Welke basisvereisten stelt de DORA verordening aan IT contracten in de financiële sector?

Vanaf 17 januari 2025 is de verordening betreffende digitale operationele weerbaarheid voor de financiële sector (hierna: “DORA”) van toepassing in de gehele EU. De DORA introduceert wettelijke verplichtingen op het gebied van informatiebeveiliging binnen het financiële (toezichts-) recht. Voor de financiële sector is informatiebeveiliging nog een betrekkelijk nieuw onderwerp.

Wat te doen met DORA?

Steeds vaker bereiken ons vragen “Wat te doen met DORA”, met name vanuit IT-leveranciers die opdrachtgevers in de financiële sector bijstaan. In onderstaand artikel is met het oog op de praktijk uiteengezet welke verplichtingen de DORA in beginsel introduceert ten aanzien van de IT-contracten in de financiële sector.

Op wie zijn de wettelijke verplichtingen uit de DORA van toepassing?

Het doel van de DORA is om binnen de EU een hoog niveau van digitale operationele weerbaarheid te bereiken door uniforme vereisten aan financiële entiteiten te stellen met betrekking tot de beveiliging van netwerk- en informatiesystemen ter ondersteuning van bedrijfsprocessen van financiële entiteiten.

Financiële entiteiten

De DORA is van toepassing op financiële entiteiten, tenzij

1. deze zijn uitgesloten van het toepassingsbereik van de DORA,
2. de EU lidstaat de optie benut de DORA niet op die financiële entiteit van toepassing te laten verklaren, of
3. in het kader van een bepaalde wettelijke verplichting op hen een uitzondering of vrijstelling geldt, dan wel een lichter regime.

De volgende entiteiten vallen onder de definitie van “financiële entiteit” in de zin van de DORA:

1. kredietinstellingen;
2. beleggingsinstellingen;
3. aanbieders van rekeninginformatiediensten;
4. instellingen voor elektronisch geld;
5. beleggingsondernemingen;      
6. aanbieders van cryptoactivadiensten
7. centrale effectenbewaarinstellingen;
8. centrale tegenpartijen;
9. handelsplatformen; 
10. transactieregisters; 
11. beheerders van alternatieve beleggingsinstellingen;  
12. beheermaatschappijen;
13. aanbieders van datarapporteringsdiensten;
14. verzekerings- en herverzekeringsondernemingen; 
15. verzekeringstussenpersonen, herverzekeringstussenpersonen en nevenverzekeringstussenpersonen; 
16. instellingen voor bedrijfspensioenvoorziening;   
17. ratingbureaus;
18. beheerders van kritieke benchmarks;
19. aanbieders van crowdfundingdiensten;
20. securitisatieregisters.

Derde aanbieders van ICT-diensten

De DORA is ook van toepassing op derde aanbieders van ICT-diensten aan financiële entiteiten. DORA definieert een derde aanbieder van ICT-diensten ingevolge artikel 3 onder 19 DORA als:

“een onderneming die ICT-diensten verleent” en

DORA definieert ICT–diensten ingevolge artikel 3 onder 22 DORA als

“digitale en gegevensdiensten die doorlopend via ICT-systemen aan een of meer interne of externe gebruikers worden verleend, waaronder hardware als dienst en hardwarediensten, met inbegrip van het verlenen van technische ondersteuning via software- of firmware-updates door de hardwareaanbieder, met uitzondering van traditionele analoge telefoondiensten”.

Opvallend is dat de DORA een eigen ruime definitie van “ICT–diensten” hanteert en daarbij niet aansluit bij andere Europese rechtsbegrippen zoals “diensten in de informatiemaatschappij”. Tevens spreekt de DORA van “ICT-systeem” waarvoor geen definitie is opgenomen, maar wel een definitie voor “legacy-ICT systeem”.

ICT-dienstverlening in de meest brede zin kan dus onder het toepassingsbereik van de DORA zal vallen, zo lang deze door een derde partij wordt verleend aan financiële entiteiten in de zin van het financieel (toezichts-)recht. Ook indien de ICT-dienst zelf betrekkelijk eenvoudig of weinig risicovol van aard is voor de financiële sector.

Kortom, de meeste IT-leveranciers ontkomen er niet aan voortaan ook rekening te houden de DORA.

Welke wettelijke vereisten stelt DORA aan IT-contracten in de financiële sector?

DORA stelt meerdere vereisten aan IT-contracten voor de financiële sector, waar de aard van de IT-dienstverlening een rol bij speelt.

In algemene zin betreft het echter de volgende vereisten:

“Artikel 5 lid 3 DORA
3.   Andere financiële entiteiten dan micro-ondernemingen stellen een taak vast om de overeenkomsten met derde aanbieders van ICT-diensten met betrekking tot het gebruik van deze diensten te monitoren, of wijzen een lid van het hoger leidinggevend personeel aan dat verantwoordelijk is voor het toezicht op de desbetreffende risicoblootstelling en de relevante documentatie.”

En:

“Artikel 30 DORA
1.   De rechten en plichten van de financiële entiteit en van de derde aanbieder van ICT-diensten worden duidelijk toegewezen en schriftelijk vastgesteld. Het volledige contract omvat de overeenkomsten inzake dienstverleningsniveau en wordt opgenomen in één schriftelijk document dat voor de partijen beschikbaar is op papier, of in een document met een ander, downloadbaar, duurzaam en toegankelijk formaat.

2.   De contractuele overeenkomsten inzake het gebruik van ICT-diensten bevatten ten minste de volgende elementen:

a)    een duidelijke en volledige beschrijving van alle door de derde aanbieder van ICT-diensten te leveren functies en ICT-diensten, met vermelding of het uitbesteden van een ICT-dienst die een kritieke of belangrijke functie ondersteunt, of van materiële onderdelen daarvan, is toegestaan en indien dit het geval is, welke voorwaarden op die uitbesteding van toepassing zijn;

b)    de locaties, met name de regio’s of landen, waar de contractueel overeengekomen of uitbestede functies en ICT-diensten moeten worden geleverd en waar gegevens moeten worden verwerkt, met inbegrip van de opslaglocatie, en de verplichting voor de derde aanbieder van ICT-diensten om de financiële entiteit vooraf in kennis te stellen indien hij voornemens is van locatie te veranderen;

c)    bepalingen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid met betrekking tot de bescherming van gegevens, met inbegrip van persoonsgegevens;

d)    bepalingen inzake het waarborgen van de toegang, het herstel en de teruggave in een gemakkelijk toegankelijk formaat van door de financiële entiteit verwerkte persoonsgegevens en niet-persoonsgebonden gegevens in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten, of in geval van beëindiging van de contractuele overeenkomsten;

e)    beschrijvingen van het dienstenniveau, met inbegrip van actualiseringen en herzieningen daarvan;

f)    de verplichting van de derde aanbieder van ICT-diensten om de financiële entiteit zonder extra kosten, of tegen een vooraf bepaalde kostprijs, bijstand te verlenen wanneer zich een incident voordoet dat verband houdt met de aan de financiële entiteit geleverde ICT-dienst;

g)    de verplichting van de derde aanbieder van ICT-diensten om volledige medewerking te verlenen aan de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, met inbegrip van de door hen aangestelde personen;

h)    beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten;

i)    de voorwaarden voor deelname van derde aanbieders van ICT-diensten aan bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid van de financiële entiteiten, overeenkomstig artikel 13, lid 6.

3.   De contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen, omvatten, bovenop de in lid 2 genoemde elementen, ten minste het volgende:

a)    beschrijvingen van het niveau van volledige dienstverlening, met inbegrip van actualiseringen en herzieningen daarvan met nauwkeurige kwantitatieve en kwalitatieve prestatiedoelstellingen binnen de overeengekomen dienstverleningsniveaus, teneinde de financiële entiteit in staat te stellen een doeltreffende monitoring van de ICT-diensten te verrichten en onverwijld passende corrigerende maatregelen te nemen wanneer de overeengekomen dienstverleningsniveaus niet worden gehaald;

b)    kennisgevingstermijnen en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit, met inbegrip van de kennisgeving van ontwikkelingen die materiële gevolgen kunnen hebben voor het vermogen van de derde aanbieder om op doeltreffende wijze de ICT-diensten die kritieke of belangrijke functies ondersteunen te leveren in overeenstemming met de afgesproken dienstverleningsniveaus;

c)    verplichtingen voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen in te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidslijnen waarmee de financiële entiteit kan zorgen voor een passend niveau van veiligheid bij het verlenen van diensten in overeenstemming met haar regelgevingskader;

d)    de verplichting voor de derde aanbieder van ICT-diensten om deel te nemen aan en volledig mee te werken bij de TLPT van de financiële entiteit als bedoeld in de artikelen 26 en 27;

e)    het recht om de prestaties van de derde aanbieder van ICT-diensten permanent te monitoren, hetgeen het volgende inhoudt:

i) onbeperkte rechten van toegang, inspectie en audit door de financiële entiteit of een daartoe aangestelde derde partij alsook door de bevoegde autoriteit, en het recht om ter plaatse kopieën van relevante documenten te maken indien deze cruciaal zijn voor de activiteiten van de derde aanbieder van ICT-diensten, waarbij de doeltreffende uitoefening van dit recht niet wordt belemmerd of beperkt door andere contractuele overeenkomsten of ander uitvoeringsbeleid;

ii) het recht om andere garantieniveaus overeen te komen indien de rechten van andere cliënten worden aangetast;

iii) de verplichting van de derde aanbieder van ICT-diensten om tijdens de door de bevoegde autoriteiten, de lead overseer, de financiële entiteit of een aangestelde derde partij ter plaatse uitgevoerde inspecties en audits volledig mee te werken, en

iv) de verplichting om bijzonderheden te verschaffen over het toepassingsgebied, te volgen procedures en de frequentie van dergelijke inspecties en audits;

f)    exitstrategieën, met name de invoering van een verplichte passende overgangsperiode:

i) waarin de derde aanbieder van ICT-diensten de levering van de respectieve functies of ICT-diensten zal blijven voortzetten, teneinde het risico op verstoring bij de financiële entiteit te beperken of voor een doeltreffende afwikkeling en herstructurering te zorgen;

ii) waarin de financiële entiteit kan overstappen naar een andere derde aanbieder van ICT-diensten of naar interne oplossingen in overeenstemming met de complexiteit van de geleverde dienst.

In afwijking van punt e) kunnen de derde aanbieder van ICT-diensten en de financiële entiteit die een micro-onderneming is, overeenkomen dat de rechten van toegang, inspectie en audit van de financiële entiteit mogen worden gedelegeerd aan een onafhankelijke derde partij die wordt aangesteld door de derde aanbieder van ICT-diensten, en dat de financiële entiteit de derde partij te allen tijde om informatie en garanties kan verzoeken met betrekking tot de prestaties van de derde aanbieder van ICT-diensten.

4.   Bij onderhandelingen over contractuele overeenkomsten houden financiële entiteiten en derde aanbieders van ICT-diensten rekening met het gebruik van modelcontractbepalingen die door overheidsinstanties zijn ontwikkeld voor specifieke diensten.”

IT leveranciers kunnen dus binnenkort vragen en verzoeken van opdrachtgevers die binnen de financiële sector opereren verwachten. Bijvoorbeeld omtrent de herziening of uitbreiding van bestaande overeenkomsten in het licht van hun nieuwe verplichtingen in het licht van DORA en de aanverwante wet en regelgeving.

Om uw bedrijf of organisatie zo goed mogelijk te kunnen voorbereiden op (her-)onderhandelingen met betrekking tot de implementatie van DORA is het mogelijk raadzaam om juridisch advies in te winnen. Daarbij is het verstandig om rekening te houden dat anno 2024 nog niet iedere juridische vraag over de DORA reeds kan worden beantwoord.

Gevolgen van schending van een DORA-verplichting

Het gevolg van schending van een wettelijke verplichting uit de DORA zijn de door de nationale lidstaat te bepalen administratieve strafmaatregelen en corrigerende maatregelen.

DNB en AFM

In Nederland zullen de bestaande toezichthouders voor de financiële sector, De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM), de bevoegde autoriteiten zijn die voortaan toezien op de naleving van de DORA.

Ook zal het voortaan mogelijk worden om een aansprakelijkheidsclaim te baseren op een schending van een wettelijke verplichting uit de DORA, indien een partij als gevolg van die schending schade lijdt en de geschonden norm strekt tot het beschermen tegen die schade.

Conclusie

Vanaf 17 januari 2025 is de DORA van toepassing in de gehele EU. De DORA is een EU Verordening. De DORA heeft betrekking op bereiken van een hoog niveau van operationele weerbaarheid, door aan financiële entiteiten nieuwe wettelijke verplichten op het gebied van cybersecurity, netwerk- en informatiebeveiliging op te leggen.

Vragen?

Is uw organisatie een financiële entiteit op wie de DORA van toepassing wordt? Of staat u bedrijven en organisaties bij op wie de DORA van toepassing zal worden en zoekt u meer informatie?

Neem voor juridische vragen over cybersecurity recht contact op met onze IT-juristen.

Advies

Heeft u vragen en wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail ons direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!