De Autoriteit Financiële Markten (AFM) concludeert op 29 september 2026 dat grote institutionele assetmanagers de basis voor ICT-recovery op orde hebben, maar verdere verbeteringen nodig zijn. De toezichthouder onderzocht hoe zij zijn voorbereid op een grote ICT-uitval. DORA stelt volgens de AFM eisen aan het tijdig herstellen van kritieke dienstverlening na een verstoring.
De onderzochte assetmanagers beschikken op hoofdlijnen over de belangrijkste processen, plannen en testprogramma’s. Volgens de AFM is er niet altijd een duidelijke samenhang tussen kritieke functies, hersteldoelstellingen, afhankelijkheden van ICT-dienstverleners en de manier waarop herstel wordt getest. Die samenhang is volgens de toezichthouder belangrijk om de dienstverlening ook bij ernstige verstoringen snel te kunnen herstellen.
De AFM noemt vier aandachtspunten. Instellingen moeten kritieke functies duidelijk en consistent classificeren en voor deze functies hersteldoelstellingen vaststellen. Hersteldoelstellingen worden volgens het onderzoek vaak alleen voor systemen of applicaties vastgesteld.
Daarnaast moeten afspraken met externe ICT-dienstverleners aansluiten op de hersteldoelstellingen van de instelling. Ook is het volgens de AFM belangrijk om regelmatig met verschillende extreme scenario’s te testen, waaronder cyberaanvallen, langdurige systeemuitval en problemen bij een externe ICT-dienstverlener.