Informatiedeling onder DORA: dreigingsinformatie uitwisselen

De vijfde pijler van DORA gaat over het uitwisselen van informatie over cyberdreigingen tussen financiële instellingen. Anders dan de vier andere pijlers is deze vrijwillig. DORA verplicht niets, maar neemt wel de belemmeringen weg die het delen in de praktijk tegenhielden.

Waarom dit in een verordening staat

Een aanval op de financiële sector is zelden gericht op één instelling. Dezelfde werkwijze, dezelfde kwetsbaarheid en vaak dezelfde leverancier komen bij meerdere partijen terug. Wie als eerste wordt geraakt, heeft informatie die de rest een voorsprong geeft, soms van dagen.

Dat delen gebeurde voorheen aarzelend. Niet uit onwil, maar uit gerechtvaardigde zorg: aansprakelijkheid, reputatieschade, en de vraag of het wel mocht met het oog op privacywetgeving en mededingingsregels. Een jurist die geen expliciete grondslag ziet, adviseert nu eenmaal terughoudendheid.

DORA erkent die drempels en geeft een uitdrukkelijke grondslag om binnen vertrouwde kringen informatie uit te wisselen. Daarmee verschuift de vraag van “mag dit” naar “hoe regelen we het”.

Wat u mag delen, en onder welke voorwaarden

• Het gaat om dreigingsinformatie: indicatoren, werkwijzen van aanvallers, tactieken, technieken, waarschuwingen en configuratieadviezen
• Delen gebeurt binnen vertrouwde gemeenschappen van financiële entiteiten
• De afspraken moeten de vertrouwelijkheid beschermen en vastleggen hoe met de informatie wordt omgegaan
• Persoonsgegevens blijven onder de AVG vallen; de grondslag uit DORA is geen vrijbrief
• Deelname en beëindiging meldt u aan uw toezichthouder

Let op dat laatste punt: het melden is wel verplicht als u meedoet. Dat is het enige harde element in een verder vrijwillige pijler.

Hoe dit er in Nederland uitziet

In de praktijk loopt de uitwisseling via bestaande samenwerkingsverbanden in de sector en via de kanalen van de toezichthouder en de overheid. Voor grotere instellingen met een eigen securityteam is dat een tweerichtingsverkeer; voor kleinere is meedoen vooral ontvangen.

Dat is ook precies de reden om de drempel laag te houden. Wie alleen meeleest, levert nog geen bijdrage, maar wordt er wel weerbaarder van, en dat is voor de sector als geheel al winst. Een kleine instelling die dankzij een waarschuwing een kwetsbaarheid dicht voordat die wordt misbruikt, is precies wat de pijler beoogt.

Wat het praktisch oplevert

• Vroege waarschuwingen over kwetsbaarheden die in uw sector actief worden misbruikt
• Indicatoren die u in uw eigen detectie kunt zetten
• Inzicht in aanvallen op gedeelde leveranciers, waar u zelf geen zicht op heeft
• Context bij een incident: is dit gericht op ons, of loopt de hele sector ertegenaan

Dat laatste is onderschat. Tijdens een incident is de vraag “zijn wij de enige” bepalend voor hoe u reageert, en die vraag beantwoordt u alleen met informatie van buiten.

Hoe u ermee begint

Sluit u aan bij een bestaand verband in plaats van er zelf een op te zetten. Leg vast wie binnen uw organisatie de informatie ontvangt en wat ermee gebeurt: informatie die in een gedeelde mailbox belandt zonder eigenaar, levert niets op. En meld de deelname aan uw toezichthouder.

Veelgestelde vragen

Moet ik verplicht meedoen aan informatiedeling?

Nee. Dit is het enige onderdeel van DORA dat vrijwillig is. Doet u mee, dan meldt u dat wel aan uw toezichthouder.

Mag ik informatie delen over een incident bij een leverancier?

Binnen de spelregels van de afspraken waaronder u deelt, en zonder onnodig herleidbare gegevens. De kern is de dreiging en de werkwijze, niet de vraag wie het slachtoffer was.

Botst dit niet met de AVG?

De AVG blijft gewoon gelden. In de praktijk is dreigingsinformatie zelden persoonsgegeven: een IP-adres of een hash van een bestand kan dat wel zijn, en daar gelden dan de normale regels voor. Leg in de deelnameafspraken vast hoe u daarmee omgaat.

Wat als wij niets te delen hebben?

Dan doet u mee als ontvanger. Dat is toegestaan en het is voor kleinere instellingen de normale situatie.