Kritische veranderingen in toezicht op derden zijn minder ingrijpend dan banken denken

Toen Europese toezichthouders bepaalde ICT-leveranciers als kritisch begonnen aan te wijzen onder DORA, zagen sommige financiële instellingen dit als goed nieuws: een leverancier die nu onder direct toezicht staat, leek te betekenen dat iemand anders het nalevingswerk doet. Het tegendeel is waar. De aanwijzing plaatst een leverancier onder het vergrootglas van de toezichthouder. Het verandert niets aan de eigen verantwoordelijkheid van de instelling.

Dat onderscheid is belangrijker dan de meeste instellingen aanvankelijk denken. Direct toezicht op een kritieke leverancier geeft toezichthouders inzicht in het risicobeheer van die leverancier. Het verandert echter niets aan wie verantwoordelijk is als de dienstverlening van die leverancier faalt en een instelling niet kan aantonen dat zij de relatie goed heeft beheerd. In dit artikel wordt besproken wat de aanwijzing als kritieke derde partij daadwerkelijk verandert voor financiële instellingen, wat precies hetzelfde blijft, en wat dat betekent voor hoe vendor risk in de toekomst wordt beheerd.

Samenvatting

Direct toezicht op kritieke ICT-derde partijen is een van de meest zichtbare ontwikkelingen onder DORA, en wordt vaak ten onrechte gezien als een verlichting van de nalevingslast voor financiële instellingen die deze leveranciers gebruiken. Dat is niet het geval. Het aanwijzingsmechanisme is bedoeld om het systemische concentratierisico binnen de gehele financiële sector te beheersen, door voortdurende betrokkenheid tussen toezichthouders en de grootste, meest onderling verbonden leveranciers. Het zegt niets over de vraag of een individuele instelling haar eigen gebruik van die leverancier, of van de vele leveranciers die nooit als kritisch worden aangemerkt, voldoende heeft beoordeeld, gedocumenteerd en gemonitord. Voor leiders op het gebied van risico en naleving is het praktische inzicht dat risicobeheer van derde partijen volledig de verantwoordelijkheid van de instelling zelf blijft, ongeacht wie er verder toezicht houdt op de leverancier.

Belangrijkste inzichten

1. Aanwijzing als kritieke derde partij plaatst een leverancier onder direct toezicht van de toezichthouder. Het draagt de eigen verantwoordelijkheid van de instelling voor het beheer van die leveranciersrelatie niet over.
2. De lijst van aangewezen kritieke leveranciers verandert in de tijd. Leveranciers worden toegevoegd naarmate hun aanwezigheid groeit en kunnen worden verwijderd als deze afneemt, waardoor een statische beoordeling van vendor risk snel verouderd raakt.
3. Concentratierisico geldt net zo goed voor niet-aangewezen leveranciers als voor aangewezen leveranciers. Een leverancier die nog niet op de kritieklijst staat, kan nog steeds een single point of failure vormen voor de eigen processen van een specifieke instelling.
4. Toezichthouders verwachten bewijs van doorlopend risicobeheer van derde partijen, niet een eenmalige beoordeling. Een register van contractuele afspraken en een overzicht van monitoringactiviteiten moeten continu worden bijgehouden.
5. Aanwijzing verandert het toezicht op de leverancier, niet de eigen verplichting van de instelling om controle aan te tonen. Financiële instellingen moeten nog steeds met eigen bewijs aantonen dat zij het risico dat een derde partij introduceert begrijpen en beheersen.

Wat de aanwijzing als kritieke derde partij daadwerkelijk doet

Het aanwijzingsmechanisme is bedoeld om toezichthouders inzicht te geven in leveranciers waarvan het falen gevolgen kan hebben voor veel financiële instellingen tegelijk, op basis van factoren zoals systemische impact, concentratie van afhankelijkheid en de mate waarin diensten eenvoudig kunnen worden vervangen.

Aanwijzing draait om systemische concentratie, niet om individueel leveranciersrisico

Een leverancier wordt als kritisch aangemerkt omdat een groot aantal financiële instellingen ervan afhankelijk is op een manier die sectorbrede verstoring kan veroorzaken als deze faalt, niet omdat het contract van een individuele instelling met die leverancier bijzonder risicovol is. De blootstelling van een individuele instelling aan diezelfde leverancier, gebaseerd op het daadwerkelijke gebruik van de dienst, is een aparte vraag waar de aanwijzing geen antwoord op geeft.

De lijst verandert, dus risicobeoordeling van leveranciers kan niet statisch zijn

Aangewezen leveranciers worden periodiek opnieuw beoordeeld en de lijst wordt opnieuw gepubliceerd, waarbij leveranciers worden toegevoegd als hun aanwezigheid groeit en verwijderd als de omstandigheden veranderen. Een instelling die “staat onze leverancier op de kritieklijst” als een eenmalige controle beschouwt, zal merken dat dat antwoord snel verouderd is, zonder dat iemand hen vertelt dat het is veranderd.

Waarom uw eigen verantwoordelijkheid niet verschuift

Toezicht op een kritieke leverancier door toezichthouders en de eigen plicht van een instelling om de relatie met die leverancier te beheren zijn twee volledig gescheiden verplichtingen die toevallig dezelfde leverancier betreffen.

Direct toezicht op de leverancier is geen toezicht op uw contract

Wanneer toezichthouders direct contact hebben met een kritieke leverancier, beoordelen zij het risicobeheer van die leverancier op hoofdlijnen. Zij beoordelen niet het specifieke contract van een individuele instelling, het exitplan of of er is uitgewerkt wat er gebeurt als de dienstverlening van de leverancier verslechtert. Dat blijft werk dat alleen de instelling zelf kan doen.

Niet-aangewezen leveranciers brengen nog steeds concentratierisico met zich mee

Omdat aanwijzing plaatsvindt op het niveau van de financiële sector, kan een leverancier die net onder de systemische drempels blijft, nog steeds een ernstig single point of failure zijn voor de specifieke instelling die ervan afhankelijk is. Het concentratierisico dat telt voor een individuele instelling is waar die instelling zelf van afhankelijk is, niet waar de sector als geheel van afhankelijk is.

Wat toezichthouders daadwerkelijk van een instelling verwachten

Ongeacht of een specifieke leverancier als kritisch is aangemerkt, wordt van financiële instellingen verwacht dat zij hun eigen, doorlopend onderbouwde inzicht in de ICT-derde partijen waarop zij vertrouwen, behouden.

Een register van informatie is een levend document, geen momentopname

Het bijhouden van een actueel register van contractuele afspraken met ICT-leveranciers, inclusief welke functies elke leverancier ondersteunt, is een doorlopende verplichting, geen document dat eenmalig voor een audit wordt opgesteld.

Monitoring moet continu zijn om als bewijs te gelden

Een zorgvuldigheidsonderzoek dat slechts één keer bij het ondertekenen van het contract wordt uitgevoerd, toont geen doorlopend risicobeheer aan. Toezichthouders verwachten continu toezicht, wat betekent dat een instelling een overzicht moet bijhouden van wat zij daadwerkelijk heeft waargenomen over de prestaties van een leverancier in de loop van de tijd.

Een risicobeheerproces voor derde partijen dat standhoudt onder toezicht

De praktische reactie op de aanwijzing als kritieke derde partij is niet om het toezicht op niet-aangewezen leveranciers te versoepelen. Het is om een interne capaciteit op te bouwen die continu bijhoudt welke leveranciers welke functies ondersteunen, hoe geconcentreerd die afhankelijkheid is en welk bewijs er is van doorlopende monitoring.

Hoe een Data Control Plane continu bewijs van derde-partijrisico ondersteunt

Aantonen van controle over ICT-derdepartijenrisico vereist dat u continu kunt laten zien welke data via welke leveranciers en kanalen wordt uitgewisseld, wie er toegang toe had en onder welke omstandigheden, in plaats van te vertrouwen op de eigen verklaringen van de leverancier.

De Kiteworks Data Control Plane past data-bewuste zero-trust controls toe op elke verzend-, deel- en toegangsactie via elk kanaal, en legt elke actie vast in een manipulatiebestendig, onbeperkt audit log dat direct wordt doorgezet naar SIEM-tools. Voor een instelling die ICT-derdepartijenrisico onder DORA beheert, betekent dit een continu, doorzoekbaar overzicht van precies hoe gevoelige data door de leveranciers en kanalen stroomt die de instelling daadwerkelijk gebruikt – bewijs dat op zichzelf staat, ongeacht de aanwijzingsstatus van een individuele leverancier. Single-tenant architectuur en klantbeheerde encryptiesleutels betekenen bovendien dat de eigen controle van de instelling over haar meest gevoelige uitwisselingen niet afhankelijk is van de toezichtstatus van een derde partij.

Instellingen die willen zien hoe continu, kanaaloverstijgend bewijs hun eigen ICT-derdepartijenverplichtingen ondersteunt, kunnen een demo op maat plannen om te ontdekken hoe dit in hun huidige leverancierslandschap werkt.