Wat is een kritieke of belangrijke functie onder de DORA verordening?

Op 17 januari 2025 wordt de Verordening betreffende digitale operationele weerbaarheid voor de financiële sector (“DORA”) geldig in de gehele EU.

Cybersecurity in de financiële sector

De nieuwe verordening en de aanverwante nieuwe wet – en regelgeving introduceert nieuwe wettelijke standaarden over cybersecurity in de financiële sector. De DORA maakt deel uit van het financiële toezichtsrecht.

Nationale toezichthouders

In Nederland zijn de volgende nationale toezichthouders belast met toezicht en handhaving van financieel toezichtsrecht, waaronder binnenkort dus ook de DORA:

• De Nederlandsche Bank (DNB); en
• de Autoriteit Financiële Markten (AFM)

Nieuwe verplichtingen DORA vanaf 17 januari 2025

De DORA verplicht financiële entiteiten voortaan om strengere wettelijke en contractueel geregelde verplichtingen op te leggen aan de zogeheten “derde aanbieder van ICT-diensten”.

Derde aanbieder van ICT-diensten

Een derde aanbieder van ICT-diensten is een onderneming die ICT-diensten verleent aan een financiële entiteit, zoals gedefinieerd in de DORA.

Mildere en strengere regimes

De DORA kent mildere en strengere regimes. Zo maakt de DORA een scherp onderscheid tussen in algemene zin “De contractuele overeenkomsten inzake het gebruik van ICT-diensten” enerzijds; en “De contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen” anderzijds. Aan de tweede categorie dienen meer en verdergaande verplichtingen te worden opgelegd.

Strenger regime

De tweede categorie verplichtingen voor ICT-diensten die kritieke of belangrijke functies ondersteunen omvatten bijvoorbeeld

• onbeperkte rechten van toegang,
• inspectie en audit om de prestaties van de kritieke ICT dienst te monitoren,

Deze verplichtingen kunnen dus zeer ingrijpend zijn voor de IT leverancier.

Ben ik kritiek?

Met enige regelmaat bereikt ons in de praktijk de vraag vanuit IT leveranciers, “ben ik kritiek?”?. Alsook: “volgens de één ben ik kritiek, maar volgens de ander niet. Hoe kan dat?”.

Wat verstaat DORA onder “kritiek”

Om duidelijkheid te scheppen is van belang om toe te lichten wat de DORA verstaat onder “kritiek”.

De DORA kent de volgende wettelijke definities:

Artikel 3 onder 22) DORA
“kritieke of belangrijke functie”: een functie waarvan de verstoring wezenlijk afbreuk zou doen aan de financiële prestaties van een financiële entiteit of aan de soliditeit of de continuïteit van haar diensten en activiteiten, of waarvan de beëindiging of gebrekkige of mislukte uitvoering wezenlijk afbreuk zou doen aan de permanente naleving door een financiële entiteit van de voorwaarden en verplichtingen uit hoofde van haar vergunning of haar andere verplichtingen uit hoofde van het toepasselijke recht inzake financiële diensten;

En

Artikel 3 onder 23) DORA:
“kritieke derde aanbieder van ICT-diensten”: een derde aanbieder van ICT-diensten die overeenkomstig artikel 31 is aangewezen als cruciaal; [toevoeging: zijn aangewezen door de ETA’s zorgen via het Gemengd Comité, dit zijn de financiele toezichthouders op Europees niveau]

ICT-risicobeheerbeleid | risicoprofiel

De DORA bevat een verplichting voor financiele entiteiten om een ICT-risicobeheerbeleid uit te zetten. Hiervan is een onderdeel dat de financiële entiteit een oordeel vormt over het algehele risicoprofiel van ICT diensten die aan haar worden verleend.

Een en ander in het licht van:

• het evenredigheidsbeginsel; en
• met inachtneming van de aard, de schaal, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden; en
• de risico’s die voortvloeien uit IT contracten, rekening houdend met
  • het kritieke karakter of
  • het belang van de respectieve diensten, processen of functies en
  • met de potentiële gevolgen voor de continuïteit en de beschikbaarheid van financiële diensten en activiteiten, op individueel en groepsniveau.

Kortom, niet de IT leverancier zélf is doorgaans kritiek, maar bepaalde ICT diensten die een IT leverancier levert kunnen voor een bepaalde financiële entiteit gezien diens bedrijfsvoering wel of niet kritiek zijn.

Europese toezichthouders ivm grootste techreuzen

De Europese toezichthouders hebben de bevoegdheid gekregen om bepaalde IT leveranciers als geheel aan te wijzen als kritiek voor de financiële sector, het zou dan bijvoorbeeld gaan om de grootste techreuzen met invloed binnen de financiële sector.

Gevolgen voor IT leverancier

Wat zijn de gevolgen van het leveren van bepaalde ICT diensten aan een financiële entiteit die een kritieke of belangrijke functie voor de financiële entiteit ondersteunen?

Eerder schreven wij een artikel over de basisvereisten die de DORA voortaan stelt aan IT contracten in de financiële sector.

Basisvereisten DORA stelt aan IT contracten in financiële sector

Kritieke of belangrijke functie

Het is zeer raadzaam om in het IT contract tussen een IT leverancier en een financiële entiteit expliciet te vermelden of bepaalde producten die de financiële entiteit afneemt het stempel ‘kritieke of belangrijke functie’ krijgt en om welke redenen.

Gevolg kwalificatie Kritiek of belangrijk

Het gevolg van de kwalificatie van een ICT dienst aan een financiële entiteit als ‘ondersteunend aan een kritieke of belangrijke functie’ is namelijk dat doorgaans het strengste regime binnen de DORA van toepassing zal zijn. Naast de basisvereisten aan IT contracten in de DORA zullen bijvoorbeeld ook aanvullende verplichtingen moeten worden opgenomen, omtrent de onderwerpen gespecificeerd in de DORA.

Het is de verantwoordelijkheid van de financiële entiteit om dergelijke contractuele verplichtingen voortaan op te laten nemen in IT contracten. In de DORA staat namelijk een wettelijke verantwoordingsplicht:

“Artikel 28 lid 1 DORA:
Financiële entiteiten beheren het ICT-risico van derde aanbieders als integrerend onderdeel van het ICT-risico binnen hun kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1, en in overeenstemming met de volgende beginselen:

a)financiële entiteiten die contractuele overeenkomsten voor het gebruik van ICT-diensten voor hun bedrijfsactiviteiten hebben getroffen, blijven te allen tijde volledig verantwoordelijk voor de naleving en de verantwoording van alle verplichtingen uit hoofde van deze verordening en het toepasselijke recht inzake financiële diensten

[…];”

DORA addendum

Indien uit bestaande contracten onvoldoende blijkt of hiervan sprake is of niet en welke gevolgen deze situatie heeft voor de concrete afspraken tussen partijen kan bijvoorbeeld het opstellen van een DORA addendum uitkomst bieden.

Aansprakelijkheidsrisico’s bij de verlening van bedrijfskritieke ICT diensten

Naast de nieuwe wet- en regelgeving komen volgens de jurisprudentie over dit onderwerp bij de verlening van zogeheten ‘bedrijfskritieke applicaties’ ernstigere rechtsgevolgen en daarmee hogere juridische risico’s kijken voor de IT leverancier dan bij eventuele niet-bedrijfskritieke ICT diensten het geval is.

Zo oordeelde de Rechtbank Amsterdam 09 april 2009, ECLI:NL:RBAMS:2009:BJ5559 (OILILY/ SAASPLAZA) bijvoorbeeld als volgt:

“4.5. Vooralsnog is dan ook aannemelijk dat de door SaaSplaza aan de Oilily Groep geleverde diensten zo wezenlijk zijn voor de bedrijfsvoering van de Oilily Groep, dat SaaSplaza in de gegeven omstandigheden niet zonder meer tot onmiddellijke opschorting van haar verplichtingen kan overgaan. Aan Oilily dient daarom in beginsel een redelijke termijn te worden gegund om zich voor te bereiden op beëindiging van de contractuele relatie met SaaSplaza.”

Kortom, indien uw bedrijf of organisatie ICT diensten verleent aan opdrachtgevers voor wie deze ICT diensten bedrijfskritiek zijn dient u zich goed te vergewissen van de juridische risico’s die hiermee verbonden zijn.

Conclusie

In het licht van de nieuwe wet- en regelgeving op het gebied van cybersecurity en netwerk- en informatiebeveiliging, zoals maar niet beperkt tot de DORA, is de noodzaak om cybersecurity serieus op te pakken binnen uw bedrijf of organisatie urgenter geworden. Indien uw bedrijf of organisatie ICT diensten verleent aan opdrachtgevers in gereguleerde sectoren voor wie deze ICT diensten bedrijfskritiek zijn kunt u immers steeds zwaardere verplichtingen verwachten.

IT leveranciers die te kwalificeren zijn als “derde aanbieders van ICT diensten” in de zin van de DORA zullen moeten opletten en de in deze financiële context passende waarborgen dienen te treffen samen met de financiële entiteit.

Vragen?

Wilt u meer weten? Bent u een IT leverancier die financiële entiteiten ondersteunt? Of een financiële entiteit die onder de DORA zal gaan vallen vanaf 17 januari 2025? Wilt u weten wat de DORA voor uw organisatie of bedrijf gaat betekenen?

Neem voor juridische vragen over cybersecurity recht contact op met onze IT-juristen.

Advies

Heeft u vragen en wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail ons direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!