Negentien Leveranciers Staan Nu Onder Rechtstreeks Toezicht Van De EU
Op 18 november 2025 wezen de drie financiële toezichthouders van de EU, de EBA, ESMA en EIOPA, samen 19 technologiebedrijven aan als kritieke ICT-derdeleveranciers onder de digitale operationele veerkrachtverordening, waarmee elk van hen voor het eerst onder rechtstreeks EU-toezicht kwam te staan. De lijst omvat de grote cloudleveranciers AWS, Google Cloud, Microsoft en Oracle, naast SAP, de telecomaanbieders Deutsche Telekom en Orange, en gespecialiseerde data- en fintechleveranciers zoals Bloomberg en NTT.
De aanwijzing volgde een tweestappenproces dat in de wet zelf is vastgelegd: eerst haalden de toezichthouders gegevens op uit de informatieregisters die financiële ondernemingen moeten bijhouden over hun ICT-contracten, waarna ze een kritikaliteitsbeoordeling uitvoerden die het systemische belang van elke leverancier, de marktconcentratie en het gemak waarmee een financiële onderneming van leverancier zou kunnen wisselen meewoog. Elke onderzochte leverancier kreeg het recht om te worden gehoord en kon een gemotiveerde verklaring indienen voordat de definitieve lijst werd gepubliceerd.
Wat Toezicht Werkelijk Betekent Voor Deze Negentien
Elke aangewezen leverancier valt nu onder een hoofdtoezichthouder, een van de drie EU-toezichthouders die namens alle drie optreedt, die het risicobeheer en de governance van de leverancier kan inspecteren en veranderingen kan opleggen in de manier waarop deze zijn financiële klanten bedient. Dat is een niveau van rechtstreekse controle waar cloud- en telecomleveranciers nog nooit mee te maken hadden vanuit EU-financiële toezichthouders, en het komt bovenop de nationale privacy- of cybersecurityregels die al golden.
De hoofdtoezichthouder brengt de leverancier kosten in rekening die evenredig zijn aan diens omzet om de kosten van dat toezicht te dekken, op grond van artikel 43 van de verordening. Daarnaast kan een leverancier die een maatregel van de hoofdtoezichthouder niet naleeft, een dwangsom krijgen van tot 1 procent van zijn gemiddelde dagelijkse wereldwijde omzet voor elke dag dat de niet-naleving voortduurt, met een maximum van zes maanden.
| Kengetal | Waarde |
|---|---|
| Aangewezen kritieke leveranciers | 19 |
| DORA verplicht sinds | 17 januari 2025 |
| Kritieke leveranciers aangewezen op | 18 november 2025 |
| Maximale dagelijkse boete bij niet-naleving | 1 procent van de gemiddelde dagelijkse wereldwijde omzet, tot 180 dagen |
Waarom Slechts Negentien, En Wat Daarbuiten Valt
Als kritiek worden aangemerkt is een smalle toets, geen algemeen oordeel over de omvang of het belang van een leverancier. De toezichthouders vroegen hoeveel financiële instellingen van een bepaalde leverancier afhankelijk zijn, hoe geconcentreerd die afhankelijkheid op de markt is en of financiële ondernemingen realistisch naar een alternatief zouden kunnen overstappen, en slechts 19 bedrijven haalden die drempel.
Elke andere cloud-, software- of dataleverancier die een Europese financiële onderneming gebruikt, valt nog altijd volledig buiten het rechtstreekse EU-toezicht. Die relaties blijven onderworpen aan het eigen DORA-nalevingsprogramma van de financiële onderneming en aan de jaarlijkse opgave in het informatieregister, waarvan de tweede volledige cyclus in maart 2026 werd afgesloten, en zo zullen de toezichthouders bepalen welke leveranciers vervolgens kritieke status verdienen.
Wat Er Vandaag Verandert In Een Leverancierscontract
Een inkoop- of juridisch team dat onderhandelt met een van de 19 aangewezen leveranciers heeft nu een toezichthouder om naar te verwijzen waar de leverancier al rechtstreeks verantwoording aan aflegt, wat verandert wat een redelijke meldclausule of exitclausule kan eisen. Een instelling kan verwijzen naar de eigen toezichtbevindingen en sanctiebevoegdheden van de hoofdtoezichthouder, in plaats van uitsluitend te vertrouwen op contractuele toezeggingen die de leverancier zelf heeft opgesteld.
Het omgekeerde is net zo belangrijk voor een budgetgesprek. Is de cloud- of softwareleverancier van een onderneming geen van de 19, dan geldt dit rechtstreekse toezicht niet, en blijft de volledige nalevingslast voor die relatie liggen bij de eigen vermelding van de koper in het informatieregister en diens eigen risicobeoordeling, niet bij Brussel.
Waarom we dit doen
We doen dit voor iedereen die probeert bij te houden wat technologie met ons leven doet. De mensen die het bouwen, en de mensen aan wie het gebeurt. Het Servola Journal bestaat zodat wat we leren aan hen allemaal toebehoort.
Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet mag afhangen van wie het zich kan veroorloven.
Als dit je vandaag iets heeft gegeven, laat het ons weten zodat we doorgaan. Volg ons, laat een like achter of schrijf een positieve reactie. We lezen ze allemaal, en zij zijn wat ons op de been houdt.
Lees hierna: De EU heeft uw AI Act-deadline met 16 maanden verschoven | Drie AI-aanbieders vielen samen uit op 3 september
