De AFM publiceerde op 6 augustus 2026 een update over de Digital Operational Resilience Act (DORA, Verordening (EU) 2022/2554). Die update beschrijft de voortgang van de financiële sector sinds de invoering van DORA. Global Regulation Tomorrow van Norton Rose Fulbright deed er op 7 augustus 2026 verslag van.
Volgens de AFM is het aantal informatieregisters dat de European Banking Authority (EBA) goedkeurt sterk verbeterd. Die registers worden verzameld in een jaarlijkse ronde, waarin de EBA alle nationale toezichthouders vraagt de informatieregisters van onder DORA vallende instellingen op te halen en door te sturen. Als extra hulp publiceerde de AFM een Q&A over het informatieregister.
In 2025 richtte het DORA-toezicht van de AFM zich op ICT-risicobeheer. Financiële instellingen hebben niet altijd alle beleidsstukken en procedures die DORA vraagt, en niet alle ingediende stukken voldeden aan de eisen. De AFM raadt instellingen aan periodiek een zelfevaluatie te doen, zodat beleid en procedures aansluiten op de actuele risico's en de werkelijke praktijk. Voor instellingen binnen een groep benadrukt de AFM dat de vergunninghoudende instelling zelf moet nagaan of alle DORA-eisen zijn verwerkt, omdat die volledig verantwoordelijk blijft.
Bij verstoringen ziet de AFM dat de meeste instellingen voldoende maatregelen hebben om (mogelijke) verstoringen te detecteren. Toereikende preventieve maatregelen om verstoringen te voorkomen hebben ze vaak nog niet. Verbeterruimte zit vooral in logisch toegangsbeheer en in patch- en kwetsbaarhedenbeheer.
Daarnaast ontving de AFM minder incidentmeldingen dan verwacht. De toezichthouder adviseert instellingen hun incidentbeheer na te lopen, zodat incidenten worden gedetecteerd, vastgelegd, beheerd, geclassificeerd en waar nodig binnen de wettelijke termijnen gemeld.
Tot slot wijst de AFM op de verduidelijking van de Europese toezichthouders (ESA's) over de vraag of verzekeringstussenpersonen onder DORA vallen als maar een deel van hun bedrijf uit verzekeringsbemiddeling bestaat. In het algemeen tellen de cijfers van de onderneming als geheel. Volgens het proportionaliteitsbeginsel kijken tussenpersonen voor wie de bemiddeling maar beperkt van belang is alleen naar de activiteiten en middelen voor die verzekeringsactiviteiten.