Wat zegt de DORA over informatieregisters van IT contracten bij financiële entiteiten?

Sinds 17 januari 2025 is de verordening betreffende digitale operationele weerbaarheid voor de financiële sector (hierna: “DORA”) van toepassing in de gehele EU. De DORA introduceert wettelijke verplichtingen op het gebied van informatiebeveiliging binnen het financiële (toezichts-)recht. Voor de financiële sector is informatiebeveiliging nog een betrekkelijk nieuw onderwerp.

Eerder schreven wij over de inhoudelijke basisvereisten die de DORA verordening stelt aan IT contracten in de financiële sector.

Welke basisvereisten stelt de DORA verordening aan IT-contracten in de financiele sector

In dit artikel schrijven wij over de impact van de verplichting uit de DORA om voortaan een informatieregister bij te houden op toekomstige en bestaande IT contracten in de financiële sector.

Kader voor ICT – risicobeheer bij financiële entiteiten

Wat zegt de DORA over intern gedocumenteerd informatiebeveiligingsbeleid (‘ISMS’) voor financiële entiteiten?

ISMS

Een ISMS voor een financiële entiteit wordt in de DORA verordening en aanverwante regelgeving gedefinieerd als: “kader voor ICT risicobeheer”:

“Artikel 6 DORA - Kader voor ICT-risicobeheer
1. Financiële entiteiten beschikken over een solide, alomvattend en goed gedocumenteerd kader voor ICT-risicobeheer, als onderdeel van hun algemeen risicobeheersysteem, dat hen in staat stelt ICT-risico snel, efficiënt en zo volledig mogelijk aan te pakken en een hoog niveau van digitale operationele weerbaarheid te waarborgen.”

Toezichthouders

De DORA verordening is een nieuw onderdeel van het financiële toezichtsrecht. In Nederland zijn de bevoegde toezichthouders: 

• de Autoriteit Financiële Markten (“AFM”) en
• De Nederlandsche Bank (“DNB”)

Op EU niveau zijn gezamenlijk de drie European Supervisory Authorities (“ESAs”):

• de European Banking Authority (“EBA”),
• de European Insurance and Occupational Pensions Authority (“EIOPA”) en
• de European Securities and Markets Authority (“ESMA”),

De drie ESA's kunnen onder leiding van de Europese Commissie gezamenlijk in een zogeheten Joint Committee de richtsnoeren opstellen waar ook de nationale toezichthouders in de verschillende EU lidstaten hun toezichts- en handhavingsbeleid over financieel toezichtsrecht op kunnen baseren.

Informatieregister IT contracten voor financiële entiteiten

Eén van de verplichtingen uit de DORA waar IT leveranciers in de praktijk mee te maken krijgen is de verplichting van de financiële entiteiten om als onderdeel van hun kader voor ICT-risicobeheer op het niveau van de entiteit en op gesubconsolideerd en geconsolideerd niveau een informatieregister met betrekking tot alle contractuele overeenkomsten over het gebruik van door derde aanbieders verleende ICT-diensten te handhaven en actualiseren, ingevolge artikel 28 lid 3 DORA.

Alle IT contracten documenteren

In het informatieregister is de financiële entiteit verplicht om alle IT contracten naar behoren te documenteren en daarbij onderscheid aan te geven tussen welke geleverde ICT diensten ‘kritieke of belangrijke functies’ van de financiële entiteit ondersteunen en welke niet.

Eerder schreven wij over het onderscheid ‘niet-kritiek’ en ‘kritiek’ in het kader van DORA een artikel.

Wat is een kritieke of belangrijke functie onder de DORA verordening

Jaarlijkse rapportage

Verder is de financiële entiteit verplicht om ten minste jaarlijks aan de bevoegde toezichthouder het aantal nieuwe IT-contracten, alsmede de typen en categorieën van die IT contracten te rapporteren.

Ook is de financiële entiteit verplicht om op verzoek van de bevoegde toezichthouder het volledige informatieregister of desgevraagd specifieke onderdelen daarvan ter beschikking te stellen, samen met alle informatie die noodzakelijk wordt geacht om doeltreffend toezicht op de financiële entiteit mogelijk te maken.

Ten slotte is de financiële entiteit verplicht om de bevoegde toezichthouder tijdig in kennis te stellen van nieuwe IT contracten die kritieke of belangrijke functies voor de financiële dienstverlening ondersteunen. Ook dient de financiële entiteit de bevoegde toezichthouder tijdig te informeren indien een functie die dat eerst niet was cruciaal of belangrijk is geworden.

Beginselen en beoordelingsregels voor financiële entiteiten over IT contracten

Ook stelt de DORA een aantal basisregels op aan de hand waarvan financiële entiteiten IT-contracten inhoudelijk dienen te beoordelen. Naast het bijhouden van een informatieregister van de IT-contracten welke de financiële entiteit gesloten heeft met derden dient de financiele entiteit de volgende beginselen in acht te nemen:

• Verantwoordingsplicht:
  financiële entiteiten die contractuele overeenkomsten voor het gebruik van ICT-diensten voor hun bedrijfsactiviteiten hebben getroffen, blijven te allen tijde volledig verantwoordelijk voor de naleving en de verantwoording van alle verplichtingen uit hoofde van deze verordening en het toepasselijke recht inzake financiële diensten;
• Het evenredigheidsbeginsel:
  het beheer van het ICT-risico van derde aanbieders door financiële entiteiten wordt uitgevoerd aan de hand van het evenredigheidsbeginsel, rekening houdend met: i) de aard, de schaal, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden, ii) de risico’s die voortvloeien uit contractuele overeenkomsten met derde aanbieders inzake het gebruik van ICT-diensten, rekening houdend met het kritieke karakter of het belang van de respectieve diensten, processen of functies en met de potentiële gevolgen voor de continuïteit en de beschikbaarheid van financiële diensten en activiteiten, op individueel en groepsniveau.

Multi-vendorstrategie

Ook kunnen de financiele entiteiten in het kader van hun verplicht te kiezen strategie voor digitale operationele weerbaarheid bijvoorbeeld kiezen voor grotere strategische onafhankelijkheid, bijvoorbeeld door een zogeheten ‘multi-vendorstrategie’ te volgen.

• Multi-vendorstrategie:
  Financiële entiteiten kunnen, in het kader van de in lid 8 bedoelde strategie voor digitale operationele weerbaarheid, op groeps- of entiteitsniveau een holistische multivendorstrategie op ICT-gebied vaststellen, waarin belangrijke afhankelijkheden van derde aanbieders van ICT-diensten worden aangegeven en de motivering voor de mix van aanbestedingen bij derde aanbieders van ICT-diensten wordt toegelicht. [Artikel 6(9) DORA: Financiële entiteiten kunnen, in het kader van de in lid 8 bedoelde strategie voor digitale operationele weerbaarheid, op groeps- of entiteitsniveau een holistische multivendorstrategie op ICT-gebied vaststellen, waarin belangrijke afhankelijkheden van derde aanbieders van ICT-diensten worden aangegeven en de motivering voor de mix van aanbestedingen bij derde aanbieders van ICT-diensten wordt toegelicht.]

Beoordeling IT-contract

Bij de beoordeling voorafgaand aan het sluiten van een IT-contract is de financiele entiteit verplicht de volgende stappen te doorlopen:

• Ondersteunt de ICT dienst een Kritieke of belangrijke functie?
• Is aan de toezichtvoorwaarden voor het sluiten van het contract voldaan?
• Identificeer en beoordeel alle relevante risico’s met betrekking tot het IT contract, met inbegrip van de mogelijkheid dat het IT contract kan leiden tot een versterking van het ICT-concentratierisico bij de financiële entiteit.
• Verricht een due-diligenceonderzoek over de toekomstige derde aanbieder van ICT-diensten en waarborg gedurende de gehele selectie- en beoordelingsprocedure dat de derde aanbieder van ICT-diensten geschikt is.
• Identificeren en beoordeel belangenconflicten die kunnen voortkomen uit het IT contract.

Financiële entiteiten mogen alleen IT-contracten sluiten met derde aanbieders van ICT-diensten die voldoen aan passende normen op het gebied van informatiebeveiliging.

• Verbod op het sluiten van IT contracten met derde aanbieders van ICT diensten die niet voldoen aan passende normen op het gebied van informatiebeveiliging.

En wanneer die IT-contracten kritieke of belangrijke functies betreffen, moeten financiële entiteiten er vóór het sluiten van de IT-contracten op letten dat derde aanbieders van ICT-diensten gebruikmaken van de meest actuele en hoogste normen voor informatiebeveiliging, bijvoorbeeld de ISO 27001 norm voor informatiebeveiliging.

Het zeer strenge toezicht waar financiële entiteiten onder staan, dat nu wordt uitgebreid naar de informatiebeveiliging bij de financiële entiteit brengt mee dat de financiële entiteit de toegangs-, inspectie- en auditrechten van de bevoegde autoriteiten ten aanzien van de IT-contracten waarborgt.

• Neem algemeen aanvaarde auditnormen bevoegde toezichthouders bij het uitoefenen van toegangs-, inspectie- en auditrechten ten aanzien van het IT-contract in acht, in overeenstemming met de instructies van de toezichthouder inzake het gebruik en de integratie van de auditnormen.
• Verifieer passende vaardigheden en kennis bij interne of externe auditors in geval van een hoog niveau van technische complexiteit ICT-dienst om de desbetreffende audits en beoordelingen doeltreffend uit te voeren.

Ten slotte, hoort bij het strenge financiële toezichtrecht dat de financiële entiteit erop let dat het mogelijk is om het IT-contract te beëindigen indien bij gebruik van de ICT-dienst niet aan die wettelijke vereisten kan worden voldaan. Alsmede dat het mogelijk moet zijn om het IT-contract te beëindigen als de bevoegde toezichthouders niet in staat zijn de toepasselijke wet en regelgeving op het gebied van financieel toezichtsrecht, waaronder DORA, te handhaven.

Naast dat scenario kan beëindiging van het IT contract om allerlei andere redenen plaatsvinden. De DORA verplicht de financiële entiteiten om op te letten dat IT contracten ook continuïteit- en exitplannen bevatten. Sommige IT contracten hebben deze bepalingen, maar het is niet het geval dat reeds alle bestaande IT contracten ook een continuïteit- en exitplan bevatten. In deze gevallen is het verstandig om zo snel mogelijk alsnog een continuïteit- en exitplan toe te voegen. Een en ander kan bijvoorbeeld in de praktijk geregeld worden door aan het bestaande IT contract een DORA addendum toe te voegen.

LEI nummer

Is het verplicht voor een derde aanbieder van ICT diensten om een LEI nummer te hebben?

Met enige regelmaat bereikt ons de vraag of het verplicht is om een LEI nummer te hebben. De DORA draagt de financiële toezichthouders op om gestandaardiseerde templates voor het informatieregister te ontwikkelen en ter goedkeuring voor te leggen aan de Europese Commissie.

“De ETA’s ontwikkelen via het Gemengd Comité ontwerpen van technische uitvoeringsnormen voor de vaststelling van standaardmodellen ten behoeve van het in lid 3 bedoelde informatieregister, waarin informatie wordt opgenomen inzake het gebruik van ICT-diensten die voor alle contractuele overeenkomsten van toepassing is. De ETA’s leggen deze ontwerpen van technische uitvoeringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid verleend om de in de eerste alinea bedoelde technische uitvoeringsnormen vast te stellen overeenkomstig artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.

De ETA’s ontwikkelen via het Gemengd Comité ontwerpen van technische reguleringsnormen tot nadere bepaling van de gedetailleerde inhoud van het in lid 2 bedoelde beleid met betrekking tot de contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen.

Bij het ontwikkelen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algehele risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan. De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024 voor aan de Commissie.

Aan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.”

Aanvankelijk stelde de Joint Committee of the European Supervisory Authorities (ESAs) een Implementing technical standard (‘ITS’) -kort gezegd- een standaard over implementatie van de DORA voor (nationale) financiële toezichthouders op. In haar concept voor de ITS over informatieverstrekking aan financiële toezichthouders had de Joint Committee of the European Supervisory Authorities (ESAs) opgenomen dat óók voor de derde aanbieders van ICT diensten een LEI nummer diende te worden ingevuld in het informatieregister. In deze ITS werd dus verondersteld dat de ‘derde aanbieders van ICT diensten’ een zogeheten Legal Entity Identifier (‘LEI’) nummer, gebruikelijk in de financiele sector, hebben om in te laten vullen in de informatieregisters.

Op 23 juli 2024 stuurde het directoraat-generaal Financiële Stabiliteit, Financiële Diensten en Kapitaalmarktenunie, de Ier John Berrigan, een brief aan de voorzitter van he European Securities and Markets Authority (ESMA) op waarin hij aangaf dat de Europese Commissie dit voorstel voor een ITS zou afkeuren.

De Europese Commissie wees erop dat LEI nummers kosten met zich meebrengen voor de IT leverancier, alsook dat niet álle opdrachtgevers van een IT leverancier per se in de financiële sector actief zijn. Ook zijn veel IT leveranciers niet voornamelijk of exclusief in de financiële sector actief, tenzij bepaalde producten of diensten uitsluitend een financiële dienst betreffen, zoals een betalingsverwerkingsdienst. In geüpdatete nieuwere gestandaardiseerde templates voor het informatieregister gepubliceerd door de financiële toezichthouders wordt als het goed is niet langer gevraagd om LEI nummers in te vullen.

Kortom, het is dus niet verplicht voor een IT leverancier die financiële entiteiten in zijn klantenkring heeft om zelf een LEI nummer te nemen. Het mag wel. Een LEI nummer kan tegen vergoeding worden aangevraagd bij de Kamer van Koophandel.

Welke boetes of andere sancties kunnen worden opgelegd bij overtreding van de DORA verordening?

De financiële sector kent zowel op nationaal als Europees niveau verschillende bevoegde toezichthouders. De DORA verordening schept de volgende sancties bij schending van de DORA.

“Artikel 50 lid 3 DORA - Administratieve strafmaatregelen en corrigerende maatregelen

Onverminderd het recht om overeenkomstig artikel 52 strafrechtelijke maatregelen te nemen, stellen de lidstaten regels vast voor de invoering van passende administratieve strafmaatregelen en corrigerende maatregelen voor inbreuken op deze verordening, en waarborgen zij de daadwerkelijke uitvoering van deze maatregelen.

Deze straf- en andere maatregelen moeten doeltreffend zijn, in verhouding staan tot de inbreuk, en een afschrikkende werking hebben.”

AFM en DNB Handhavingsbeleid (2020)

In Nederland zal wanneer de financiële toezichthouders het Handhavingsbeleid (2020) updaten voor de praktijk meer duidelijkheid geschept worden omtrent het sanctie- en handhavingsbeleid dat deze financiële toezichthouders zullen voeren jegens financiële entiteiten ten aanzien van hun derde aanbieders van ICT diensten voor wat betreft cybersecurity, ofwel ‘digitale weerbaarheid’.

Vragen?

Vraagt u zich af wat de DORA verordening voor u of uw organisatie betekent? Hebt u vragen op het gebied van cybersecurityrecht?

Wilt u een IT contract in de financiële sector opstellen of laten controleren?

Wilt u een bestaand IT contract in de financiële sector heronderhandelen in het licht van de actuele juridische ontwikkelingen, zoals de implementatie van de DORA verordening?

Neem vandaag nog contact op met onze IT juristen. Zij staan u graag te woord.

Virtuele Juridische Afdeling

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!