Derdepartijrisico onder DORA: register, contracten en toezicht

De vierde pijler van DORA gaat over de ICT die u inkoopt, en dat is voor de meeste instellingen het onderdeel met het meeste werk. Het uitgangspunt is eenvoudig en hard: u blijft verantwoordelijk voor de risico’s die u uitbesteedt, en dat moet u kunnen aantonen.

Waarom hier het zwaartepunt ligt, laat zich raden. Financiële dienstverlening draait op ICT, en die ICT is grotendeels ingekocht. Bij veel instellingen ligt meer dan de helft van de kritieke functies bij externe partijen, vaak bij dezelfde partijen als bij de concurrent.

Het informatieregister

U houdt een register bij van alle contractuele afspraken over het gebruik van ICT-diensten. Daarin staat onder meer wie de dienstverlener is, welke functie de dienst ondersteunt, of die functie kritiek of belangrijk is, waar de gegevens staan en welke onderaannemers in de keten zitten.

Dat register gaat periodiek naar uw toezichthouder. Het is daarmee het meest concrete opleverproduct van DORA: geen open norm, maar een bestand dat compleet is of niet. Een toezichthouder die uw register naast uw crediteurenadministratie legt, ziet binnen een uur of u iets over het hoofd heeft gezien.

Onderschat het werk niet. Bij veel instellingen zitten ICT-diensten verspreid in contracten die nooit als ICT-contract zijn aangemerkt: een HR-pakket met een koppeling, een marketingtool, een dienst die een afdeling zelf heeft afgesloten. Zie het informatieregister invullen.

Wat er in het contract moet staan

DORA schrijft voor welke afspraken in elk ICT-contract horen, met een zwaarder pakket voor diensten die een kritieke of belangrijke functie ondersteunen.

• Een duidelijke omschrijving van de dienst en of die een kritieke of belangrijke functie ondersteunt
• De locaties waar gegevens worden verwerkt en opgeslagen, en de voorwaarden voor wijziging daarvan
• Afspraken over beschikbaarheid, integriteit en vertrouwelijkheid, met meetbare serviceniveaus
• Verplichtingen om u te helpen bij incidenten, en om incidenten binnen een termijn aan u te melden
• Rechten op toegang, inspectie en audit, ook voor uw toezichthouder
• Voorwaarden voor beëindiging en een uitgewerkte exitstrategie
• Regels over het inschakelen van onderaannemers voor kritieke functies

Voor de volledige uitwerking en voor hoe u dit aanpakt zonder alle contracten tegelijk open te breken, zie de verplichte contractbepalingen.

De exitstrategie

Voor kritieke functies moet u een uitstapplan hebben: hoe stapt u over of haalt u de dienst terug, zonder dat de dienstverlening stilvalt en zonder dat u de wet overtreedt.

Juist hier wringt het. Bij sommige clouddiensten en marktinfrastructuur bestaat geen reëel alternatief op korte termijn. Dat is een gegeven, geen tekortkoming, maar dan moet u het wel bewust vaststellen en compenserende maatregelen treffen. Zie de exitstrategie.

Concentratierisico

Naast het risico per leverancier kijkt DORA naar opeenhoping. Twee vormen daarvan zijn relevant.

Binnen uw eigen organisatie: liggen te veel van uw kritieke functies bij één aanbieder? Dan is één storing bij die partij genoeg om alles tegelijk stil te leggen, en helpt het niet dat u voor elke functie apart een plan heeft.

Binnen de sector: zitten alle instellingen bij dezelfde handvol aanbieders? Dat risico kunt u zelf niet oplossen, en daarom kijkt de toezichthouder ernaar op een niveau boven u.

Toezicht op kritieke ICT-dienstverleners

Nieuw is dat de Europese toezichthouders een ICT-dienstverlener kunnen aanwijzen als kritiek, op basis van onder meer hoeveel financiële entiteiten van hem afhankelijk zijn, hoe systeemrelevant die entiteiten zijn en hoe vervangbaar hij is.

Zo’n aanbieder komt onder rechtstreeks Europees toezicht te staan, met een aangewezen hoofdtoezichthouder die onderzoek kan doen, informatie kan opvragen en aanbevelingen kan opleggen. Volgt de aanbieder die niet op, dan kan dat doorwerken naar zijn financiële klanten.

Dat verandert de verhouding. Waar een kleine instelling tegenover een grote aanbieder weinig onderhandelingsruimte heeft, komt er nu een partij bij die wél aan tafel kan.

Intragroepsdienstverlening telt mee

Levert een zustermaatschappij of het moederbedrijf u ICT-diensten, dan is dat ook dienstverlening in de zin van DORA. De afspraken mogen eenvoudiger zijn opgeschreven, maar ze moeten er zijn en dezelfde punten dekken. Dit wordt vaak vergeten omdat het intern voelt.

In welke volgorde u dit aanpakt

1. Bepaal welke bedrijfsfuncties kritiek of belangrijk zijn, want dat stuurt alles daarna
2. Zoek per functie de systemen en daarbij de contracten. Hier vallen de meeste gaten
3. Vul het register, ook als het nog niet compleet is: het laat zien waar uw beeld gaten heeft
4. Sorteer de contracten op criticaliteit en op afloopdatum, en begin daar met herzien
5. Werk per kritieke functie de exitstrategie uit, en toets er minstens één in de praktijk

Veelgestelde vragen

Moet elke leverancier in het register?

Elke contractuele afspraak over het gebruik van ICT-diensten hoort erin. Het onderscheid zit niet in opname maar in diepgang: voor diensten die een kritieke of belangrijke functie ondersteunen legt u aanzienlijk meer vast.

Wat als mijn leverancier de contracteisen weigert?

Dan heeft u een risico dat u moet beoordelen, vastleggen en aan het bestuur voorleggen. In de praktijk zijn de grote aanbieders hun standaardvoorwaarden gaan aanpassen omdat de hele Europese financiële sector dezelfde bepalingen vraagt.

Geldt dit ook voor onderaannemers?

Ja, voor kritieke functies moet u zicht hebben op de keten achter uw directe leverancier, inclusief de voorwaarden waaronder die onderaannemers mag inschakelen of wisselen.

Telt een SaaS-abonnement van 20 euro per maand ook mee?

Als er een ICT-dienst wordt geleverd wel. De vraag is niet wat het kost maar welke functie het ondersteunt: een goedkope dienst kan een kritieke functie dragen, en dan gelden de zware eisen.