In 2020 introduceerde de EU een nieuw regelgevingskader dat gericht zou zijn op maatregelen om de digitalisering van de financiële sector te bevorderen. Dit kader zou later de Digital Operational Resilience Act (DORA) worden genoemd en maakt deel uit van het Digital Finance Package (DFP), dat tot doel heeft innovatieve financiële producten te ondersteunen en regels vast te stellen voor crypto-activa en digitale weerbaarheid.
Hoewel DORA grotendeels is gebaseerd op bestaande hervormingen (zoals GDPR, de NIS2-richtlijn en MiFID II), is het nieuwe aan deze verordening dat het de eerste verordening is die ICT-risicobeheerstandaarden in Europa harmoniseert. DORA werd aangenomen op 16 januari 2023 en zal van toepassing zijn in alle lidstaten vanaf 17 januari 2025, waardoor betrokken entiteiten twee jaar de tijd krijgen om wijzigingen door te voeren om aan de verordening te voldoen. Wat kunnen financiële instellingen in de tussentijd doen om zich voor te bereiden op DORA?
Welke bedrijven worden getroffen door DORA?
DORA heeft een vrij ruime reikwijdte. Het omvat alle financiële instellingen in de hele Europese Unie (EU). Hiermee bedoelen we alle traditionele financiële instellingen, zoals banken, verzekeringsmaatschappijen, beleggingsondernemingen en kredietinstellingen.
DORA omvat ook digitale financiële instellingen, waaronder dienstverleners voor virtuele activa en crowdfundingplatforms. In totaal zijn 21 verschillende soorten entiteiten opgenomen in de wet.
Kortom, de verordening zal van invloed zijn op alle ICT-dienstverleners van financiële diensten, fintech-bedrijven en bedrijven die als kritieke leveranciers in Europa actief zijn, ongeacht of deze leveranciers in Europa of elders ter wereld zijn gevestigd.
Wat is "Operationele Weerbaarheid"?
Voordat we dieper ingaan op wat DORA is, moeten we een van de termen uitleggen waar de verordening zich op richt. De term "Operationele Weerbaarheid" houdt in dat, ongeacht de kritieke situatie waarmee een bedrijf te maken kan krijgen, het informatiesysteem in staat moet zijn om de "schok" te weerstaan en zijn activiteit voort te zetten. IT-weerbaarheid is het vermogen van een organisatie om de continuïteit van haar informatiesysteem te waarborgen, zelfs bij hardwarestoringen, overbelasting, hacking of andere incidenten.
Wat is DORA?
DORA heeft tot doel de IT-beveiliging van eerder genoemde financiële entiteiten te versterken, het ICT-risicobeheer in de financiële dienstverleningssector integraal aan te pakken en de bestaande ICT-risicobeheerregelgeving in individuele EU-lidstaten te harmoniseren. De verordening moet de financiële weerbaarheid van bedrijven waarborgen en de bedrijfsvoering in stand houden, zelfs als zich incidenten voordoen. DORA heeft vijf hoofdpijlers:
ICT-risicobeheer: Dit omvat het opzetten van een uitgebreid kader voor het beheren van ICT-risico's, met essentiële principes en vereisten die zijn afgestemd op de risicobeheerpraktijken van financiële entiteiten.
Classificatie en rapportage van ICT-incidenten: Het doel is om rapportageprocedures te standaardiseren en te vereenvoudigen, de rapportageverplichtingen uit te breiden naar alle financiële entiteiten en het spectrum van meldingsplichtige incidenten te verbreden. Daarnaast maakt het kader vrijwillige rapportage van significante cyberdreigingen naast grote ICT-gerelateerde incidenten mogelijk.
Testen van digitale operationele weerbaarheid: Financiële entiteiten ondergaan basis- of geavanceerde tests om hun digitale operationele weerbaarheid te beoordelen. Geavanceerde tests, verplicht gesteld door DORA, maken gebruik van threat-led penetration tests (TLPT) voor aangewezen entiteiten die binnen de reikwijdte vallen.
Beheer van ICT-risico's van derden: Dit omvat de implementatie van principiële richtlijnen voor het monitoren van risico's van derden, het schetsen van cruciale contractuele bepalingen en het opzetten van een toezichtkader voor kritieke ICT-dienstverleners van derden (TPP's).
Informatie-uitwisseling: Stimuleert vrijwillige uitwisseling van informatie en inlichtingen over cyberdreigingen tussen financiële entiteiten. Het doel is om de digitale operationele weerbaarheid van financiële instellingen te versterken door middel van gezamenlijke uitwisseling van informatie en inlichtingen over cyberdreigingen.
In deze verordening ligt de nadruk op het verbeteren van risicobeheer, het beheren van IT-incidenten, het uitvoeren van tests, het toezicht houden op kritieke IT-dienstverleners en het versterken van governance en organisatiestructuren. Bovendien vereist de DORA-verordening dat financiële entiteiten toezichthoudende autoriteiten en marktdeelnemers snel en gedetailleerd op de hoogte stellen van grote informatie- en communicatietechnologie (ICT)-incidenten. Het doel is ervoor te zorgen dat het EU-financiële systeem snel en adequaat reageert op verstoringen, waardoor de weerbaarheid ervan behouden blijft.
Waarom is DORA nodig?
Traditionele, en vooral digitale financiële instellingen, zijn vandaag de dag sterk afhankelijk van technologie en technologische diensten die grensoverschrijdend worden aangeboden. Dit kan op zijn beurt een impact hebben op andere bedrijven, sectoren en zelfs op de rest van de economie, wat het belang van de digitale operationele weerbaarheid van de financiële sector onderstreept. De financiële sector wordt steeds meer blootgesteld aan onderliggende problemen met technologie, zoals cyberaanvallen.
Het verhoogde urgentiegevoel ontstond na een rapport van het Europees Comité voor systeemrisico's, dat cyberrisico aanwees als een van de belangrijkste bedreigingen. Het rapport benadrukte dat een enkel cyberincident een systeemcrisis zou kunnen veroorzaken en een bedreiging zou kunnen vormen voor de financiële stabiliteit in heel Europa.
De Covid-19-pandemie en de toename van het gebruik van externe toegang voor financiële diensten leidden tot een groei in cyberaanvallen, zoals gerapporteerd door de Europese Commissie, die een toename van 38% meldde sinds het begin van de pandemie.
Welke acties kunnen financiële instellingen ondernemen om te voldoen aan DORA?
Financiële instellingen moeten grondige risicobeoordelingen uitvoeren om mogelijke kwetsbaarheden in hun digitale systemen en processen te identificeren. De implementatie van robuuste risicobeheerkaders moet een topprioriteit zijn om deze risico's effectief te beperken. Het versterken van cyberbeveiligingsmaatregelen en het beheer van externe leveranciers moet ook een cruciale rol spelen in de activiteiten van financiële instellingen.
Herzie het beheer van onderhoud en IT-administratie (dit omvat ook derden en de beveiliging van hun eigen IT-middelen). De continue investering in moderne digitale infrastructuur om de weerbaarheid tegen evoluerende bedreigingen en technologische uitdagingen te vergroten, is ook een belangrijke stap die financiële instellingen in de toekomst moeten nemen. Investeren in kunstmatige intelligentie en machine learning kan interessant zijn, omdat het proactieve dreigingsdetectie zal creëren. Verzekeringsmaatschappijen gebruiken bijvoorbeeld AI om apparatuurstoringen te voorspellen, wat uiteindelijk stilstand voorkomt en onderhoudskosten verlaagt.
Regelmatige audits en beoordelingen moeten worden uitgevoerd om de naleving van informatiebeveiligingsnormen te monitoren en te waarborgen. Financiële instellingen moeten op de hoogte blijven van updates en wijzigingen in wettelijke vereisten om zich dienovereenkomstig aan te passen. Daarnaast moeten bedrijven regelmatige trainings- en bewustwordingsprogramma's voor personeel opzetten om hun begrip en kennis van operationele weerbaarheidsvereisten en hun rol bij het handhaven van de weerbaarheid te vergroten.
Ontwikkel een cultuur van weerbaarheid, proactief risicobeheer, moedig open communicatie en samenwerking tussen afdelingen aan om weerbaarheidslacunes en verbetermogelijkheden te identificeren, een risicogebaseerde aanpak, continue nalevingsmonitoring en continue verbetering van beveiligingsmaatregelen. Neem deel aan initiatieven voor informatie-uitwisseling en samenwerking met andere financiële instellingen, toezichthoudende instanties en belanghebbenden uit de sector om best practices en inzichten uit te wisselen over het verbeteren van initiatieven voor operationele weerbaarheid, met duidelijke verantwoordings- en rapportagestructuren. Besturen moeten actief toezicht houden op risicobeheerinspanningen en ervoor zorgen dat er voldoende middelen worden toegewezen om de weerbaarheid te behouden.
Wat gebeurt er bij niet-naleving?
De verordening vermeldt geen boetes met een vast bedrag. Er wordt echter gesteld dat boetes en maatregelen effectief, evenredig en afschrikkend moeten zijn. Bevoegde autoriteiten zullen beschikken over de toezichthoudende, onderzoeks- en sanctiebevoegdheden die nodig zijn om hun taken uit te voeren.
Elke lidstaat zal regels vaststellen voor passende administratieve sancties en herstelmaatregelen voor inbreuken op de verordening en zal zorgen voor een effectieve implementatie. Bevoegde autoriteiten, die door de lidstaten worden aangewezen, zullen de bevoegdheid hebben om ten minste de volgende administratieve sancties of herstelmaatregelen toe te passen voor inbreuken op deze verordening:
De bevoegdheid om personen of entiteiten te gelasten elk gedrag dat de verordening schendt te stoppen en zich te onthouden van herhaling van dergelijk gedrag.
Het staken afdwingen van praktijken die in strijd zijn met de bepalingen van de verordening, tijdelijk of permanent, en niet-herhaling waarborgen.
Diverse maatregelen implementeren, waaronder financiële sancties, om de naleving door financiële entiteiten te handhaven.
Toegang vragen tot bestaande verkeersgegevens van telecommunicatie-exploitanten, binnen nationale wettelijke beperkingen, wanneer er een redelijk vermoeden van inbreuk op de verordening bestaat en relevantie voor onderzoeken.
Openbare kennisgevingen publiceren, inclusief verklaringen die de identiteit van de persoon of organisatie en de details van de inbreuk openbaar maken.
Het is ook mogelijk dat lidstaten ervoor kiezen geen administratieve sancties op te leggen voor inbreuken die onder hun nationale wetgeving onderworpen zijn aan strafrechtelijke sancties. Concluderend is strikte naleving van de Digital Operational Resilience Act een verplichte taak die essentieel is voor financiële instellingen terwijl ze de uitdagingen van digitale transformatie en cyberbeveiligingsrisico's het hoofd bieden. Door middel van proactieve risicobeoordeling, robuuste incidentresponsplanning en investeringen in cyberbeveiligingsmaatregelen kunnen instellingen hun operationele weerbaarheid versterken. Bovendien zal het bevorderen van een nalevingscultuur via training, het aanmoedigen van samenwerking en het versterken van reeds bestaande structuren de weerbaarheidsinspanningen verder versterken. Uiteindelijk kunnen financiële instellingen, door prioriteit te geven aan operationele weerbaarheid, niet alleen voldoen aan wettelijke vereisten, maar ook hun activiteiten, reputatie en klantvertrouwen beschermen te midden van de toenemende digitalisering van de sector. De kosten van naleving kunnen echter een historische stijging doormaken. Daarom moeten financiële instellingen strategisch zijn in hun prioriteiten om te voldoen aan dit nieuwe regelgevingskader.
