DORA voor verzekeraars, herverzekeraars en tussenpersonen

Verzekeraars, herverzekeraars en verzekeringstussenpersonen vallen onder DORA, met een uitzondering voor bepaalde kleine tussenpersonen. Voor verzekeraars sluit DORA aan op het bestaande Solvency-raamwerk; voor tussenpersonen is het vaak het eerste expliciete ICT-toezicht dat ze tegenkomen.

Verzekeraars: aansluiten op wat er al is

Een verzekeraar heeft al een risicobeheerfunctie, een uitbestedingsbeleid en continuïteitsplannen. DORA vraagt om de ICT-kant daarvan apart herkenbaar te maken: welke bedrijfsfuncties zijn kritiek, welke systemen dragen ze, waar staan de gegevens en wie kan erbij.

Het onderdeel dat de meeste verzekeraars onderschat is de keten. Polisadministratie, schadebehandeling, acceptatiesystemen, klantportalen en uitkeringsprocessen draaien vaak bij gespecialiseerde leveranciers, die op hun beurt clouddiensten gebruiken. Die hele keten hoort in het informatieregister, inclusief de laag achter uw directe leverancier.

Een tweede punt dat specifiek is voor deze sector: gevolmachtigd agenten en volmachtketens. Wie namens u polissen sluit en schades behandelt, verwerkt uw gegevens in zijn systemen. Dat is een ICT-afhankelijkheid, ook al voelt het als een distributievraagstuk.

Tussenpersonen: eerst uitzoeken of u eronder valt

Verzekeringstussenpersonen worden in DORA genoemd, maar er geldt een uitzondering voor bepaalde kleine bemiddelaars. Of u eronder valt hangt af van uw omvang en de categorie waarin u staat ingeschreven. Dat is een van de gevallen waarin u de tekst voor uw eigen situatie moet nalopen in plaats van op een algemene indruk af te gaan. Zie de reikwijdte.

Valt u er niet onder, dan bent u er niet van af: uw verzekeraars nemen DORA-eisen op in hun contracten met u, want voor hen bent u een schakel in de keten. In de praktijk komen die eisen er dus alsnog, alleen via een andere route en zonder dat u er zelf over onderhandelt.

Wat dit praktisch betekent

• Een overzicht van de systemen waarmee u polissen, claims en klantgegevens verwerkt
• Vastleggen welke van die functies kritiek zijn en wat er gebeurt als ze uitvallen
• Afspraken met uw softwareleverancier over beschikbaarheid, incidenten en toegang tot gegevens
• Een plan voor het geval uw leverancier wegvalt, inclusief hoe u aan uw gegevens komt
• Een proces om ICT-incidenten te registreren en te beoordelen; zie incidentclassificatie
• Bij volmachten: dezelfde vragen, maar dan gericht op de partij die namens u werkt

Het punt waar het vaak knelt

Veel tussenpersonen werken met één pakket waarin alles zit: polissen, klantgegevens, documenten en communicatie. Dat pakket is dan per definitie een kritieke functie, en er is meestal geen alternatief dat u binnen weken kunt draaien.

Dat is toegestaan, mits u het vaststelt en compenserende maatregelen treft: eigen exports, afspraken over teruggave van gegevens, en een uitgewerkt scenario voor als de leverancier wegvalt. Zie exitstrategie.

Veelgestelde vragen

Val ik als kleine assurantietussenpersoon onder DORA?

Mogelijk niet, er is een uitzondering voor bepaalde kleine bemiddelaars. Maar reken erop dat de eisen u via contracten met verzekeraars alsnog bereiken, en dat u dan moet kunnen aantonen dat u ze nakomt.

Telt mijn polisadministratiepakket als kritieke ICT-dienst?

Als uw dienstverlening stilvalt wanneer dat pakket uitvalt, dan ondersteunt het een kritieke of belangrijke functie. Dat is geen technische maar een bedrijfsmatige beoordeling, en die moet u kunnen onderbouwen.

Hoe zit het met gevolmachtigd agenten?

Die verwerken uw gegevens in hun systemen. Beoordeel ze zoals u een ICT-leverancier beoordeelt: welke functie ondersteunen ze, hoe kritiek is die, en wat is er contractueel geregeld over incidenten en toegang.