DORA voor fintechs: ICT-risico en risico van derden

Wat het is

DORA is een verordening en geldt daarom rechtstreeks in alle lidstaten, aangevuld met technische normen. De verordening rust op vijf pijlers. ICT-risicobeheer vereist een gedocumenteerd kader voor identificatie, bescherming, detectie, respons en herstel, lering en communicatie, waarbij het leidinggevende orgaan uiteindelijk verantwoordelijk is. Beheer van ICT-gerelateerde incidenten vereist classificatie van incidenten en melding van ernstige incidenten aan de bevoegde autoriteit binnen vastgestelde termijnen. Het testen van digitale operationele weerbaarheid vereist een testprogramma dat in verhouding staat tot de entiteit; bepaalde door autoriteiten aangewezen entiteiten moeten daarnaast volgens specifieke regels dreigingsgestuurde penetratietests ondergaan. Beheer van ICT-risico's van derden vereist een informatieregister van alle contractuele regelingen voor ICT-diensten, risicobeoordeling vóór contractering, specifieke contractuele bepalingen en exitstrategieën. Het delen van informatie over dreigingen binnen vertrouwde gemeenschappen wordt aangemoedigd. Proportionaliteit geldt overal, en een vastgestelde lijst van kleinere entiteiten, zoals kleine en niet-verweven beleggingsondernemingen en bepaalde vrijgestelde betaal- en elektronischgeldinstellingen, mag het vereenvoudigde ICT-risicobeheerkader van artikel 16 toepassen.

Voor wie het is

Deze gids is gericht op:

• Betaal-, e-geld-, crypto-, beleggings- en andere vergunninghoudende fintechs die vallen onder de lijst van financiële entiteiten in DORA
• Leads op het gebied van compliance, risico en technologie die een DORA-programma opbouwen of beoordelen
• ICT-aanbieders en softwareleveranciers die financiële entiteiten bedienen en DORA-contracteisen ontvangen
• Oprichters die de verwachtingen van DORA moeten uitleggen aan investeerders of het bestuur

Wat Het Helpt Verduidelijken

De pijlers doornemen helpt verduidelijken:

• welke kritieke of belangrijke functies uw organisatie ondersteunt en van welke ICT-systemen die afhankelijk zijn
• of uw register van derden en uw contracten bevatten wat DORA verwacht
• wat uw testprogramma voor weerbaarheid moet omvatten gezien uw omvang en risicoprofiel
• waar technisch bewijs ontbreekt om governancedocumenten te onderbouwen

Wat is inbegrepen

• Governance: bevestig goedkeuring en toezicht van het leidinggevende orgaan op het ICT-risicokader en documenteer de rollen
• Assets en functies in kaart brengen: identificeer kritieke of belangrijke functies en de systemen, gegevens en aanbieders daarachter
• Bescherming en detectie: beoordeel toegangscontrole, MFA, logging en monitoring voor die systemen
• Incidentbeheer: bepaal classificatiecriteria, beslissers en de meldprocedure voor ernstige incidenten
• Continuïteit: test back-up, herstel en hersteldoelstellingen voor kritieke functies
• Testprogramma: plan kwetsbaarheidsbeoordelingen, scenariotests en penetratietests in verhouding tot het risico
• Register van derden: maak een lijst van alle ICT-regelingen met functie, gegevens, locatie en details over uitbesteding aan onderaannemers
• Contracten: controleer op vereiste bepalingen zoals dienstomschrijvingen, gegevenslocatie, audit- en toegangsrechten, ondersteuning bij incidenten en exitvoorwaarden
• Exitstrategieën: documenteer hoe u zou overstappen van een kritieke aanbieder
• Concentratierisico: noteer waar meerdere kritieke functies op één aanbieder steunen

Wat is niet inbegrepen

• Juridisch advies of toezichtrechtelijke interpretatie voor uw specifieke vergunning
• Dreigingsgestuurde penetratietests volgens een door de toezichthouder aangewezen kader
• Het indienen van incidentmeldingen of registers bij autoriteiten
• Certificering of goedkeuring op het gebied van compliance

Wanneer u het kiest

Gebruik deze gids bij het voorbereiden of herzien van uw DORA-programma, vóór het verlengen van contracten met belangrijke ICT-aanbieders en voordat uw jaarlijkse testplan vastligt. Als uw bevoegde autoriteit specifieke richtsnoeren of verzoeken heeft uitgegeven, volg die dan eerst. Leveranciers die financiële entiteiten bedienen, kunnen het onderdeel over derden gebruiken om contract- en auditverzoeken voor te zijn. Dit artikel is algemene informatie en geen juridisch advies.

Onze Aanpak

De meeste fintechs merken dat documentatie wel bestaat, maar dat technisch bewijs mager is. Begin met het koppelen van kritieke functies aan systemen en aanbieders; deze ene oefening stuurt het register, de testscope en de continuïteitsplanning. Verzamel daarna bewijs over hoe belangrijke maatregelen in de praktijk werken. Onze Security Baseline Review kan een schriftelijk, naar ernst ingedeeld beeld van afgesproken assets geven, dat helpt te laten zien hoe configuratie en toegangscontrole ervoor staan. Voor het testen van applicaties en API's binnen het testprogramma voor weerbaarheid werkt onze dienst Penetration Testing op basis van een schriftelijke scope en autorisatie en levert naar ernst ingedeelde bevindingen, met een hertest van afgesproken bevindingen waar inbegrepen. Beide vullen door de toezichthouder aangewezen dreigingsgestuurde tests, juridisch advies en goedkeuring op het gebied van compliance aan, die hun eigen processen volgen. Voorzie elk stuk bewijs van een datum en koppel het aan de functie die het ondersteunt, zodat beoordelingen door het management en vragen van de toezichthouder kunnen worden beantwoord vanuit vastleggingen in plaats van uit het geheugen.

Security Baseline Review

Veelgestelde vragen

Gerelateerde artikelen