AFM doet aanbevelingen voor ICT-beveiligingsmaatregelen kapitaalmarktsector

De AFM doet deze aanbevelingen op basis van een verdiepend onderzoek naar de volwassenheid van ICT-beveiligingsmaatregelen, dat voortvloeit uit het self-assesment kapitaalmarktinstellingen uit 2022.

Het verdiepende onderzoek is uitgevoerd bij een selectie van instellingen op een subset van de beveiligingsmaatregelen. Hoewel het verdiepende onderzoek geen significante tekortkomingen laat zien op de geselecteerde maatregelen, komen er wel enkele punten van aandacht naar voren. De drie voornaamste aanbevelingen met betrekking tot het verbeteren van de ICT-beveiligingsmaatregelen zijn:

• Stel een uitgebreid ICT-risicoregister op
Een ICT-risicoregister bevat een overzicht van alle uitgevoerde risico-analyses, inclusief inherente risico’s en restrisico’s, en de daaraan gekoppelde verbeterplannen. De opzet en diepgang van de risicoregisters die zijn onderzocht verschillen. Hierdoor is het lastig om te bepalen of alle risico’s voldoende gemitigeerd worden en restrisico’s binnen de risicotolerantie van een instelling passen.

• Neem scenario’s voor cyberaanvallen mee in bedrijfscontinuïteitstesten
Het testen van cyberaanval-scenario’s is een belangrijke aanpak om ervoor te zorgen dat een instelling kan herstellen van cyber-aanvallen, zoals een ransomware-aanval. Deze scenario’s maken niet altijd deel uit van de bedrijfscontinuïteitstesten.

• Richt adequaat service level management in bij uitbesteding binnen de groep
Een aantal van de geselecteerde instellingen maakt deel uit van een internationale groep en besteedt aanzienlijke delen van hun ICT-diensten binnen deze groep uit. Ook voor het afnemen van intra-groep diensten dient service level management ingericht te zijn. Het service level management bij uitbesteding binnen de groep was in bepaalde gevallen minder geformaliseerd dan externe uitbestedingsregelingen.

Voorbereidingen op DORA

In het verlengde van de aanbevelingen, moet de financiële sector de komende tijd voorbereidingen treffen op de inwerkingtreding van de Digital Operational Resilliance Act (DORA). Deze nieuwe set van regels ziet toe op uniforme eisen aan de beveiliging van netwerk- en informatiesystemen van bedrijven en organisaties die actief zijn in de financiële sector. Doel is de digitale operationele weerbaarheid van de sector te vergoten. Instellingen hebben tot 17 januari 2025 de tijd om te voldoen aan alle vereisten uit de verordening.