DORA's intragroep aspecten

Toenemende afhankelijkheid van ICT2 en grotere cyberdreigingen verhogen het risico op ICT-incidenten. Deze hebben een potentieel grote impact op zowel individuele (klanten van) financiële ondernemingen als op de gehele financiële sector.3 Zo hadden klanten geen of moeilijker toegang tot giraal geld doordat de apps van banken ING4 en Monzo5 tijdelijk niet functioneerden. Volgens DNB was in 2021 5% van pensioenfondsen en verzekeraars het slachtoffer van een succesvolle digitale aanval. Ook verdubbelde het door banken gerapporteerde cybergerelateerde operationele verlies tussen 2018 en 2020.6

ICT-gerelateerde risico's beperken zich niet tot financiële ondernemingen. Bijvoorbeeld omdat zij uitbesteden aan of samenwerken met (subcontractanten van) technologiebedrijven in het kader van kernapplicaties, datacentra en cloud services. Het recente debacle rondom Amsterdam Trade Bank (ATB) illustreert de afhankelijkheid van de fin...

Verder in dit artikel:

1. Inleiding

2. Werkingssfeer DORA

2.1. Wél toepassing: 'financiële entiteiten' en 'derde aanbieders van ICT-diensten'

2.2. Géén toepassing: vrijgestelde, uitgezonderde, bepaalde kleinere en 'Nederlandsrechtelijke' ondernemingen

2.3. Groepsbegrip DORA

2.4. DORA: binnen of ook buiten de EU?

2.5. Groepsvrijstellingen?

2.6. Overige regels

2.7. Toepassing van DORA op een groep

3. DORA's intragroep aspecten

3.1. Intragroep toepassing van 'evenredigheid'

3.2. Intragroep aanbieders van ICT-diensten ziet DORA als derde partijen

3.3. Intragroep uitbesteden van ICT-risicobeheer

3.4. Intragroep rapporteren van ICT-gerelateerde incidenten

3.5. Beheer van ICT-risico's van derde aanbieders

3.6. Intragroep informatie uitwisselen

3.7. DORA's impact op het prudentieel groepstoezicht

4. Conclusie