Digitale weerbaarheid en nieuwe wetgeving
(Michael Mackaaij in VVP 6) Nieuwe wetgeving wordt vaak beleefd als een kostenverhogende en administratieve maatregel. Dat is bij de Digital Operations Resilience Act (DORA) echter een grote misvatting. Juist het doel van DORA, de continuïteit van de financieel dienstverlener verbeteren door beter rekening te houden met digitale risico’s, is één op één hetzelfde doel als elke ondernemer zelf heeft. En je kunt er nu al mee aan de slag.
Hoewel digitalisering onze branche enorm veel kansen biedt op het vlak van advisering, bemiddeling en beheer, zijn er duidelijk ook veel nieuwe risico’s aan verbonden. Alleen al de afgelopen tijd de ransomware-zaken bij MediaMarkt en VDL, maar direct in onze eigen branche afgelopen jaar de problemen met de IBL-tool waar veel hypotheekadviseurs mee werken.
‘Iedereen kan morgen al een uitbestedingsregister inrichten’
Deze nieuwe risico’s hebben ook de aandacht van de (Europese) wetgever en de toezichthouders DNB, AFM en AP, die elk vanuit hun eigen aandachtsgebied zorg hebben voor de continuïteit van de onder toezicht gestelden. Sinds enkele jaren is er een nieuwe Europese wet in de maak die specifiek op deze nieuwe risico’s ingaat: Digital Operations Resilience Act (DORA). De verwachting is dat deze wet in 2023 van kracht zal worden, met vervolgens een periode van 24 maanden van nationale implementatie. Hoewel dat nog ver weg lijkt, zal ik aangeven waarom het toch belangrijk is om nu al kennis te nemen van de totstandkoming van deze wet, en daarvan op de hoogte te blijven.
Ten eerste: heel veel van de bepalingen die straks in deze wet zullen worden opgenomen, maken nu al onderdeel uit van bestaande leidraden. Bijvoorbeeld de leidraad Uitbesteding en onder-uitbesteding. Hoewel niet altijd gedetailleerd ingevuld, zijn er nu dus al normen van kracht die niet altijd de juiste aandacht krijgen. Ten tweede: hoewel de wet over enkele jaren in zal gaan, sluiten we in onze branche vaak meerjarige contracten met onze softwareleveranciers. Dat betekent in theorie dat een contract in 2022 tot stand kan komen met een looptijd tot 2027, en dat in 2025 dit contract niet op de juiste manier rekening houdt met de nieuwe wetgeving omdat bijvoorbeeld over bepaalde onderwerpen geen afspraken zijn gemaakt.
Ten derde: de aanwijzingen die uit de DORA-wetgeving volgen, helpen de ondernemer om aandacht te geven aan die risico’s die onderkend zijn als continuïteit bedreigend.
Vijf vragen
Eén van de onderwerpen uit de DORA-wetgeving waar iedereen bij wijze van spreken morgen mee aan de slag kan gaan, is een zogenaamd uitbestedingsregister. Dit klinkt heel omvattend, maar is in eerste instantie een eenvoudig overzicht van alle software- en IT-leveranciers waarmee je als bedrijf een overeenkomst hebt gesloten. Vervolgens kun je bij elk contract de volgende vijf vragen stellen: wie is verantwoordelijk voor het maken van back-ups? Op welke manier worden die backups gemaakt? Hoe wordt gecontroleerd en gerapporteerd of die back-ups gemaakt zijn? Hoe vaak controleren we of de gemaakte backups terug te zetten zijn? Hoe rapporteren we die controle?
Bovenstaand overzicht maken kost niet meer dan enkele uren en geeft direct inzicht. Er waren de afgelopen jaren tientallen bedrijven die deze stappen graag en beter hadden willen zetten voordat ze erachter kwamen dat de back-ups onvoldoende waren. In het geval van een tekortkomende back-up blijft vaak alleen een beroep op verzekeringsdekking mogelijk. Die van de leverancier of uw eigen cyberpolis. Die heeft u inmiddels voor uw eigen bedrijf toch wel gesloten?
Reactie toevoegen
Contactgroep: "Vaker kijken naar andere branches"
“Als Stichting gaan wij vaker kennissessies met collega’s uit andere branches organiseren." Aldus Jeroen Oversteegen, secretaris van de Contactgroep...
Brandbrief brancheorganisaties over verwerken BSN
Verschaf onafhankelijk adviseurs zekerheid over het verwerken van het BSN. "Indien zij dit niet kunnen verwerken, betekent dit dat ze voor een groot aantal financiële...
Meer dan derde autoverzekeringen met mobiel geregeld
Het mobiel afsluiten van autoverzekeringen wint gestaag terrein. In het eerste halfjaar van 2018 werd ruim een derde van deze verzekeringen per smartphone geregeld....
"Verbod verwerking BSN-gegevens niet in belang consument"
Het ministerie van Financiën heeft het verzoek van de Contactgroep Automatisering afgewezen om door een aanpassing van de Wft het mogelijk te maken dat financieel...
Contactgroep Automatisering wil wettelijke grondslag gebruik Burgerservicenummer
De Stichting Contactgroep Automatisering heeft bij het Ministerie van Financiën aangedrongen om op korte termijn te komen tot een wettelijke grondslag voor...
Derde klantverslag MultiSafe als inspiratiebron voor sector
MultiSafe heeft haar derde Klantverslag gepubliceerd. Het eerste werd in 2015 gepubliceerd, in navolging van het voorbeeld van Yarden. Het Klantverslag is hét...
Contactgroep wil minder strikte uitleg provisieverbod door AFM
De Contactgroep Automatisering wil in overleg met Financiën om te komen tot een minder strikte uitleg door de AFM van het provisieverbod. Leon van Vliet,...
Er wordt wat afgelekt in onze sector
Als er sprake is van een data-lek, moet een financieel advieskantoor op grond van de Wbp een melding verrichten. En er wordt wat afgelekt in onze sector. In het...
Er wordt wat afgelekt in onze sector
Het is bijna niet te missen: de informatie over de Algemene Verordening Gegevensbescherming (AVG) komt u van alle kanten tegemoet. Terecht want de verordening...
Data ophalen vervangt verzamelen
De wijze waarop financieel advieskantoren omgaan met informatie over klanten, verandert in de komende jaren. Een schets van nu al zichtbare ontwikkelingen en verwachtingen...