Beheer van de risico’s verbonden aan derde aanbieders van ICT-diensten

De risico’s die verbonden zijn aan derde aanbieders van ICT-diensten, zijn een onderdeel van het ICT-risico. Er moet rekening mee worden gehouden bij het ICT-risicobeheer:

• financiële entiteiten die contractuele overeenkomsten voor het gebruik van ICT-diensten hebben getroffen voor hun bedrijfsactiviteiten, blijven te allen tijde volledig verantwoordelijk voor de naleving en de verantwoording van alle verplichtingen uit hoofde van DORA;
• het beheer van het ICT-risico van derde aanbieders door financiële entiteiten wordt uitgevoerd met naleving van het evenredigheidsbeginsel Krachtens het evenredigheidsbeginsel vervat in de DORA-verordening kan een financiële entiteit voor een pragmatische aanpak opteren, die is aangepast aan de grootte en de schaal van haar verrichtingen, met dien verstande dat de toepassing van dat beginsel er niet mag toe leiden dat die entiteit wordt vrijgesteld van de toepassing van de volledige Verordening. Sluiten .

Het evenredigheidsbeginsel Krachtens het evenredigheidsbeginsel vervat in de DORA-verordening kan een financiële entiteit voor een pragmatische aanpak opteren, die is aangepast aan de grootte en de schaal van haar verrichtingen, met dien verstande dat de toepassing van dat beginsel er niet mag toe leiden dat die entiteit wordt vrijgesteld van de toepassing van de volledige Verordening. Sluiten impliceert dat rekening wordt gehouden met:

• de aard, de schaal, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden;
• de risico’s die voortvloeien uit contractuele overeenkomsten met derde aanbieders van ICT-diensten inzake het gebruik van ICT-diensten, rekening houdend met de kritieke aard Het kritieke karakter van informatie- en ICT-assets verwijst naar het belang en de gevoeligheid van de informatie binnen een organisatie, gemeten aan de hand van de potentiële impact die het verlies, de aantasting of de onbeschikbaarheid ervan heeft op de activiteiten en de beveiliging van de onderneming. Sluiten of het belang van de respectieve diensten, processen of functies en met de potentiële gevolgen van die risico’s voor de continuïteit en de beschikbaarheid De gegevens moeten beschikbaar, toegankelijk en herstelbaar zijn. Sluiten van financiële diensten en activiteiten, op individueel en, in voorkomend geval, groepsniveau. 

De financiële entiteiten die geen micro-ondernemingen Financiële entiteiten waar minder dan 10 personen werkzaam zijn, en waarvan de jaaromzet en/of het jaarlijkse balanstotaal niet hoger liggen dan 2 miljoen euro. Sluiten zijn, en de financiële entiteiten waarvoor het vereenvoudigde kader niet geldt, moeten een strategie vaststellen inzake het ICT-risico van derde aanbieders.

Deze strategie omvat een beleid inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten ondersteunen.

Om de conformiteit te garanderen van hun kader voor ICT-risicobeheer, handhaven en actualiseren de financiële entiteiten op het niveau van de entiteit en op gesubconsolideerd en geconsolideerd niveau een informatieregister (register of information of ROI) met betrekking tot alle contractuele overeenkomsten over het gebruik van door derde aanbieders verleende ICT-diensten.

De contractuele overeenkomsten moeten naar behoren worden gedocumenteerd, waarbij een onderscheid wordt gemaakt tussen die welke van toepassing zijn op ICT-diensten ter ondersteuning van kritieke functies, en die welke daarop niet van toepassing zijn.

De financiële entiteiten stellen de FSMA op verzoek het volledige informatieregister of desgevraagd specifieke onderdelen daarvan ter beschikking, samen met alle informatie die noodzakelijk wordt geacht om doeltreffend toezicht op de financiële entiteit mogelijk te maken.

De financiële entiteiten stellen de FSMA in kennis van alle geplande contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten ondersteunen, en van het feit dat een functie cruciaal of belangrijk is geworden.

Voor ze een contractuele overeenkomst sluiten inzake het gebruik van ICT-diensten:

• beoordelen financiële entiteiten of die contractuele overeenkomst betrekking heeft op het gebruik van ICT-diensten die een kritieke of belangrijke functie ondersteunen;
• beoordelen zij of aan de toezichtsvoorwaarden voor het sluiten van de contractuele overeenkomst is voldaan;
• identificeren en beoordelen zij alle relevante risico’s met betrekking tot de contractuele overeenkomst, met inbegrip van de mogelijkheid dat deze contractuele overeenkomst tot een versterking van het ICT-concentratierisico kan leiden;
• verrichten zij due-diligenceonderzoeken over potentiële derde aanbieders van ICT-diensten en waarborgen zij gedurende de gehele selectie- en beoordelingsprocedure dat de derde aanbieders van ICT-diensten geschikt zijn;
• identificeren en beoordelen zij belangenconflicten die uit de contractuele overeenkomst kunnen voortkomen. 

Financiële entiteiten mogen alleen contractuele overeenkomsten sluiten met derde aanbieders van ICT-diensten die voldoen aan passende normen op het gebied van informatiebeveiliging. Wanneer die contractuele overeenkomsten  kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten betreffen, letten financiële entiteiten er vóór het sluiten van de overeenkomsten op dat derde aanbieders van ICT-diensten gebruikmaken van de meest actuele en hoogste normen voor informatiebeveiliging.

De met de derde aanbieders van ICT-diensten gesloten contractuele overeenkomsten moeten de financiële entiteit voldoende toegangs-, inspectie- en auditrechten toekennen. Die rechten kunnen door eigen personeelsleden van de financiële entiteit of door derden (externe auditors) worden uitgeoefend.

Bij het uitoefenen van hun toegangs-, inspectie- en auditrechten ten aanzien van de derde aanbieder van ICT-diensten bepalen de financiële entiteiten op basis van een risicogebaseerde benadering vooraf de frequentie van de audits en inspecties alsook de te controleren gebieden, door algemeen aanvaarde auditnormen in acht te nemen en in overeenstemming met de instructies van de toezichthouder inzake het gebruik en de integratie van deze auditnormen. 

Indien met derde aanbieders van ICT-diensten afgesloten contractuele overeenkomsten een hoog niveau van technische complexiteit inhouden, verifieert de financiële entiteit dat interne of externe auditors, of een pool van auditors, over passende vaardigheden en kennis beschikken om de desbetreffende audits en beoordelingen doeltreffend uit te voeren.

Ten aanzien van de derde aanbieders van ICT-diensten voeren de financiële entiteiten exitstrategieën in. In de exitstrategieën wordt rekening gehouden met risico’s die zich op het niveau van derde aanbieders van ICT-diensten kunnen voordoen. 

De exitstrategieën moeten met name voorzien in:

• een mogelijk falen van de derde aanbieder;
• een verslechtering van de kwaliteit van de geleverde ICT-diensten;
• elke verstoring van de bedrijfsactiviteiten ten gevolge van ongeschikte of falende dienstverlening van ICT-diensten; 
• elk materieel risico in verband met de passende en permanente inzet van de respectieve ICT-dienst;
• de beëindiging van contractuele overeenkomsten met derde aanbieders van ICT-diensten onder een van de hieronder opgesomde omstandigheden.

Financiële entiteiten zorgen ervoor dat contractuele overeenkomsten inzake het gebruik van ICT-diensten in elk van de volgende omstandigheden kunnen worden beëindigd: 

• bij ernstige overtreding van de toepasselijke wetten, voorschriften of contractuele voorwaarden door de derde aanbieder van ICT-diensten;
• in omstandigheden die in de loop van de monitoring van het ICT-risico van derde aanbieders worden vastgesteld, waarvan wordt aangenomen dat deze wijzigingen kunnen brengen in de uitvoering van de functies waarin de contractuele overeenkomst voorziet, met inbegrip van materiële wijzigingen die de overeenkomst of de situatie van de derde aanbieder van ICT-diensten nadelig beïnvloeden;
• bij duidelijke tekortkomingen van de derde aanbieder van ICT-diensten in verband met zijn algemeen beheer van het ICT-risico en in het bijzonder met de manier waarop hij zorgt voor de  beschikbaarheid De gegevens moeten beschikbaar, toegankelijk en herstelbaar zijn. Sluiten ,  authenticiteit Het beginsel van de authenticiteit van de gegevens garandeert dat de gegevens afkomstig zijn van gecontroleerde en legitieme bronnen, wat hun herkomst en geldigheid bevestigt. Sluiten ,  integriteit De in een computersysteem opgeslagen, verwerkte en overgelegde (in transit) gegevens blijven correct, coherent en ongewijzigd. Sluiten en  vertrouwelijkheid Het beginsel van de vertrouwelijkheid van de gegevens strekt ertoe de gegevens te beschermen tegen elke ongeoorloofde toegang, ongeoorloofde verspreiding of ongeoorloofd gebruik, waardoor verzekerd is dat die gegevens enkel toegankelijk zijn voor geautoriseerde personen en systemen. Sluiten van persoonlijke of anderszins gevoelige gegevens of niet-persoonsgebonden gegevens;
• indien de FSMA niet langer doeltreffend toezicht kan uitoefenen op de financiële entiteit ten gevolge van de voorwaarden van of de omstandigheden in verband met de respectieve contractuele overeenkomst (bv. een aanbieder die het toezicht belemmert, of is gevestigd in een derde land dat geen medewerking verleent).

Financiële entiteiten zorgen ervoor dat zij de mogelijkheid hebben om contractuele overeenkomsten te beëindigen zonder:

• verstoring van hun bedrijfsactiviteiten;
• dat de naleving van de regelgevingsvereisten wordt beperkt;
• dat afbreuk wordt gedaan aan de continuïteit en de kwaliteit van de aan klanten geleverde diensten.

Exitplannen zijn alomvattend en gedocumenteerd en worden, overeenkomstig het evenredigheidsbeginsel Krachtens het evenredigheidsbeginsel vervat in de DORA-verordening kan een financiële entiteit voor een pragmatische aanpak opteren, die is aangepast aan de grootte en de schaal van haar verrichtingen, met dien verstande dat de toepassing van dat beginsel er niet mag toe leiden dat die entiteit wordt vrijgesteld van de toepassing van de volledige Verordening. Sluiten , voldoende getest en regelmatig geëvalueerd.

Financiële entiteiten reiken alternatieve oplossingen aan en ontwikkelen overgangsplannen die hen in staat stellen contractueel overeengekomen ICT-diensten en de desbetreffende gegevens van de derde aanbieder van ICT-diensten te verwijderen en deze veilig en integraal over te dragen aan alternatieve aanbieders of deze opnieuw in het eigen bedrijf te integreren.

Financiële entiteiten beschikken over passende noodmaatregelen om de bedrijfscontinuïteit te handhaven indien omstandigheden zich voordoen die de uitvoering van een exitstrategie vereisen.

Bij het identificeren en beoordelen van het ICT-concentratierisico onderzoeken de financiële entiteiten ook of de beoogde sluiting van een contractuele overeenkomst inzake ICT-diensten die kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten ondersteunen, tot een van de volgende situaties zou leiden:

• de situatie waarin zij een overeenkomst sluiten met een derde aanbieder van ICT-diensten die niet gemakkelijk substitueerbaar is, of
• de situatie waarin zij beschikken over meerdere contractuele overeenkomsten inzake de verlening van ICT-diensten die kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten ondersteunen, met dezelfde derde aanbieder van ICT-diensten of met nauw verbonden derde aanbieders van ICT-diensten.

In zo’n geval wegen de financiële entiteiten de baten en kosten af van alternatieve oplossingen, zoals het gebruik van verschillende derde aanbieders van ICT-diensten, rekening houdend met de vraag of en hoe de voorgenomen oplossingen aansluiten bij de zakelijke behoeften, bij de doelstellingen waarin hun strategie inzake digitale weerbaarheid voorziet, en bij de manier om te garanderen dat zij wel degelijk aansluiten.

Wanneer de contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten ondersteunen voorzien in de mogelijkheid om die ICT-diensten aan andere derde aanbieders van ICT-diensten uit te besteden, wegen de financiële entiteiten de baten en risico’s af die uit zo’n uitbesteding kunnen voortkomen, met name in het geval van een in een derde land gevestigde ICT-subcontractant.

Die risico’s omvatten met name:

1. de bepalingen van insolventierecht die van toepassing zouden zijn in geval van faillissement van de derde aanbieder van ICT-diensten, alsook alle beperkingen die zich zouden kunnen voordoen met betrekking tot het dringende herstel van de gegevens van de financiële entiteit;
2. de verplichting tot naleving van de gegevensbeschermingsregels van de Unie en de doeltreffende handhaving van de wet in dat derde land;
3. de moeilijkheid voor de financiële entiteit om de contractueel overeengekomen functies volledig te monitoren omwille van de potentieel lange of complexe uitbestedingsketens; en 
4. het vermogen van de bevoegde autoriteit om in dat verband doeltreffend toezicht uit te oefenen op de financiële entiteit.

De rechten en plichten van de financiële entiteit en van de derde aanbieder van ICT-diensten worden duidelijk toegewezen en schriftelijk vastgesteld. De volledige overeenkomst omvat de overeenkomsten inzake dienstverleningsniveau en wordt opgenomen in één schriftelijk document dat voor de partijen beschikbaar is op papier, of in een document met een ander, downloadbaar, duurzaam en toegankelijk formaat.

De contractuele overeenkomsten inzake het gebruik van ICT-diensten omvatten ten minste de volgende elementen:

• beschrijving van de verleende diensten;
• locaties waar de diensten worden verleend;
• beschikbaarheid De gegevens moeten beschikbaar, toegankelijk en herstelbaar zijn. Sluiten , vertrouwelijkheid Het beginsel van de vertrouwelijkheid van de gegevens strekt ertoe de gegevens te beschermen tegen elke ongeoorloofde toegang, ongeoorloofde verspreiding of ongeoorloofd gebruik, waardoor verzekerd is dat die gegevens enkel toegankelijk zijn voor geautoriseerde personen en systemen. Sluiten en veiligheid van de gegevens;
• toegang tot en teruggave van de gegevens;
• dienstverleningsniveaus;
• verplichting om de klant te assisteren;
• verplichting om samen te werken met de FSMA;
• bijdrage tot de bewustmaking en de opleiding van de klant;
• recht op beëindiging en opzegging.

De contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies Een kritieke of belangrijke functie is een verrichting of een dienst die essentieel is voor de doorlopende en beveiligde werking van een organisatie, en waarvan de uitval mogelijk ernstige verstoringen of aanzienlijke verliezen kan veroorzaken. Sluiten ondersteunen, omvatten, naast de in punt 12 vermelde elementen, ten minste de volgende elementen:

• prestatiedoelstellingen van de aanbieder van diensten;
• opzegtermijnen;
• uitvoering en tests van de bedrijfsnoodplannen;
• deelname van de aanbieder aan de uitvoering van penetratietests bij de klant;
• onbeperkt recht van de klant om documenten op te vragen en te auditen;
• verduidelijkingen over de draagwijdte en de frequentie van de audits en inspecties;
• opstelling van een exitstrategie.

De derde aanbieder van ICT-diensten en de financiële entiteit die een micro-onderneming is, kunnen overeenkomen dat de rechten van toegang, inspectie en audit van de financiële entiteit mogen worden gedelegeerd aan een onafhankelijke derde partij die wordt aangesteld door de derde aanbieder van ICT-diensten, en dat de financiële entiteit de derde partij te allen tijde om informatie en garanties kan verzoeken met betrekking tot de prestaties van de derde aanbieder van ICT-diensten.