Instanties die gebruikmaken van gedeelde infrastructuur blijven zelf verantwoordelijk voor het risico

DORA’s kritieke toezichtregime op derden is specifiek van toepassing op financiële entiteiten en de ICT-leveranciers die als kritiek voor die sector zijn aangemerkt. Overheidsinstanties vallen niet direct onder de reikwijdte. Het patroon dat DORA blootlegt, geldt echter net zo goed voor de afhankelijkheid van een overheidsinstantie van gedeelde cloudinfrastructuur: regulatoir toezicht op een leverancier, waar dat ook bestaat, neemt nooit de eigen verantwoordelijkheid van de instantie voor die relatie over.

Sommige instanties die deze ontwikkeling volgen, gaan ervan uit dat de onderliggende les niet op hen van toepassing is omdat ze anders worden gereguleerd. Die aanname mist het punt: concentratierisico bij een klein aantal kritieke leveranciers is een structurele eigenschap van het vertrouwen op die leveranciers, niet het gevolg van een specifieke regelgeving. Een instantie kan volledig buiten de reikwijdte van DORA vallen en toch gevaarlijk blootstaan aan hetzelfde faalmechanisme waarvoor DORA is ontworpen.

Samenvatting voor het management

Instanties die zien hoe kaders als DORA zich ontwikkelen binnen de financiële sector, kunnen daaruit direct een les trekken voor hun eigen leveranciersrisico, ook als ze niet onder de reikwijdte vallen: concentratie bij een klein aantal kritieke leveranciers, en de verantwoordelijkheid die dat met zich meebrengt, verdwijnt niet omdat er geen externe toezichthouder is die die specifieke leverancier controleert. Voor IT- en inkoopverantwoordelijken is de praktische reactie om leveranciersconcentratie te behandelen als een continu te beheren risico, niet als een compliancecategorie die alleen voor andere sectoren geldt.

Belangrijkste inzichten

1. Het feit dat een leverancier onder extern toezicht valt, neemt de eigen verantwoordelijkheid van een instantie voor die relatie niet weg. De verplichting om het risico te begrijpen en te beheren ligt altijd bij de instantie zelf.
2. Instanties die vertrouwen op een klein aantal kritieke cloudleveranciers lopen concentratierisico, ongeacht of een externe partij toezicht houdt op die leveranciers.
3. Burgers en toezichthouders verwachten steeds vaker continu bewijs van leverancierscontrole, niet slechts een eenmalige zorgvuldigheidstoetsing bij het ondertekenen van het contract.
4. Het bijhouden van een register van leveranciersrelaties en hun mate van kritiek is altijd zinvol, ongeacht sectorspecifieke verplichtingen, omdat het onderliggende risico onafhankelijk van regelgeving bestaat.
5. De eigen verplichting van de instantie om controle over leveranciersrelaties aan te tonen, verschuift nooit, ongeacht wie er meekijkt.

Wat betekent een kritieke derdepartij-aanduiding daadwerkelijk in de financiële sector?

Begrijpen waarom het mechanisme van DORA bestaat, helpt verduidelijken waarom de onderliggende les ook geldt waar de regelgeving niet van toepassing is. Het aanduidingsmechanisme geeft toezichthouders inzicht in leveranciers waarvan het falen gevolgen kan hebben voor veel financiële entiteiten tegelijk, op basis van systeemimpact en concentratie van afhankelijkheid.

Aanduiding draait om systematische concentratie, niet om individueel leveranciersrisico

Een leverancier wordt als kritiek aangemerkt omdat een groot aantal gereguleerde entiteiten ervan afhankelijk is op een manier die sectorbrede verstoring kan veroorzaken. De blootstelling van een instantie aan een leverancier, gebaseerd op de mate van daadwerkelijke afhankelijkheid, is een afzonderlijke vraag waar geen enkel aanduidingsmechanisme in welke sector dan ook namens de instantie antwoord op geeft.

Waarom uw eigen verantwoordelijkheid nooit verschuift

Of een toezichthouder nu direct toezicht houdt op een leverancier of niet, de instantie die op die leverancier vertrouwt, blijft volledig verantwoordelijk voor het begrijpen van de gevolgen bij falen. Dit geldt ongeacht de sector waarin de instantie opereert.

Extern toezicht op een leverancier is geen toezicht op uw contract

Zelfs als een leverancier onder streng toezicht staat in een heel andere sector, richt dat toezicht zich op het algemene risicobeheer van de leverancier, niet op het specifieke contract, exitplan of de afhankelijkheid van een individuele klant. Een instantie kan haar eigen zorgvuldigheid niet uitbesteden aan een toezichthouder die de werkelijke relatie met die leverancier nooit heeft beoordeeld.

Concentratierisico bestaat onafhankelijk van regulatoire reikwijdte

Een instantie die afhankelijk is van een klein aantal leveranciers voor systemen, opslag en communicatie richting burgers, loopt hetzelfde structurele concentratierisico als een financiële instelling ten opzichte van haar kritieke ICT-leveranciers, of regelgeving dat risico nu expliciet benoemt of niet.

Hoe goed leveranciersrisicobeheer eruitziet, gereguleerd of niet

De praktijken die het derdepartijrisicoregime van DORA effectief maken voor financiële entiteiten, zijn dezelfde praktijken die elke organisatie beschermen die vertrouwt op een klein aantal kritieke leveranciers.

Een register van leveranciersrelaties is een levend document

Het bijhouden van een actueel overzicht van welke leveranciers welke overheidsfuncties ondersteunen, en hoe kritiek elke leverancier is, is altijd zinvol, ongeacht sectorspecifieke verplichtingen, omdat juist deze oefening concentratierisico aan het licht brengt voordat het een crisis wordt.

Monitoring moet continu zijn, niet eenmalig

Een eenmalige zorgvuldigheidstoetsing bij het tekenen van een contract zegt niets over de actuele risicostatus van een leverancier jaren later. Continu monitoren, zelfs informeel, maakt van een leveranciersrelatie iets wat daadwerkelijk wordt beheerd in plaats van aangenomen.

Leveranciersrisicobeheer opbouwen voordat een toezichthouder het vraagt

De praktische reactie voor een instantie is het opbouwen van dezelfde interne capaciteit die een gereguleerde financiële entiteit verplicht is te ontwikkelen: een continu actueel beeld van welke leveranciers echt kritiek zijn, hoe geconcentreerd die afhankelijkheid is, en welk bewijs er is van doorlopend toezicht, uitgevoerd omdat het de instantie beschermt, niet omdat een regelgeving het eist.

Hoe een Data Control Plane continu bewijs van leveranciersrisico ondersteunt

Aantonen dat leveranciersrisico onder controle is, hangt af van het continu kunnen laten zien welke data via welke leveranciers en kanalen loopt, wie er toegang toe heeft gehad en onder welke voorwaarden, in plaats van te vertrouwen op de eigen verklaringen van een leverancier.

De Kiteworks Data Control Plane past data-bewuste zero-trust controls toe op elke actie via elk kanaal, en legt een continue, manipulatiebestendige, onbeperkte audit log vast die direct in SIEM-tools wordt gevoed. Zo krijgen instanties bewijs van hun eigen leverancierscontrole, onafhankelijk van een extern aanduidingsregime. Single-tenant architectuur en klantbeheer van encryptiesleutels betekenen bovendien dat de controle van een instantie over haar meest gevoelige uitwisselingen niet afhankelijk is van de toezichtstatus van derden.

Instanties die willen zien hoe continu bewijs hun eigen leveranciersrisicobeheer ondersteunt, kunnen een demo op maat aanvragen.