid van diensten, of de impact op cliënten, financiële tegenpartijen en transacties. Tegelijk bleef de effectieve impact op cliënten, transacties en financiële tegenpartijen in de meeste gevallen beperkt. Twee derde van de major incidents leidde tot geen of slechts beperkte verstoring. Dit wijst erop dat tijdige detectie, incidentrespons en beheersmaatregelen vaak effectief waren om de operationele impact te beperken.
Cybersecurity-incidenten vertegenwoordigden ongeveer 10% van de gerapporteerde major incidents. Dat relatief beperkte aandeel kan erop wijzen dat bestaande beveiligings- en detectiemechanismen in veel gevallen doeltreffend waren. De ESAs benadrukken wel dat financiële entiteiten hun cyberweerbaarheid verder moeten versterken, zeker in het licht van de snelle ontwikkeling van krachtige AI-gedreven tools.
Relevantie voor IBP’s
Voor IBP’s is de belangrijkste boodschap dubbel. Enerzijds blijkt uit het rapport dat de pensioensector in 2025 relatief weinig major ICT-related incidents rapporteerde. Anderzijds bevestigt het rapport dat ICT-risico’s een systemische dimensie krijgen door afhankelijkheid van externe dienstverleners, gedeelde technologie en grensoverschrijdende infrastructuren.
IBP’s doen er daarom goed aan om hun DORA-aanpak niet louter als een rapporteringsverplichting te benaderen, maar als onderdeel van een breder kader voor operationele weerbaarheid. Bijzondere aandachtspunten zijn de opvolging van ICT-dienstverleners, business continuity, incidentdetectie, escalatieprocedures, contractuele afspraken en de kwaliteit van interne governance rond ICT-risico’s.
Vooruitblik
De ESAs zullen major ICT-related incidents verder monitoren en analyseren. Zij kondigen ook bijkomende ondersteuning aan voor bevoegde autoriteiten, met het oog op meer convergentie in toezicht en betere rapporteringspraktijken. De verdere uitbouw van de DORA-rapportering en het Register of Information moet bovendien bijdragen tot een beter inzicht in concentratierisico’s bij ICT-dienstverleners.
Voor IBP’s blijft het aangewezen om de eigen DORA-implementatie regelmatig te toetsen aan deze evoluties en om ICT-risico’s structureel te blijven opvolgen binnen het risicobeheer en de governance van het pensioenfonds.
Voor vragen of verdere toelichting kan u steeds met ons contact opnemen.
Het PensioPlus team
