Cybersecurity voor de financiële sector
Cybersecurity in de financiële sector verschilt van andere sectoren op één punt: het toezicht. Waar elders de markt om bewijs vraagt, ligt er hier een toezichthouder die kan komen kijken, met een eigen verordening en eigen rapportageverplichtingen.
Op deze pagina leest u welke wetgeving op u van toepassing is, waarom DORA voor financiële entiteiten in de plaats komt van de Cyberbeveiligingswet, waar het in de praktijk het vaakst misgaat en hoe u van analyse naar aantoonbare weerbaarheid komt.
Wij komen deze vraag zowel van financiële instellingen als van hun ICT-leveranciers. Die tweede groep merkt het effect vaak eerder, via contracten die opeens veel meer bepalingen bevatten.
Wat cybersecurity in deze sector anders maakt
Drie dingen: de toezichthouder kijkt mee, de keten is lang, en uitval is direct zichtbaar voor het publiek.
Het eerste bepaalt de toon van elk traject. In andere sectoren beslist u zelf hoeveel u vastlegt, en corrigeert de markt u als het te weinig is. Hier kan De Nederlandsche Bank of de Autoriteit Financiële Markten om onderbouwing vragen, en dan is achteraf iets in elkaar zetten geen optie.
Het tweede is minder zichtbaar. Financiële dienstverlening leunt zwaar op uitbestede ICT: kernsystemen, betaalketens, datadiensten en cloudplatformen. Uw weerbaarheid is daarmee grotendeels de weerbaarheid van uw leveranciers, en die van hún leveranciers.
Het derde is reputatie. Een storing van een uur in een fabriek merkt niemand buiten het bedrijf. Een storing van een uur in een betaaldienst staat binnen tien minuten op sociale media. Dat verandert de eisen aan uw communicatie en aan uw hersteltijden.
DORA of de Cyberbeveiligingswet: welke wet geldt voor u
Dit is de meest gestelde vraag en het antwoord is eenvoudiger dan verwacht: voor financiële entiteiten gaat DORA voor.
De Europese wetgever heeft dat bewust zo geregeld. DORA is een verordening die speciaal voor de financiële sector is geschreven en die de onderwerpen dekt waar de algemene cyberbeveiligingswetgeving ook over gaat. Waar DORA iets regelt, geldt die verordening en niet de algemene regels.
- Bank, verzekeraar, betaalinstelling, pensioenfonds. Wat geldt: DORA. Wie houdt toezicht: De Nederlandsche Bank of de Autoriteit Financiële Markten.
- Beleggingsonderneming of vermogensbeheerder. Wat geldt: DORA. Wie houdt toezicht: De Autoriteit Financiële Markten.
- ICT-leverancier van een financiële instelling. Wat geldt: Niet rechtstreeks, wel via het contract. Wie houdt toezicht: Uw klant, en bij kritieke aanwijzing Europees toezicht.
- Financieel adviseur of intermediair. Wat geldt: Afhankelijk van vergunning en omvang. Wie houdt toezicht: De Autoriteit Financiële Markten.
- Dienstverlener aan de sector zonder vergunning. Wat geldt: Mogelijk de Cyberbeveiligingswet. Wie houdt toezicht: De sectorale toezichthouder.
Wat dit praktisch betekent: bouw uw programma op DORA en niet op twee kaders tegelijk. Meer over de verordening zelf staat op onze pagina over DORA compliance. Valt u er niet onder, dan is de Cyberbeveiligingswet uw kader.
Waar het in de praktijk het vaakst misgaat
Niet bij de techniek. De grootste tekorten zitten in overzicht en in aantoonbaarheid.
Het meest voorkomende probleem is het ontbreken van een compleet beeld van de ICT-keten. Instellingen weten wie hun directe leveranciers zijn, maar niet welke onderaannemers die inschakelen. Zodra een toezichthouder doorvraagt naar een kritieke functie, loopt het daar vast.
Het tweede is de classificatie van incidenten. De verordening vraagt dat u incidenten indeelt en op basis daarvan meldt. In de praktijk blijkt vaak dat er wel incidenten worden geregistreerd, maar zonder de criteria die bepalen of er een meldplicht ontstaat.
Het derde is het testen. Er wordt getest, maar niet aantoonbaar en niet volgens een programma. Losse tests zonder plan, zonder opvolging en zonder rapportage tellen niet mee.
Het vierde is bestuurlijk. De verordening legt de eindverantwoordelijkheid bij het leidinggevend orgaan en verwacht dat bestuurders voldoende kennis hebben. Een bestuur dat het onderwerp volledig heeft gedelegeerd, voldoet daar niet aan.
De keten: uw leveranciers zijn uw grootste risico
In deze sector is uitbesteding de norm. Dat maakt leveranciersbeheer geen bijzaak maar het zwaartepunt van uw programma.
Het begint bij een compleet overzicht. Welke leveranciers ondersteunen welke functie, en welke van die functies zijn kritiek of belangrijk voor uw dienstverlening. Dat overzicht legt u vast in het informatieregister, dat periodiek bij uw toezichthouder wordt aangeleverd.
Daarna komen de contracten. DORA schrijft voor welke afspraken erin horen: omschrijving van de dienst, verwerkingslocaties, meldplichten, toegangs- en controlerechten, eisen aan onderaanneming en afspraken over beëindiging.
Het onderdeel dat het meest wordt onderschat is de exitstrategie. U moet kunnen aantonen dat u kunt overstappen zonder dat uw dienstverlening stilvalt. Dat vraagt een plan, en dat plan vraagt medewerking van de partij die u zou verlaten.
Voor ICT-leveranciers geldt het spiegelbeeld: bereid één standaardbijlage voor met uw antwoorden op deze punten. Anders onderhandelt u met elke financiële klant apart over dezelfde bepalingen.
Testen en oefenen: wat er van u wordt verwacht
De verordening vraagt een testprogramma, niet losse tests. Het verschil zit in samenhang en in opvolging.
Voor de meeste entiteiten bestaat dat programma uit een combinatie: periodieke kwetsbaarheidsscans, penetratietests op de belangrijkste omgevingen, en het beproeven van herstel- en uitwijkprocedures. Dat laatste wordt het vaakst overgeslagen en levert de meeste inzichten op.
Daarnaast hoort er een oefening bij die de organisatie zelf raakt. Een cybercrisisoefening laat zien of uw crisisteam onder tijdsdruk de juiste besluiten neemt, en of de meldketen naar de toezichthouder werkelijk werkt binnen de termijnen.
Voor een beperkte groep grotere entiteiten geldt daarnaast dreigingsgestuurd testen, uitgevoerd volgens een vast kader en door partijen die daarvoor zijn ingericht. Valt u in die categorie, dan is dat een apart traject met eigen eisen aan de testers.
Wat in alle gevallen telt: leg vast wat u heeft getest, wat eruit kwam, wie de bevindingen oppakt en wanneer die zijn opgelost. Zonder die opvolging is een test een momentopname zonder waarde voor het toezicht.
De menselijke kant: fraude en misleiding
In deze sector zijn medewerkers een doelwit op een manier die elders zeldzaam is.
Waar aanvallen in andere sectoren meestal geautomatiseerd zijn, is er hier vaker sprake van gerichte misleiding. Iemand doet zich voor als een klant, als een collega van een andere vestiging of als een toezichthouder, en vraagt om een handeling die op zichzelf normaal lijkt.
Dat vraagt iets anders van uw bewustwording dan een algemene training. Het gaat om herkennen wanneer een verzoek afwijkt van het proces, en om een cultuur waarin het normaal is om terug te bellen op een bekend nummer voordat er iets gebeurt.
Een phishing simulatie helpt daarbij, mits het scenario aansluit bij uw werkelijkheid. Een algemene pakketmail meet iets anders dan een bericht dat lijkt te komen van een collega van de afdeling betalingsverkeer.
Betrek ook de directie. Bestuurders zijn een gewild doelwit, en de verordening verwacht dat zij zelf aantoonbaar kennis hebben van de risico’s.
Van gap-analyse naar aantoonbare weerbaarheid
De volgorde is bewust: eerst bepalen wat op u van toepassing is, dan het register, dan de rest.
1. Bepaal uw positie
Wij stellen vast onder welk toezicht u valt, welk regime geldt en welke functies kritiek zijn. U levert gegevens over vergunning, omvang en dienstverlening. Dat levert duidelijkheid op over de omvang van de opgave, die per entiteit sterk verschilt.
2. Voer de gap-analyse uit
Wij toetsen uw situatie per onderwerp en leggen vast wat er ligt. U geeft toegang tot beleid, contracten en registraties. Dat levert een lijst met tekorten op, geordend naar risico en inspanning.
3. Bouw het informatieregister
Wij richten het register in en koppelen het aan uw contractbeheer, inclusief de ketendiepte. U levert de contractportefeuille en wijst een beheerder aan. Dat levert het product op waar de toezichthouder als eerste naar vraagt.
4. Richt incidenten en testen in
Wij stellen de classificatiecriteria en het meldproces op en zetten een testprogramma neer dat bij uw regime past. U belegt de rollen en plant de tests. Dat levert een werkwijze op die aansluit op uw bestaande incidentproces.
5. Beleg bestuur en jaarcyclus
Wij richten de rapportage aan het bestuur in en leggen de jaarcyclus vast. U agendeert de momenten en zorgt voor de vereiste kennis bij bestuurders. Dat levert de aantoonbaarheid op die uitdrukkelijk van de leiding wordt verwacht.
Wat de omvang van het traject bepaalt
Trajecten in deze sector lopen sterk uiteen. Deze factoren bepalen het verschil.
- Welk regime van toepassing is. Het vereenvoudigde raamwerk voor kleinere entiteiten scheelt aanzienlijk.
- Omvang van de contractportefeuille. Elk ICT-contract wordt beoordeeld en opgenomen in het register.
- Ketendiepte. Onderaannemers van uw leveranciers in beeld krijgen kost doorlooptijd die u niet zelf bepaalt.
- Aantal kritieke functies. Meer kritieke functies betekent meer exitplannen en zwaardere eisen aan testen.
- Bestaande normenkaders. Een lopend ISO 27001-systeem dekt een groot deel van het risicobeheer af.
- Beschikbaarheid van uw mensen. Contractanalyse en risicosessies vragen tijd van juristen en proceseigenaren.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA voor de financiële sector
Wij begeleiden het compliance- en inrichtingsdeel. Dreigingsgestuurd testen voeren wij niet uit, en wij geven geen assuranceverklaringen af.
Die twee grenzen zijn duidelijk en het is goed dat u ze vooraf kent. Dreigingsgestuurd testen volgens het vaste kader is een apart vak met eigen eisen aan de testers. Een verklaring met zekerheid komt van een registeraccountant of RE-auditor. In beide gevallen verwijzen wij door en blijven wij het traject begeleiden.
Wat wij wel doen is het zware deel van het werk: bepalen wat op u van toepassing is, het register bouwen, de contracten beoordelen, de meldketen inrichten en zorgen dat het bestuur kan aantonen dat het zijn rol vervult.
Wat ons onderscheidt is de combinatie van techniek en compliance. In deze sector is dat relevant, omdat de verordening technische weerbaarheid en bestuurlijke aantoonbaarheid aan elkaar knoopt. Een adviseur die alleen het juridische deel doet, levert een register op zonder onderliggende werkelijkheid.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, de Cyberbeveiligingswet en aanverwante kaders. Hij bepaalt met u welk regime van toepassing is, want dat besluit bepaalt de omvang van alles wat volgt.
Weerbaarheid die het toezicht doorstaat
Het verschil tussen financiële instellingen die dit goed hebben geregeld en de rest zit zelden in techniek. Het zit in de vraag of het overzicht compleet is en of het bestuur kan uitleggen welke besluiten het heeft genomen.
Wilt u weten welk regime op u van toepassing is en hoe groot de afstand is tot wat er nu ligt? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk waar u begint.
Veelgestelde vragen over cybersecurity in de financiële sector
Vallen wij onder DORA of onder de Cyberbeveiligingswet?
Bent u een financiële entiteit met een vergunning, dan geldt DORA. De verordening is speciaal voor uw sector geschreven en gaat voor op de algemene cyberbeveiligingswetgeving. Bouw uw programma dus op DORA en niet op twee kaders tegelijk. Bij twijfel bepalen wij dat in een kort gesprek.
Wij leveren ICT aan een bank. Wat verandert er voor ons?
U valt niet rechtstreeks onder de verordening, maar uw klant moet contractuele afspraken maken die DORA voorschrijft. Die komen bij u op tafel: meldplichten, auditrechten, eisen aan onderaanneming en afspraken over beëindiging. Bereid één standaardbijlage voor in plaats van per klant te onderhandelen.
Wij hebben ISO 27001. Is dat genoeg?
Nee, maar het scheelt aanzienlijk. Uw risicobeheer staat dan al grotendeels. Wat er bij komt is het informatieregister, de specifieke contractbepalingen, exitplannen voor kritieke functies, het testprogramma en de incidentclassificatie met eigen termijnen richting de toezichthouder.
Wat is een kritieke functie?
Een functie waarvan uitval uw dienstverlening of uw naleving van wetgeving ernstig raakt. De indeling bepaalt hoe zwaar de eisen zijn: kritieke functies vragen strengere contractbepalingen, exitplannen en meer aandacht in uw testprogramma. Die classificatie is een van de eerste stappen in een traject.
Moeten wij dreigingsgestuurde tests laten doen?
Alleen als u in de categorie valt waarvoor dat is voorgeschreven, en dat is een beperkte groep grotere entiteiten. Voor de meeste instellingen volstaat een programma met scans, penetratietests op de belangrijkste omgevingen en het beproeven van herstelprocedures.
Hoe vaak moeten wij rapporteren aan de toezichthouder?
Het informatieregister wordt periodiek aangeleverd, en incidenten meldt u volgens de termijnen die bij de classificatie horen. Daarnaast kan de toezichthouder om onderbouwing vragen. Zorg dus dat uw dossier doorlopend actueel is en niet alleen rond het aanlevermoment.
Waar beginnen wij als er nog weinig ligt?
Met de vaststelling van uw regime en met het informatieregister. Het eerste bepaalt hoe zwaar de opgave is, het tweede is het product waar het eerst naar wordt gevraagd. Testprogramma, exitplannen en de rest kunnen daarna gefaseerd.
Hoelang duurt zo'n traject?
Een gap-analyse vraagt enkele weken. Het inrichten loopt daarna over een aantal maanden, waarbij de contractanalyse en het in beeld krijgen van de keten meestal de doorlooptijd bepalen. Die laatste hangt af van de medewerking van uw leveranciers en dat kunt u niet zelf versnellen.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
