{"text_format":"2","workbook":"xlsx","n_sheets":10,"sheets":["Inleiding","Hoofdstuk 1","Hoofdstuk 2","Hoofdstuk 3","Hoofdstuk 4","Hoofdstuk 5","Hoofdstuk 6","Hoofdstuk 7","Hoofdstuk 8","Hoofdstuk 9"],"not_rendered":{"charts":0,"images":0,"macros":0,"external_links":0,"defined_names":0,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"run_cost":"one","rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"Inleiding","index":0,"n_rows":21,"n_cols":4,"rows_kept":21,"cut":false,"hidden":false,"merged":[[2,0,2,1],[14,0,14,3],[17,1,17,3],[18,1,18,3],[19,1,19,3],[20,1,20,3],[3,1,3,2],[4,1,4,2],[5,1,5,2],[6,1,6,2],[7,1,7,2],[8,1,8,2],[9,1,9,2],[10,1,10,2],[11,1,11,2]]}
["Template GAP analyse DORA"]
[]
["Hoofdstukken",null,null,"Artikelen"]
[1,"Algemene bepalingen",null,"1 - 4"]
[2,"ICT-risicobeheer",null,"5 - 16"]
[3,"Beheer, classificatie en rapportage van ICT-gerelateerde incidenten",null,"17 - 23"]
[4,"Testen van digitale operationele weerbaarheid",null,"24 - 27"]
[5,"Beheer van ICT-risico van derde aanbieders",null,"28 - 44"]
[6,"Regelingen voor de uitwisseling van informatie",null,"45"]
[7,"Bevoegde autoriteiten",null,"46 - 56"]
[8,"Gedelegeerde handelingen",null,"57"]
[9,"Overgangs- en slotbepalingen",null,"58 - 64"]
[]
["Invulinstructie"]
["In de volgende tabbladen is de DORA Verordening regel voor regel uitgeschreven. Elke regel dient gecontroleerd te worden op haar impact. Daarbij kan vastgesteld worden dat de organisatie voldoet, deels voldoet of nog niet voldoet aan de bepaling. Ook kan de bepaling niet van toepassing zijn op de organisatie. Wanneer de organisatie deels of niet voldoet, weet het aan welke bepalingen moet werken om compliant te zijn aan DORA."]
[]
["Legenda"]
[null,"= niet van toepassing voor de organisatie"]
[null,"= organisatie voldoet (grotendeels) aan betreffende bepaling (bijv. opgenomen in controleraamwerken binnen de organisatie, opgenomen in beleid, processen of procedures, en aantoonbaar)"]
[null,"= organisatie voldoet deels aan betreffende bepaling, op onderdelen is actie vereist (bijv. niet volledig conform bepaling opgenomen in beleid, processen of procedures, of aantoonbaarheid ontbreekt)"]
[null,"= organisatie voldoet niet aan betreffende bepaling (bijv. niet belegd in organisatie, geen onderdeel van huidig beleid, proces of procedure, nieuw vorm te geven)"]

{"sheet":"Hoofdstuk 1","index":1,"n_rows":5,"n_cols":9,"rows_kept":5,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,0,4,0]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 1","Onderwerp",null,"Geen requirements"]
[null,"Art. 2","Toepassingsgebied",null,"Geen requirements"]
[null,"Art. 3","Definities",null,"Geen requirements"]
[null,"Art. 4","Evenredigheids-beginsel",null,"Geen requirements"]

{"sheet":"Hoofdstuk 2","index":2,"n_rows":134,"n_cols":9,"rows_kept":134,"cut":false,"hidden":false,"merged":[[1,2,13,2],[44,2,58,2],[44,1,58,1],[0,0,0,3],[1,0,13,0],[37,1,43,1],[37,2,43,2],[32,1,36,1],[32,2,36,2],[14,1,31,1],[14,2,31,2],[1,1,13,1],[59,1,62,1],[59,2,62,2],[14,0,133,0],[94,2,104,2],[94,1,104,1],[82,2,93,2],[82,1,93,1],[63,2,81,2],[63,1,81,1],[117,2,133,2],[117,1,133,1],[108,2,116,2],[108,1,116,1],[105,1,107,1],[105,2,107,2]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
["Afdeling I","Art. 5","Governance en organisatie","5.1","Financiële entiteiten beschikken over een intern governance- en controlekader dat een doeltreffend en prudent beheer van het ICT-risico waarborgt, overeenkomstig artikel 6, lid 4, teneinde een hoog niveau van digitale operationele weerbaarheid te verkrijgen."]
[null,null,null,"5.2","Het leidinggevend orgaan van een financiële entiteit bepaalt alle regelingen met betrekking tot het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer, keurt deze goed, houdt toezicht op de uitvoering ervan en is ervoor verantwoordelijk. \nVoor de toepassing van de eerste alinea is het leidinggevend orgaan belast met:"]
[null,null,null,"5.2a","de eindverantwoordelijkheid voor het beheer van het ICT-risico van de financiële entiteit;"]
[null,null,null,"5.2b","de invoering van beleidslijnen die erop gericht zijn de handhaving van hoge normen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens te waarborgen;"]
[null,null,null,"5.2c","de vaststelling van duidelijke taken en verantwoordelijkheden voor alle ICT-gerelateerde functies en van passende governanceregelingen om te zorgen voor doeltreffende en tijdige communicatie, samenwerking en coördinatie tussen die functies;"]
[null,null,null,"5.2d","de algemene verantwoordelijkheid voor het vaststellen en goedkeuren van de strategie voor digitale operationele weerbaarheid als bedoeld in artikel 6, lid 8, met inbegrip van de bepaling van het passende risicotolerantieniveau voor het ICT-risico van de financiële entiteit, als bedoeld in artikel 6, lid 8, punt b);"]
[null,null,null,"5.2e","de goedkeuring van, het toezicht op en de periodieke evaluatie van de uitvoering van het beleid inzake ICT-bedrijfscontinuïteit en van de ICT-respons- en herstelplannen van de financiële entiteit, als bedoeld in respectievelijk artikel 11, leden 1 en 3, die kunnen worden aangenomen als een specifiek afzonderlijk beleid en als integrerend onderdeel van het ruimere beleid inzake bedrijfscontinuïteit en het respons- en herstelplan van de financiële entiteit;"]
[null,null,null,"5.2f","de goedkeuring en de periodieke evaluatie van de interne ICT-auditplannen en ICT-audits van de financiële entiteit en materiële wijzigingen daarvan;"]
[null,null,null,"5.2g","de toewijzing en de periodieke evaluatie van het passende budget om te voldoen aan de behoeften inzake digitale operationele weerbaarheid van de financiële entiteit met betrekking tot alle soorten middelen, waaronder relevante bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid zoals bedoeld in artikel 13, lid 6, en ICT-vaardigheden voor al het personeel;"]
[null,null,null,"5.2h","de goedkeuring en de periodieke evaluatie van het beleid van de financiële entiteit inzake regelingen betreffende het gebruik van ICT-diensten die door derde aanbieders van ICT-diensten worden verleend;"]
[null,null,null,"5.2i","het opzetten van meldingskanalen op bedrijfsniveau die het in staat stellen informatie in te winnen over:\n1) overeenkomsten met derde aanbieders van ICT-diensten inzake het gebruik van ICT-diensten;\n2) elke relevante gepland materiële wijziging betreffende de derde aanbieders van ICT-diensten;\n3) de potentiële effecten van deze veranderingen voor de kritieke of belangrijke functies die onder die overeenkomsten vallen, inclusief door middel van een samenvatting van de risicoanalyse om het effect te beoordelen van die veranderingen op zijn minst ernstige ICT-gerelateerde incidenten en de gevolgen daarvan, alsook respons-, herstel- en corrigerende maatregelen."]
[null,null,null,"5.3","Andere financiële entiteiten dan micro-ondernemingen stellen een taak vast om de overeenkomsten met derde aanbieders van ICT-diensten met betrekking tot het gebruik van deze diensten te monitoren, of wijzen een lid van het hoger leidinggevend personeel aan dat verantwoordelijk is voor het toezicht op de desbetreffende risicoblootstelling en de relevante documentatie."]
[null,null,null,"5.4","De leden van het leidinggevend orgaan van de financiële entiteit onderhouden actief voldoende kennis en vaardigheden om ICT-risico en de gevolgen daarvan voor de verrichtingen van de financiële entiteit te begrijpen en te beoordelen, onder meer door regelmatig specifieke opleidingen te volgen die in verhouding staan tot het te beheren ICT- risico."]
["Afdeling II","Art. 6","Kader voor ICT-risicobeheer","6.1","Financiële entiteiten beschikken over een solide, alomvattend en goed gedocumenteerd kader voor ICT-risicobeheer, als onderdeel van hun algemeen risicobeheersysteem, dat hen in staat stelt ICT-risico snel, efficiënt en zo volledig mogelijk aan te pakken en een hoog niveau van digitale operationele weerbaarheid te waarborgen."]
[null,null,null,"6.2","Het kader voor ICT-risicobeheer omvat ten minste strategieën, beleidslijnen, procedures, ICT-protocollen en instrumenten die nodig zijn om alle informatie- en ICT-activa, met inbegrip van computersoftware, hardware, servers naar behoren en toereikend te beschermen, en om alle relevante fysieke elementen en infrastructuur, zoals gebouwen en terreinen, datacentra en als gevoelig aangewezen gebieden te beschermen, teneinde te waarborgen dat alle informatie- en ICT-activa toereikend worden beschermd tegen risico’s, waaronder schade, ongeoorloofde toegang en ongeoorloofd gebruik."]
[null,null,null,"6.3","Overeenkomstig hun kader voor ICT-risicobeheer beperken financiële entiteiten de impact van ICT-risico tot een minimum door passende strategieën, beleidslijnen, procedures, ICT-protocollen en instrumenten in te zetten. Op verzoek van de bevoegde autoriteiten verstrekken zij aan die autoriteiten volledige en geactualiseerde informatie over ICT-risico en over hun kader voor ICT-risicobeheer."]
[null,null,null,"6.4","Andere financiële entiteiten dan micro-ondernemingen wijzen de verantwoordelijkheid voor het beheer van en toezicht op ICT-risico toe aan een controlefunctie en waarborgen een passend niveau van onafhankelijkheid van die controlefunctie om belangenconflicten te voorkomen. Financiële entiteiten waarborgen een passende scheiding en onafhankelijkheid van ICT-risicobeheerfuncties, controlefuncties en interne auditfuncties, overeenkomstig het model van de drie verdedigingslijnen of een model voor intern risicobeheer en -controle."]
[null,null,null,"6.5","Het kader voor ICT-risicobeheer wordt ten minste eenmaal per jaar, of periodiek in het geval van micro- ondernemingen, gedocumenteerd en geëvalueerd, alsook wanneer zich ernstige ICT-gerelateerde incidenten voordoen en na toezichtinstructies of -conclusies die voortvloeien uit relevante tests of auditprocessen op het gebied van digitale operationele weerbaarheid. Het wordt voortdurend verbeterd op basis van de lessen die uit de uitvoering en de monitoring naar voren komen. Aan de bevoegde autoriteit wordt een verslag bezorgd over de evaluatie van het kader voor ICT- risicobeheer indien zij daarom verzoekt."]
[null,null,null,"6.6","Het kader voor ICT-risicobeheer van andere financiële entiteiten dan micro-ondernemingen wordt regelmatig onderworpen aan een interne audit door auditors, in overeenstemming met het auditplan van de financiële entiteiten. Deze auditors beschikken over voldoende kennis, vaardigheden en deskundigheid op het gebied van ICT-risico en over de nodige onafhankelijkheid. De frequentie en de focus van de ICT-audits staan in verhouding tot het ICT-risico van de financiële entiteit."]
[null,null,null,"6.7","Op basis van de conclusies van de interne audit stellen financiële entiteiten een formeel follow-upproces vast, met regels voor de tijdige verificatie en remediëring van kritieke ICT-auditbevindingen."]
[null,null,null,"6.8","Het kader voor ICT-risicobeheer omvat een strategie voor digitale operationele weerbaarheid waarin de wijze van tenuitvoerlegging van het kader wordt vastgesteld. Daartoe omvat de strategie voor digitale operationele weerbaarheid methoden om ICT-risico aan te pakken en specifieke ICT-doelstellingen te verwezenlijken, door:"]
[null,null,null,"6.8a","- toe te lichten hoe het kader voor ICT-risicobeheer de bedrijfsstrategie en -doelstellingen van de financiële entiteit ondersteunt;"]
[null,null,null,"6.8b","- het risicotolerantieniveau voor ICT-risico vast te stellen in overeenstemming met de risicobereidheid van de financiële entiteit, en de tolerantie ten aanzien van de effecten van ICT-storingen te analyseren;"]
[null,null,null,"6.8c","- duidelijke informatiebeveiligingsdoelstellingen vast te stellen, met inbegrip van kernprestatie-indicatoren en kernrisicomaatstaven;"]
[null,null,null,"6.8d","- de ICT-referentiearchitectuur toe te lichten alsmede eventuele wijzigingen daarin die noodzakelijk zijn om specifieke bedrijfsdoelstellingen te bereiken;"]
[null,null,null,"6.8e","- de verschillende mechanismen te beschrijven die zijn ingesteld om ICT-gerelateerde incidenten op te sporen, de effecten ervan te voorkomen en te voorzien in beveiliging tegen deze effecten;"]
[null,null,null,"6.8f","- de huidige situatie op het gebied van digitale operationele weerbaarheid aan te tonen op basis van het aantal gemelde ernstige ICT-gerelateerde incidenten en de doeltreffendheid van preventieve maatregelen;"]
[null,null,null,"6.8g","- tests te verrichten van de digitale operationele weerbaarheid, overeenkomstig hoofdstuk IV van deze verordening;"]
[null,null,null,"6.8h","- en een communicatiestrategie uit te stippelen in het geval van ICT-gerelateerde incidenten die overeenkomstig artikel 14 openbaar moeten worden gemaakt."]
[null,null,null,"6.9","Financiële entiteiten kunnen, in het kader van de in lid 8 bedoelde strategie voor digitale operationele weerbaarheid, op groeps- of entiteitsniveau een holistische multivendorstrategie op ICT-gebied vaststellen, waarin belangrijke afhankelijkheden van derde aanbieders van ICT-diensten worden aangegeven en de motivering voor de mix van aanbestedingen bij derde aanbieders van ICT-diensten wordt toegelicht."]
[null,null,null,"6.10","Financiële entiteiten kunnen, in overeenstemming met het Unie- en nationale sectorale recht, de verificatietaken inzake naleving van de vereisten op het gebied van ICT-risicobeheer uitbesteden aan intragroeps- of externe ondernemingen. In het geval van een dergelijke uitbesteding blijft de financiële entiteit volledig verantwoordelijk voor de controle op de naleving van de vereisten inzake ICT-risicobeheer."]
[null,"Art. 7","ICT-systemen, -protocollen en -instrumenten","7.","Om ICT-risico aan te pakken en te beheren, gebruiken en onderhouden financiële entiteiten geactualiseerde ICT-systemen, -protocollen en -instrumenten die:"]
[null,null,null,"7.a","- geschikt zijn gezien de omvang van de verrichtingen ter ondersteuning van hun activiteiten, in overeenstemming met het evenredigheidsbeginsel als bedoeld in artikel 4;"]
[null,null,null,"7.b","- betrouwbaar zijn;"]
[null,null,null,"7.c","- voldoende capaciteit hebben voor een nauwkeurige verwerking van de gegevens die nodig zijn voor de uitvoering van activiteiten en de tijdige verlening van diensten, en om zo nodig volumepieken in orders, orderberichten of transacties op te vangen, onder meer wanneer nieuwe technologie wordt ingevoerd;"]
[null,null,null,"7.d","- technologisch gezien voldoende weerbaar zijn om indien nodig in gespannen marktomstandigheden of andere ongunstige situaties naar behoren te voorzien in bijkomende gegevensverwerking."]
[null,"Art. 8","Identificatie","8.1","In het kader van het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer identificeren, classificeren en documenteren financiële entiteiten naar behoren alle door ICT ondersteunde bedrijfsfuncties, taken en verantwoordelijkheden, de informatie- en ICT-activa die deze functies ondersteunen, en hun taken en afhankelijkheden met betrekking tot ICT-risico’s. Financiële entiteiten evalueren indien nodig en ten minste eenmaal per jaar of deze classificatie en de relevante documentatie adequaat is."]
[null,null,null,"8.2","Financiële entiteiten identificeren permanent alle bronnen van ICT-risico, met name de wederzijdse risicoblootstelling ten aanzien van andere financiële entiteiten, en beoordelen de cyberdreigingen en ICT-kwetsbaarheden die relevant zijn voor hun door ICT ondersteunde bedrijfsfuncties en informatie- en ICT-activa. Financiële entiteiten evalueren regelmatig en ten minste eenmaal per jaar de risicoscenario’s die op hen van invloed zijn."]
[null,null,null,"8.3","Andere financiële entiteiten dan micro-ondernemingen verrichten een risicobeoordeling bij elke belangrijke wijziging in de netwerk- en informatiesysteeminfrastructuur en in de processen of procedures die van invloed zijn op hun door ICT ondersteunde bedrijfsfuncties en informatie- of ICT-activa."]
[null,null,null,"8.4","Financiële entiteiten identificeren alle informatie- en ICT-activa, met inbegrip van die welke zich op afgelegen locaties bevinden, netwerkmiddelen en hardware-uitrusting, en inventariseren die welke zij cruciaal achten. Zij inventariseren de configuratie van de informatie- en ICT-activa en de verbanden en onderlinge afhankelijkheden tussen de verschillende informatie- en ICT-activa."]
[null,null,null,"8.5","Financiële entiteiten identificeren en documenteren alle processen die afhankelijk zijn van derde aanbieders van ICT- diensten en identificeren interconnecties met derde aanbieders van ICT-diensten die diensten verlenen die kritieke of belangrijke functies ondersteunen."]
[null,null,null,"8.6","Voor de toepassing van de leden 1, 4 en 5 houden financiële entiteiten desbetreffende inventarissen bij en actualiseren zij deze periodiek en telkens wanneer zich een belangrijke wijziging als bedoeld in lid 3 voordoet."]
[null,null,null,"8.7","Andere financiële entiteiten dan micro-ondernemingen verrichten regelmatig en ten minste eenmaal per jaar een specifieke ICT-risicobeoordeling op alle legacy-ICT-systemen en in ieder geval voor en na de aansluiting van technologieën, toepassingen of systemen."]
[null,"Art. 9","Bescherming en voorkoming","9.1","Om ICT-systemen op passende wijze te beschermen en met het oog op de organisatie van responsmaatregelen monitoren en controleren financiële entiteiten voortdurend de beveiliging en werking van de ICT-systemen en -instrumenten en beperken zij de effecten van ICT-risico op ICT-systemen door de inzet van passende ICT-beveiligingsinstrumenten, -beleidslijnen en -procedures."]
[null,null,null,"9.2","Financiële entiteiten zorgen voor het ontwerp, de aanbesteding en de uitvoering van ICT-beveiligingsbeleidslijnen, -procedures, -protocollen en -instrumenten die er op gericht zijn de weerbaarheid, continuïteit en beschikbaarheid van ICT-systemen, met name die welke kritieke of belangrijke functies ondersteunen, te waarborgen alsmede hoge normen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, zowel in rusttoestand, bij gebruik als bij doorvoer, te handhaven."]
[null,null,null,"9.3","Om de in lid 2 bedoelde doelstellingen te verwezenlijken, maken financiële entiteiten gebruik van ICT-technologieën en -processen die geschikt zijn overeenkomstig artikel 4. Die ICT-oplossingen en -processen:"]
[null,null,null,"9.3a","- waarborgen de beveiliging van de middelen voor overdracht van gegevens;"]
[null,null,null,"9.3b","- beperken het risico op aantasting of verlies van gegevens, ongeoorloofde toegang en technische gebreken die de bedrijfsactiviteit kunnen belemmeren;"]
[null,null,null,"9.3c","- voorkomen een gebrek aan beschikbaarheid, de aantasting van de authenticiteit en integriteit, de inbreuken op de vertrouwelijkheid en het verlies van gegevens;"]
[null,null,null,"9.3d","- zorgen ervoor dat gegevens worden beschermd tegen risico’s bij het gegevensbeheer, met inbegrip van slecht bestuur, risico’s bij de verwerking en menselijke fouten."]
[null,null,null,"9.4","In het kader van het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer zorgen financiële entiteiten voor het volgende:"]
[null,null,null,"9.4a","- zij ontwikkelen en documenteren een beleid inzake informatiebeveiliging waarin regels worden vastgesteld ter bescherming van de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, informatie- en ICT- activa, inclusief die van hun klanten, in voorkomend geval;"]
[null,null,null,"9.4b","- zij voeren op grond van een op risico’s gebaseerde aanpak een degelijke structuur voor netwerk- en infrastructuurbeheer in met gebruik van passende technieken, methoden en protocollen, eventueel met toepassing van geautomatiseerde mechanismen om in geval van cyberaanvallen de getroffen informatieactiva te isoleren;"]
[null,null,null,"9.4c","- zij voeren een beleid waarbij de fysieke of logische toegang tot informatie- en ICT-activa wordt beperkt tot hetgeen alleen voor legitieme en goedgekeurde functies en activiteiten noodzakelijk is, en voeren daartoe een reeks beleidslijnen, procedures en controles in om toegangsrechten en een degelijk beheer daarvan te waarborgen;"]
[null,null,null,"9.4d","- zij voeren beleidslijnen en protocollen in voor strenge authenticatiemechanismen die gebaseerd zijn op relevante normen, specifieke controlesystemen en beschermingsmaatregelen voor cryptografische sleutels, waarbij gegevens worden versleuteld uitgaande van de resultaten van goedgekeurde processen van gegevensclassificatie en ICT- risicobeoordeling;"]
[null,null,null,"9.4e","- zij voeren gedocumenteerde beleidslijnen, procedures en controles in voor het beheer van veranderingen in ICT, met inbegrip van veranderingen in software, hardware, firmwarecomponenten, systemen of beveiligingsparameters, die uitgaan van een op risicobeoordeling gebaseerde aanpak en integrerend deel uitmaken van het algemene veranderingsbeheerproces van de financiële entiteit, teneinde te garanderen dat alle veranderingen in ICT-systemen op gecontroleerde wijze worden geregistreerd, getest, beoordeeld, goedgekeurd, ingevoerd en geverifieerd;"]
[null,null,null,"9.4f","- zij beschikken over een passend en alomvattend gedocumenteerd beleid voor patches en updates."]
[null,null,null,"9.4 na","Voor de toepassing van de eerste alinea, punt b) ontwerpen financiële entiteiten de netwerkaansluitinfrastructuur op zodanige wijze dat deze onmiddellijk kan worden afgekoppeld of gesegmenteerd teneinde besmetting te beperken en te voorkomen, met name voor onderling gekoppelde financiële processen.\nVoor de toepassing van de eerste alinea, punt e) wordt het beheerproces inzake ICT-veranderingen goedgekeurd door passende beheerlijnen en voorzien van specifieke protocollen."]
[null,"Art. 10","Detectie","10.1","Financiële entiteiten beschikken over mechanismen om overeenkomstig artikel 17 afwijkende activiteiten zo spoedig mogelijk te detecteren, met inbegrip van kwesties op het gebied van ICT-netwerkprestaties en ICT-gerelateerde incidenten, en om potentiële zwakke fysieke punten (“single points of failure”) te identificeren.\nAlle in de eerste alinea bedoelde detectiemechanismen worden regelmatig getest overeenkomstig artikel 25."]
[null,null,null,"10.2","De in lid 1 bedoelde detectiemechanismen maken meerdere controlelagen mogelijk en bepalen waarschuwingsdrempels en criteria om processen voor respons op ICT-gerelateerde incidenten in werking te stellen, met inbegrip van automatische waarschuwingsmechanismen voor de betrokken personeelsleden die belast zijn met de respons op ICT- gerelateerde incidenten."]
[null,null,null,"10.3","Financiële entiteiten zetten voldoende middelen en capaciteiten in om toezicht te houden op activiteiten van gebruikers en het optreden van ICT-anomalieën en ICT-gerelateerde incidenten, met name cyberaanvallen."]
[null,null,null,"10.4","Aanbieders van datarapporteringsdiensten beschikken daarnaast over systemen die transactiemeldingen doeltreffend op volledigheid kunnen controleren, omissies en aperte fouten kunnen opsporen en om hernieuwde transmissie van die meldingen kunnen verzoeken."]
[null,"Art. 11","Respons en herstel","11.1","Binnen het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer en op basis van de in artikel 8 gestelde identificatievereisten voeren financiële entiteiten een alomvattend ICT-bedrijfscontinuïteitsbeleid dat kan worden aangenomen als een specifiek beleid en een integrerend onderdeel vormt van het ruimere bedrijfsbrede beleid inzake bedrijfscontinuïteit van de financiële entiteit."]
[null,null,null,"11.2","Financiële entiteiten voeren het ICT-bedrijfscontinuïteitsbeleid uit via specifieke, aangepaste en gedocumenteerde regelingen, plannen, procedures en mechanismen die erop gericht zijn:"]
[null,null,null,"11.2a","- de continuïteit van de kritieke of belangrijke functies van de financiële entiteit te verzekeren;"]
[null,null,null,"11.2b","- op een snelle, passende en doeltreffende wijze een respons en een oplossing te bieden voor alle ICT-gerelateerde incidenten waarbij de schade wordt beperkt en prioriteit wordt verleend aan de hervatting van de activiteiten en aan herstelmaatregelen;"]
[null,null,null,"11.2c","- onverwijld specifieke plannen in werking te stellen om inperkingsmaatregelen, -processen en -technologieën mogelijk te maken die aangepast zijn aan elk type ICT-gerelateerd incident en waarmee verdere schade kan worden voorkomen, alsmede op maat gesneden respons- en herstelprocedures in overeenstemming met artikel 12;"]
[null,null,null,"11.2d","- de voorlopige effecten, schade en verliezen te ramen;"]
[null,null,null,"11.2e","- maatregelen voor communicatie en crisisbeheersing op te stellen die garanderen dat aan alle betrokken interne personeelsleden en externe belanghebbenden geactualiseerde informatie wordt verstrekt overeenkomstig artikel 14, en verslag uit te brengen aan de bevoegde autoriteiten overeenkomstig artikel 19."]
[null,null,null,"11.3","Binnen het in artikel 6, lid 1, bedoelde kader voor ICT-risicobeheer voeren financiële entiteiten bijbehorende ICT- respons- en herstelplannen in die, in het geval van andere financiële entiteiten dan micro-ondernemingen, aan onafhankelijke interne audits worden onderworpen."]
[null,null,null,"11.4","Financiële entiteiten voeren passende ICT-bedrijfscontinuïteitsplannen in, handhaven deze en zorgen voor periodieke tests, met name wat betreft kritieke of belangrijke functies die zijn uitbesteed of via contractuele overeenkomsten met derde aanbieders van ICT-diensten zijn overeengekomen."]
[null,null,null,"11.5","In het kader van het algemene bedrijfscontinuïteitsbeleid voeren financiële entiteiten een bedrijfsimpactanalyse (business impact analysis — BIA) uit van hun blootstelling aan ernstige verstoringen van de bedrijfsactiviteiten. In het kader van de BIA beoordelen financiële entiteiten de potentiële gevolgen van ernstige verstoringen van de bedrijfsactiviteiten aan de hand van kwantitatieve en kwalitatieve criteria, in voorkomend geval met behulp van interne en externe gegevens en scenarioanalyse. In de BIA wordt rekening gehouden met de kritieke aard van geïdentificeerde en in kaart gebrachte bedrijfsfuncties, ondersteuningsprocessen, afhankelijkheden van derden en informatieactiva, en hun onderlinge afhankelijkheden. Financiële entiteiten zorgen ervoor dat ICT-activa en ICT-diensten worden ontworpen en gebruikt in volledige overeenstemming met de BIA, met name om de redundantie van alle kritieke onderdelen adequaat te waarborgen."]
[null,null,null,"11.6","In het kader van hun alomvattend ICT-risicobeheer testen financiële entiteiten:"]
[null,null,null,"11.6a","- ten minste jaarlijks en in geval van substantiële wijzigingen in ICT-systemen die kritieke of belangrijke functies ondersteunen, de ICT-bedrijfscontinuïteitsplannen en de ICT-respons- en herstelplannen met betrekking tot ICT- systemen die kritieke of belangrijke functies ondersteunen;"]
[null,null,null,"11.6b","- de overeenkomstig artikel 14 opgestelde crisiscommunicatieplannen."]
[null,null,null,"11.6x","Voor de toepassing van de eerste alinea, punt a), nemen andere financiële entiteiten dan micro-ondernemingen in de testplannen scenario’s op van cyberaanvallen en omschakelingen tussen de primaire ICT-infrastructuur en de reservecapaciteit, backups en reservefaciliteiten die noodzakelijk zijn om te voldoen aan de in artikel 12 bedoelde verplichtingen.\nFinanciële entiteiten evalueren regelmatig hun ICT-bedrijfscontinuïteitsbeleid en hun ICT-respons- en herstelplannen, rekening houdend met de resultaten van de overeenkomstig de eerste alinea uitgevoerde tests en de aanbevelingen die voortvloeien uit audits of toezichtbeoordelingen."]
[null,null,null,"11.7","Andere financiële entiteiten dan micro-ondernemingen beschikken over een functie voor crisisbeheer die in geval van activering van hun ICT-bedrijfscontinuïteitsplannen of ICT-respons- en herstelplannen onder meer duidelijke procedures bepaalt voor het beheer van interne en externe crisiscommunicatie in overeenstemming met artikel 14."]
[null,null,null,"11.8","Financiële entiteiten houden gemakkelijk toegankelijke registers bij van hun activiteiten vóór en tijdens storingen wanneer hun ICT-bedrijfscontinuïteitsplannen en ICT-respons- en herstelplannen worden geactiveerd."]
[null,null,null,"11.9","Centrale effectenbewaarinstellingen verstrekken de bevoegde autoriteiten kopieën van de resultaten van de ICT- bedrijfscontinuïteitstests of van soortgelijke oefeningen."]
[null,null,null,"11.10","Andere financiële entiteiten dan micro-ondernemingen verstrekken de bevoegde autoriteiten op hun verzoek een raming van de geaggregeerde jaarlijkse kosten en verliezen als gevolg van ernstige ICT-gerelateerde incidenten."]
[null,null,null,"11.11","Overeenkomstig artikel 16 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 ontwikkelen de ETA’s, via het Gemengd Comité, uiterlijk op 17 juli 2024gemeenschappelijke richtsnoeren voor de raming van de geaggregeerde jaarlijkse kosten en verliezen als bedoeld in lid 10."]
[null,"Art. 12","Back-upbeleid en -procedures, terugzettings- en herstelprocedures en -methoden","12.1","Teneinde het terugzetten van ICT-systemen en gegevens te verzekeren met een minimale uitval en een beperkte verstoring en beperkt verlies, ontwikkelen en documenteren financiële entiteiten als onderdeel van hun kader voor ICT- risicobeheer:"]
[null,null,null,"12.1a","- back-upbeleid en -procedures waarin nader wordt bepaald op welke gegevens de back-up en de minimale frequentie van de back-up worden toegepast, op basis van het kritieke karakter van de informatie of het vertrouwelijkheidsniveau van de gegevens;"]
[null,null,null,"12.1b","- terugzettings- en herstelprocedures en -methoden."]
[null,null,null,"12.2","Financiële entiteiten zetten back-upsystemen op die kunnen worden geactiveerd in overeenstemming met het back- upbeleid, de back-upprocedures, en de terugzettings- en herstelprocedures en -methoden. De activering van back- upsystemen mag de beveiliging van de netwerk- en informatiesystemen of de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens niet in gevaar brengen. De back-upprocedures en de terugzettings- en herstelprocedures en -methoden worden periodiek getest."]
[null,null,null,"12.3","Wanneer financiële entiteiten back-upgegevens terugzetten met behulp van eigen systemen, maken zij gebruik van ICT-systemen die fysiek of logisch gescheiden zijn van het bron-ICT-systeem. De ICT-systemen zijn tegen ongeoorloofde toegang of beschadiging van ICT beveiligd en maken het mogelijk diensten indien nodig tijdig terug te zetten met gebruikmaking van gegevens en systeemback-ups.\nVoor centrale tegenpartijen maken de herstelplannen het herstel mogelijk van alle transacties ten tijde van de verstoring, om de centrale tegenpartij in staat te stellen haar activiteiten met zekerheid voort te zetten en de transactie af te wikkelen op de geplande datum.\nAanbieders van datarapporteringsdiensten houden daarnaast voldoende middelen aan en beschikken over back-up- en terugzetfaciliteiten om hun diensten te allen tijde aan te bieden en te onderhouden."]
[null,null,null,"12.4","Andere financiële entiteiten dan micro-ondernemingen houden ICT-capaciteiten in reserve met middelen, capaciteiten en functies die geschikt zijn om te voorzien in de zakelijke behoeften. Micro-ondernemingen gaan op basis van hun risicoprofiel na of dergelijke reservecapaciteiten behouden moeten worden."]
[null,null,null,"12.5","Centrale effectenbewaarinstellingen handhaven ten minste één secundaire verwerkingslocatie, met adequate middelen, capaciteiten, functies en personeelsvoorziening om te voorzien in de zakelijke behoeften.\nDe secundaire verwerkingslocatie is:"]
[null,null,null,"12.5a","- fysiek gevestigd op een bepaalde afstand van de primaire verwerkingslocatie om te verzekeren dat de locatie een ander risicoprofiel heeft en om te voorkomen dat deze wordt getroffen door de gebeurtenis die de primaire locatie heeft getroffen;"]
[null,null,null,"12.5b","- in staat de continuïteit van kritieke of belangrijke functies op dezelfde manier te waarborgen als de primaire locatie of het niveau van diensten te leveren dat noodzakelijk is om ervoor te zorgen dat de financiële entiteit haar kritieke activiteiten verricht binnen het kader van de hersteldoelstellingen;"]
[null,null,null,"12.5c","- onmiddellijk toegankelijk voor het personeel van de financiële entiteit om de continuïteit van kritieke of belangrijke functies te waarborgen ingeval de primaire verwerkingslocatie niet langer beschikbaar is."]
[null,null,null,"12.6","Bij het bepalen van de doelstellingen inzake hersteltijd en herstelpunt voor elke functie houden financiële entiteiten rekening met de vraag of het een kritieke of belangrijke functie betreft en met het potentiële algemene effect op de marktefficiëntie. Deze tijdsdoelstellingen zorgen ervoor dat de overeengekomen niveaus in extreme scenario’s worden gehaald."]
[null,null,null,"12.7","Bij herstel van een ICT-gerelateerd incident verrichten financiële entiteiten de benodigde controles, ook meerdere controles, waaronder afstemmingen, om ervoor te zorgen dat het hoogste niveau van gegevensintegriteit wordt gehandhaafd. Deze controles worden ook verricht bij het reconstrueren van gegevens van externe belanghebbenden om te waarborgen dat alle gegevens consistent zijn tussen de systemen."]
[null,"Art. 13","Scholing en ontwikkeling","13.1","Financiële entiteiten beschikken over capaciteiten en personele middelen om informatie te verzamelen over kwetsbaarheden en cyberdreigingen, ICT-gerelateerde incidenten, met name cyberaanvallen, en om de waarschijnlijke gevolgen ervan voor hun digitale operationele weerbaarheid te analyseren."]
[null,null,null,"13.2","Financiële entiteiten verrichten ICT-gerelateerde post-incidentevaluaties na verstoringen van hun kernactiviteiten ten gevolge van een ernstig ICT-gerelateerd incident, analyseren daarbij de oorzaken van de verstoring en identificeren de verbeteringen die moeten worden aangebracht in de ICT-activiteiten of in het kader van het ICT-bedrijfscontinuïteitsbeleid als bedoeld in artikel 11.\nAndere financiële entiteiten dan micro-ondernemingen delen op verzoek de bevoegde autoriteiten de wijzigingen mee die na de in de eerste alinea bedoelde ICT-gerelateerde post-incidentevaluaties zijn doorgevoerd.\nIn de in de eerste alinea bedoelde ICT-gerelateerde post-incidentevaluaties wordt bepaald of de vastgestelde procedures zijn gevolgd en of de genomen maatregelen doeltreffend zijn geweest, onder meer met betrekking tot:"]
[null,null,null,"13.2a","- de snelheid waarmee is gereageerd op veiligheidswaarschuwingen en de effecten en de ernst van ICT-gerelateerde incidenten zijn vastgesteld;"]
[null,null,null,"13.2b","- de kwaliteit en de snelheid bij het verrichten van een forensische analyse, indien deze passend wordt geacht;"]
[null,null,null,"13.2c","- de doeltreffendheid van incidentescalatie binnen de financiële entiteit;"]
[null,null,null,"13.2d","- de doeltreffendheid van interne en externe communicatie."]
[null,null,null,"13.3","In het ICT-risicobeoordelingsproces wordt voortdurend naar behoren rekening gehouden met lessen die voortspruiten uit de overeenkomstig de artikelen 26 en 27 uitgevoerde tests op de digitale operationele weerbaarheid en uit ICT-gerelateerde incidenten die zich in het reële leven hebben voorgedaan, met name cyberaanvallen, alsmede met problemen die zich voordoen bij de activering van ICT-bedrijfscontinuïteitsplannen en ICT-respons- en -herstelplannen, samen met relevante informatie die met tegenpartijen wordt uitgewisseld en tijdens toetsingen in het toezicht worden beoordeeld. Die bevindingen vormen de basis voor passende herzieningen van relevante onderdelen van het kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1."]
[null,null,null,"13.4","Financiële entiteiten zien toe erop toe dat hun strategie voor digitale operationele weerbaarheid als bedoeld in artikel 6, lid 8, op doeltreffende wijze wordt uitgevoerd. Zij inventariseren de ontwikkeling van ICT-risico’s in de tijd, analyseren de frequentie, de types, de omvang en de evolutie van ICT-gerelateerde incidenten, met name cyberaanvallen en de patronen daarvan, teneinde inzicht te krijgen in het niveau van blootstelling aan ICT-risico’s, met name met betrekking tot kritieke of belangrijke functies, en de maturiteit en paraatheid van de financiële entiteit ten aanzien van deze risico’s te verhogen."]
[null,null,null,"13.5","Het leidinggevend ICT-personeel brengt bij het leidinggevend orgaan ten minste jaarlijks verslag uit over de in lid 3 bedoelde bevindingen en doet aanbevelingen."]
[null,null,null,"13.6","Financiële entiteiten ontwikkelen bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid als verplichte modules in de opleidingsprogramma’s voor het personeel. Die programma’s en opleidingen zijn van toepassing op alle werknemers en hoger leidinggevend personeel, en hebben een niveau van complexiteit dat in verhouding staat tot hun takenpakket. In voorkomend geval nemen financiële entiteiten overeenkomstig artikel 30, lid 2, punt i), ook derde aanbieders van ICT-diensten op in hun relevante opleidingsprogramma’s."]
[null,null,null,"13.7","Andere financiële entiteiten dan micro-ondernemingen houden voortdurend toezicht op relevante technologische ontwikkelingen, ook om inzicht te krijgen in de mogelijke effecten van de invoering van deze nieuwe technologieën op de ICT-beveiligingsvereisten en de digitale operationele weerbaarheid. Zij blijven op de hoogte van de meest recente processen voor ICT-risicobeheer, om bestaande of nieuwe vormen van cyberaanvallen doeltreffend aan te pakken."]
[null,"Art. 14","Communicatie","14.1","Als onderdeel van het kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1, beschikken financiële entiteiten over crisiscommunicatieplannen die het mogelijk maken ten minste ernstige ICT-gerelateerde incidenten of kwetsbaarheden op verantwoordelijke wijze bekend te maken aan cliënten en tegenpartijen en, in voorkomend geval, aan het publiek."]
[null,null,null,"14.2","Als onderdeel van het kader voor ICT-risicobeheer voeren financiële entiteiten een communicatiebeleid in voor het interne personeel en externe belanghebbenden. In het communicatiebeleid voor het personeel wordt rekening gehouden met de noodzaak om een onderscheid te maken tussen personeel dat betrokken is bij het ICT-risicobeheer, met name het personeel dat verantwoordelijk is voor respons en herstel, en personeel dat moet worden geïnformeerd."]
[null,null,null,"14.3","Ten minste één persoon in de financiële entiteit wordt belast met de uitvoering van de communicatiestrategie voor ICT-gerelateerde incidenten en vervult daartoe de rol van woordvoerder bij het publiek en de media."]
[null,"Art. 15","Verder harmonisatie van ICT-risicobeheersinstrumenten, -methoden, -processen en -beleidslijnen",15,"De ETA’s stellen via het Gemengd Comité en in overleg met het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa), gemeenschappelijke ontwerpen van technische reguleringsnormen op met het doel:"]
[null,null,null,"15a","- nadere elementen te specificeren die moeten worden opgenomen in de beleidslijnen, procedures, protocollen en instrumenten met betrekking tot ICT-beveiliging als bedoeld in artikel 9, lid 2, teneinde de veiligheid van netwerken te garanderen, passende waarborgen tegen inbreuken en misbruik van gegevens mogelijk te maken, de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, met inbegrip van cryptografische technieken, te beschermen en een nauwkeurige en snelle doorgifte van gegevens zonder ernstige verstoringen en onnodige vertragingen te waarborgen;"]
[null,null,null,"15b","- verdere onderdelen van de controle van rechten voor toegangsbeheer als bedoeld in artikel 9, lid 4, punt c), en het daarmee verband houdende personeelsbeleid te ontwikkelen, waarin de toegangsrechten en de procedures voor het toekennen en intrekken van rechten nader worden gespecificeerd, en toezicht wordt uitgeoefend op afwijkend gedrag met betrekking tot het ICT-risico via passende indicatoren, onder meer voor patronen en uren van netwerkgebruik, IT-activiteit en onbekende toestellen;"]
[null,null,null,"15c","- de mechanismen als bedoeld in artikel 10, lid 1, om een snelle detectie van afwijkende activiteiten mogelijk te maken, verder te ontwikkelen alsmede de criteria van artikel 10, lid 2, om processen voor detectie van ICT-gerelateerde incidenten en respons daarop in werking te stellen;"]
[null,null,null,"15d","- de onderdelen van het ICT-bedrijfscontinuïteitsbeleid als bedoeld in artikel 11, lid 1, verder te specificeren;"]
[null,null,null,"15e","- het testen van de ICT-bedrijfscontinuïteitsplannen als bedoeld in artikel 11, lid 6, verder te specificeren om ervoor te zorgen dat bij het testen naar behoren rekening wordt gehouden met scenario’s waarin de kwaliteit van voorziening van een kritieke of belangrijke functie tot op een onaanvaardbaar niveau verslechtert of deze functie uitvalt, en de potentiële effecten van de insolventie of andere gebreken van een relevante derde aanbieder van ICT-diensten en, indien van toepassing, de politieke risico’s in de rechtsgebieden van de respectieve aanbieders naar behoren in aanmerking worden genomen;"]
[null,null,null,"15f","- de onderdelen van de ICT-respons- en -herstelplannen als bedoeld in artikel 11, lid 3, verder te specificeren;"]
[null,null,null,"15g","- de inhoud en de vorm van het in artikel 6, lid 5, bedoelde evaluatieverslag van het kader voor ICT-risicobeheer verder te specificeren."]
[null,null,null,"15x","Bij het ontwikkelen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algemene risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan, waarbij zij terdege rekening houden met elk specifiek kenmerk dat voortvloeit uit de specifieke aard van de activiteiten in verschillende financiëledienstensectoren.\nDe ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]
[null,"Art. 16","Vereenvoudigd kader voor ICT-risicobeheer","16.1","De artikelen 5 tot en met 15 van deze verordening zijn niet van toepassing op kleine en niet-verweven beleggingsondernemingen, betalingsinstellingen die krachtens Richtlijn (EU) 2015/2366 zijn vrijgesteld; instellingen die krachtens Richtlijn 2013/36/EU zijn vrijgesteld en waarvoor de lidstaten hebben besloten de in artikel 2, lid 4, van deze verordening bedoelde optie niet toe te passen; instellingen voor elektronisch geld die krachtens Richtlijn 2009/110/EG zijn vrijgesteld, en kleine instellingen voor bedrijfspensioenvoorziening.\nOnverminderd de eerste alinea moeten de in de eerste alinea vermelde entiteiten:"]
[null,null,null,"16.1a","- een degelijk en gedocumenteerd kader voor ICT-risicobeheer tot stand brengen en handhaven, waarin de mechanismen en maatregelen worden beschreven die gericht zijn op een snel, efficiënt en alomvattend beheer van het ICT-risico, met inbegrip van de bescherming van relevante fysieke componenten en infrastructuur;"]
[null,null,null,"16.1b","- voortdurend toezicht houden op de beveiliging en werking van alle ICT-systemen;"]
[null,null,null,"16.1c","- de gevolgen van ICT-risico’s tot een minimum beperken door solide, weerbare en geactualiseerde ICT-systemen, -protocollen en -instrumenten te gebruiken die geschikt zijn voor het ondersteunen van de prestaties van hun activiteiten en de verlening van diensten, en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens in de netwerk- en informatiesystemen adequaat beschermen;"]
[null,null,null,"16.1d","- ervoor zorgen dat bronnen van ICT-risico’s en anomalieën in de netwerk- en informatiesystemen zo spoedig mogelijk worden geïdentificeerd en gedetecteerd en ICT-gerelateerde incidenten snel kunnen worden afgehandeld;"]
[null,null,null,"16.1e","- de belangrijkste afhankelijkheden ten aanzien van derde aanbieders van ICT-diensten in kaart brengen;"]
[null,null,null,"16.1f","- de continuïteit van kritieke of belangrijke functies waarborgen door middel van bedrijfscontinuïteitsplannen en respons- en herstelmaatregelen, die ten minste back-up- en herstelmaatregelen omvatten;"]
[null,null,null,"16.1g","- de in punt f) bedoelde plannen en maatregelen, alsmede de doeltreffendheid van de overeenkomstig de punten a) en c) uitgevoerde controles regelmatig testen;"]
[null,null,null,"16.1h","- in voorkomend geval de relevante operationele conclusies die voortvloeien uit de in punt g) bedoelde tests en uit de analyse na een incident opnemen in het ICT-risicobeoordelingsproces, en overeenkomstig de behoeften en het ICT- risicoprofiel bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleiding inzake digitale operationele weerbaarheid voor personeel en leidinggevenden ontwikkelen."]
[null,null,null,"16.2","Het in lid 1, tweede alinea, punt a), bedoelde kader voor ICT-risicobeheer wordt overeenkomstig de toezichtinstructies op gezette tijden en bij ernstige ICT-gerelateerde incidenten gedocumenteerd en geëvalueerd. Het wordt voortdurend verbeterd op basis van de lessen die uit de uitvoering en de monitoring naar voren komen. Een evaluatieverslag van het kader voor ICT-risicobeheer wordt op verzoek bij de bevoegde autoriteit ingediend."]
[null,null,null,"16.3","De ETA’s stellen via het Gemengd Comité en in overleg met Enisa gemeenschappelijke ontwerpen van technische reguleringsnormen op met het doel:"]
[null,null,null,"16.3a","- de elementen die moeten worden opgenomen in het in lid 1, tweede alinea, punt a), bedoelde kader voor ICT- risicobeheer verder te specificeren;"]
[null,null,null,"16.3b","- de elementen met betrekking tot systemen, protocollen en instrumenten om de effecten van het in lid 1, tweede alinea, punt c), bedoelde ICT-risico tot een minimum te beperken verder te specificeren, teneinde de veiligheid van netwerken te garanderen, passende waarborgen tegen inbreuken en misbruik van gegevens mogelijk te maken en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens te beschermen;"]
[null,null,null,"16.3c","- de onderdelen van de in lid 1, tweede alinea, punt f), bedoelde ICT-bedrijfscontinuïteitsplannen verder te specificeren;"]
[null,null,null,"16.3d","- de regels voor het testen van bedrijfscontinuïteitsplannen verder te specificeren, de doeltreffendheid van de in lid 1, tweede alinea, punt g), bedoelde controles te waarborgen, en ervoor te zorgen dat bij dergelijke tests terdege rekening wordt gehouden met scenario’s waarin de kwaliteit van voorziening van een kritieke of belangrijke functie tot op een onaanvaardbaar niveau verslechtert of deze functie uitvalt;"]
[null,null,null,"16.3e","- de inhoud en de vorm van het in lid 2 bedoelde evaluatieverslag van het kader voor ICT-risicobeheer verder te specificeren."]
[null,null,null,"16.x","Bij het opstellen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algemene risicoprofiel van de financiële entiteit, en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan.\nDe ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]

{"sheet":"Hoofdstuk 3","index":3,"n_rows":61,"n_cols":9,"rows_kept":61,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,1,9,1],[1,2,9,2],[1,0,60,0],[10,1,22,1],[10,2,22,2],[23,1,43,1],[23,2,43,2],[44,1,47,1],[44,2,47,2],[48,1,57,1],[48,2,57,2],[58,1,59,1],[58,2,59,2]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 17","Beheersproces voor ICT-gerelateerde incidenten","17.1","Financiële entiteiten omschrijven een beheerproces voor ICT-gerelateerde incidenten, stellen dit vast en leggen dit ten uitvoer, om ICT-gerelateerde incidenten te detecteren, te beheren en te melden."]
[null,null,null,"17.2","Financiële entiteiten registreren alle ICT-gerelateerde incidenten en significante cyberdreigingen. Financiële entiteiten stellen passende procedures en processen vast voor een consistente en geïntegreerde monitoring, behandeling en follow-up van ICT-gerelateerde incidenten, teneinde ervoor te zorgen dat onderliggende oorzaken worden opgespoord, gedocumenteerd en weggenomen om dergelijke incidenten te voorkomen."]
[null,null,null,"17.3","Het in lid 1 bedoelde beheerproces voor ICT-gerelateerde incidenten heeft tot doel:"]
[null,null,null,"17.3a","- indicatoren voor vroegtijdige waarschuwing in te voeren;"]
[null,null,null,"17.3b","- procedures vast te stellen om ICT-gerelateerde incidenten te identificeren, te detecteren, te categoriseren en te classificeren op basis van de prioriteit en de ernst ervan en op basis van het kritieke karakter van de getroffen diensten in overeenstemming met de criteria van artikel 18, lid 1;"]
[null,null,null,"17.3c","- functies en verantwoordelijkheden toe te wijzen die voor verschillende incidenttypes en -scenario’s moeten worden geactiveerd;"]
[null,null,null,"17.3d","- plannen op te stellen voor communicatie met personeel, externe belanghebbenden en media in overeenstemming met artikel 14, en voor mededeling aan cliënten, voor interne escalatieprocedures, met inbegrip van ICT-gerelateerde klachten van cliënten, alsmede voor verstrekking van informatie, indien noodzakelijk, aan financiële entiteiten die optreden als tegenpartijen;"]
[null,null,null,"17.3e","- te verzekeren dat ten minste ernstige ICT-gerelateerde incidenten aan het desbetreffende hoger leidinggevend personeel worden gemeld, en het leidinggevend orgaan te informeren over ten minste ernstige ICT-gerelateerde incidenten met toelichting bij de effecten, de respons en de in te stellen aanvullende controles ten gevolge van dergelijke ICT- gerelateerde incidenten;"]
[null,null,null,"17.3f","- responsprocedures voor ICT-gerelateerde incidenten in te stellen om de effecten daarvan te beperken en ervoor te zorgen dat de diensten tijdig operationeel en veilig worden."]
[null,"Art. 18","Classificatie van ICT-gerelateerde incidenten en cyberdreigingen","18.1","Financiële entiteiten classificeren ICT-gerelateerde incidenten en bepalen de effecten daarvan op basis van de volgende criteria:"]
[null,null,null,"18.1a","- het aantal en/of de relevantie van clienten of financiële tegenpartijen en, indien van toepassing, de hoeveelheid of het aantal transacties die het ICT-gerelateerde incident zijn getroffen, en de vraag of het ICT-gerelateerde incident reputatieschade heeft veroorzaakt;"]
[null,null,null,"18.1b","- de duur van het ICT-gerelateerde incident, waaronder de uitvaltijd van de dienst;"]
[null,null,null,"18.1c","- de geografische spreiding van de gebieden die door het ICT-gerelateerde incident zijn getroffen, met name indien meer dan twee lidstaten zijn getroffen;"]
[null,null,null,"18.1d","- de gegevensverliezen ten gevolge van het ICT-gerelateerde incident met betrekking tot beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van gegevens;"]
[null,null,null,"18.1e","- de mate waarin de getroffen diensten, waaronder de transacties en verrichtingen van de financiële entiteit, als cruciaal kunnen worden aangemerkt;"]
[null,null,null,"18.1f","- de economische effecten, met name directe en indirecte kosten en verliezen, van het ICT-gerelateerde incident in absolute en relatieve termen."]
[null,null,null,"18.2","Financiële entiteiten classificeren cyberdreigingen als significant op basis van de mate waarin de risicovolle diensten, waaronder de transacties en verrichtingen van de financiële entiteit, als cruciaal kunnen worden aangemerkt, het aantal en/of de relevantie van de beoogde cliënten of financiële tegenpartijen en de geografische spreiding van de risicogebieden."]
[null,null,null,"18.3","De ETA’s stellen via het Gemengd Comité en in overleg met de ECB en Enisa gemeenschappelijke ontwerpen van technische reguleringsnormen op waarin het volgende nader wordt gespecificeerd:"]
[null,null,null,"18.3a","- de criteria vastgesteld in lid 1, met inbegrip van materialiteitsdrempels voor het bepalen van ernstige ICT-gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten waarvoor de rapportageverplichting van artikel 19, lid 1, geldt;"]
[null,null,null,"18.3b","- de door de bevoegde autoriteiten toe te passen criteria voor de beoordeling van de relevantie van ernstige ICT- gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten voor relevante bevoegde autoriteiten van andere lidstaten, en de nadere informatie van verslagen over ernstige ICT- gerelateerde incidenten of, indien van toepassing, ernstige betalingsgerelateerde operationele of beveiligingsincidenten die overeenkomstig artikel 19, leden 6 en 7, aan andere bevoegde autoriteiten moeten worden meegedeeld;"]
[null,null,null,"18.3c","- de criteria van lid 2 van dit artikel, met inbegrip van hoge materialiteitsdrempels voor het bepalen van significante cyberdreigingen."]
[null,null,null,"18.4","Bij het opstellen van de in lid 3 van dit artikel bedoelde gemeenschappelijke ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de criteria van artikel 4, lid 2, en met internationale normen, richtsnoeren en specificaties die door Enisa zijn ontwikkeld en gepubliceerd, met inbegrip van, in voorkomend geval, specificaties voor andere economische sectoren. Voor de toepassing van de criteria van artikel 4, lid 2, houden de ETA’s er terdege rekening mee dat micro-ondernemingen en kleine en middelgrote ondernemingen voldoende middelen en capaciteit moeten kunnen mobiliseren om ICT-gerelateerde incidenten snel onder controle te krijgen.\nDe ETA’s leggen die gemeenschappelijke ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in lid 3 bedoelde technische reguleringsnormen overeenkomstig de artikelen 10 tot en met 14 van Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010 vast te stellen."]
[null,"Art. 19","Rapportage van ernstige ICT-gerelateerde incidenten en vrijwillige melding van signifcante cyberdreigingen","19.1","Financiële entiteiten melden overeenkomstig lid 4 van dit artikel ernstige ICT-gerelateerde incidenten aan de relevante bevoegde autoriteit als bedoeld in artikel 46."]
[null,null,null,"19.x","Staat een financiële entiteit onder toezicht van meer dan een nationale bevoegde autoriteit als bedoeld in artikel 46, dan wijzen de lidstaten één bevoegde autoriteit aan als de relevante bevoegde autoriteit die verantwoordelijk is voor de uitvoering van de in dit artikel bedoelde functies en taken."]
[null,null,null,"19.x","Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als significant zijn geclassificeerd, rapporteren ernstige ICT-gerelateerde incidenten aan de relevante nationale bevoegde autoriteit die overeenkomstig artikel 4 van Richtlijn 2013/36/EU is aangewezen, die dat verslag onverwijld doorzendt aan de ECB."]
[null,null,null,"19.x","Voor de toepassing van de eerste alinea stellen financiële entiteiten, na het verzamelen en analyseren van alle relevante informatie, de in lid 4 van dit artikel bedoelde eerste kennisgeving en verslagen op met gebruikmaking van de modellen als bedoeld in artikel 20, en dienen zij deze in bij de bevoegde autoriteit. Indien het technisch niet mogelijk is de eerste kennisgeving met gebruikmaking van het model in te dienen, stellen de financiële entiteiten de bevoegde autoriteit met gebruikmaking van alternatieve middelen daarvan in kennis.\nDe in lid 4 bedoelde eerste kennisgeving en verslagen bevatten alle informatie die de bevoegde autoriteit nodig heeft om de draagwijdte van het ernstige ICT-gerelateerde incident te bepalen en mogelijke grensoverschrijdende effecten te beoordelen.\nOnverminderd de rapportage op grond van de eerste alinea door de financiële entiteit aan de relevante bevoegde autoriteit, kunnen de lidstaten ook bepalen dat sommige of alle financiële entiteiten de in lid 4 van dit artikel bedoelde eerste kennisgeving en verslagen die met gebruikmaking van de in artikel 20 bedoelde modellen zijn opgesteld, eveneens moeten worden verstrekt aan de bevoegde autoriteiten of de computer security incident response teams (CSIRT’s) die zijn aangewezen of ingesteld overeenkomstig Richtlijn (EU) 2022/2555."]
[null,null,null,"19.2","Financiële entiteiten kunnen significante cyberdreigingen op vrijwillige basis melden aan de relevante bevoegde autoriteit wanneer zij van oordeel zijn dat de dreiging relevant is voor het financiële stelsel, de gebruikers van diensten of de cliënten. De relevante bevoegde autoriteit kan dergelijke informatie aan de in lid 6 genoemde andere relevante autoriteiten verstrekken."]
[null,null,null,"19.x","Kredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als significant zijn geclassificeerd, kunnen op vrijwillige basis significante cyberdreigingen melden aan de relevante nationale bevoegde autoriteit die overeenkomstig artikel 4 van Richtlijn 2013/36/EU is aangewezen, die de melding onverwijld doorzendt aan de ECB."]
[null,null,null,"19.x","De lidstaten kunnen bepalen dat de financiële entiteiten die overeenkomstig de eerste alinea op vrijwillige basis kennisgeving doen, die kennisgeving ook kunnen doorsturen naar de overeenkomstig Richtlijn (EU) 2022/2555 aangewezen of ingestelde CSIRT’s."]
[null,null,null,"19.3","Wanneer een ernstig ICT-gerelateerd incident optreedt en gevolgen heeft voor de financiële belangen van cliënten, stellen financiële entiteiten, zodra zij het incident hebben opgemerkt, hun cliënten onverwijld in kennis van het ernstige ICT-gerelateerde incident en van de maatregelen die zijn genomen om de negatieve gevolgen van een dergelijk incident te beperken.\nIn het geval van een significante cyberdreiging stellen financiële entiteiten, in voorkomend geval, hun cliënten die mogelijk getroffen zijn in kennis van passende beschermingsmaatregelen die zij kunnen nemen."]
[null,null,null,"19.4","Financiële entiteiten dienen, binnen de overeenkomstig artikel 20, eerste alinea, punt a), ii), vast te stellen termijnen, bij de relevante bevoegde autoriteit het volgende in:"]
[null,null,null,"19.4a","- een eerste kennisgeving;"]
[null,null,null,"19.4b","- een tussentijds verslag na de eerste kennisgeving als bedoeld in punt a), zodra de status van het oorspronkelijke incident ingrijpend is gewijzigd of de behandeling van het ernstige ICT-gerelateerde incident is gewijzigd op basis van beschikbare nieuwe informatie, in voorkomend geval gevolgd door geactualiseerde kennisgevingen telkens wanneer een relevante actualisering van de status beschikbaar is, alsmede op specifiek verzoek van de bevoegde autoriteit;"]
[null,null,null,"19.4c","- een eindverslag, wanneer de analyse van de onderliggende oorzaken is voltooid, ongeacht of er reeds beperkende maatregelen zijn uitgevoerd, en wanneer de werkelijke impactcijfers beschikbaar zijn in plaats van ramingen."]
[null,null,null,"19.5","Financiële entiteiten mogen de rapportageverplichtingen uit hoofde van dit artikel aan een derde aanbieder van diensten uitbesteden overeenkomstig Unie- en nationaal sectoraal recht. In het geval van een dergelijke uitbesteding blijft de financiële entiteit volledig verantwoordelijk voor het naleven van de vereisten inzake incidentrapportage."]
[null,null,null,"19.6","Na ontvangst van de in lid 4 bedoelde eerste kennisgeving en verslagen verstrekt de bevoegde autoriteit tijdig nadere bijzonderheden over het ernstige ICT-gerelateerde incident aan de volgende ontvangers op basis van hun respectieve bevoegdheden:"]
[null,null,null,"19.6a","- de EBA, de ESMA of de Eiopa;"]
[null,null,null,"19.6b","- de ECB, in het geval van financiële entiteiten als bedoeld in artikel 2, lid 1, punten a), b) en d):"]
[null,null,null,"19.6c","- de bevoegde autoriteiten, de centrale contactpunten of de CSIRT’s die overeenkomstig Richtlijn (EU) 2022/2555 zijn aangewezen of ingesteld;"]
[null,null,null,"19.6d","- de afwikkelingsautoriteiten, als bedoeld in artikel 3 van Richtlijn 2014/59/EU, en de Gemeenschappelijke Afwikkelingsraad (GAR) met betrekking tot de in artikel 7, lid 2, van Verordening (EU) nr. 806/2014 van het Europees Parlement en de Raad(37)bedoelde entiteiten, en met betrekking tot de in artikel 7, lid 4, punt b), en lid 5, van Verordening (EU) nr. 806/2014 bedoelde entiteiten en groepen, indien die bijzonderheden betrekking hebben op incidenten die een risico vormen voor het waarborgen van kritieke functies in de zin van artikel 2, lid 1, punt 35), van Richtlijn 2014/59/EU, en"]
[null,null,null,"19.6e","- andere relevante overheidsinstanties naar nationaal recht."]
[null,null,null,"19.7","Na ontvangst van informatie overeenkomstig lid 6 beoordelen de EBA, de ESMA of de Eiopa en de ECB, in overleg met Enisa en in samenwerking met de relevante bevoegde autoriteit, of het ernstige ICT-gerelateerde incident relevant is voor andere bevoegde autoriteiten van andere lidstaten. Na die beoordeling stelt de EBA, de ESMA of de Eiopa de relevante bevoegde autoriteiten van andere lidstaten daarvan zo spoedig mogelijk in kennis. De ECB stelt de leden van het Europees Stelsel van centrale banken in kennis van kwesties die van belang zijn voor het betalingssysteem. Op basis van die kennisgeving nemen de bevoegde autoriteiten, in voorkomend geval, alle nodige maatregelen om de onmiddellijke stabiliteit van het financiële systeem te beschermen."]
[null,null,null,"19.8","De overeenkomstig lid 7 van dit artikel door de ESMA te geven kennisgeving doet geen afbreuk aan de verantwoordelijkheid van de bevoegde autoriteit om de bijzonderheden van het ernstige ICT-gerelateerde incident onverwijld aan de relevante autoriteit van de lidstaat van ontvangst door te geven, indien een centrale effectenbewaarinstelling aanzienlijke grensoverschrijdende activiteiten in de lidstaat van ontvangst heeft, het ernstige ICT-gerelateerde incident waarschijnlijk ernstige gevolgen voor de financiële markten van de lidstaat van ontvangst zal hebben en indien de bevoegde autoriteiten samenwerkingsovereenkomsten hebben gesloten voor het toezicht op financiële entiteiten."]
[null,"Art. 20","Harmonisatie van inhoud en modellen van rapportage","20.1","De ETA’s ontwikkelen via het Gemengd Comité en in overleg met Enisa en de ECB:"]
[null,null,null,"20.1a","- gemeenschappelijke ontwerpen van technische reguleringsnormen om:\ni) de inhoud van de rapporten voor ernstige ICT-gerelateerde incidenten vast te stellen, waarbij de in artikel 18, lid 1, vastgelegde criteria worden gehanteerd en verdere elementen worden opgenomen, zoals bijzonderheden voor de vaststelling van de relevantie van rapportage voor andere lidstaten en voor het bepalen of het incident al dan niet een ernstig betalingsgerelateerd operationeel of beveiligingsincident is;\nii) de uiterste termijnen vast te stellen voor de in artikel 19, lid 4, bedoelde eerste kennisgeving en verslagen;\niii) de inhoud van de kennisgeving voor significante cyberdreigingen vast te stellen.\nBij de ontwikkeling van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algemene risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan, met name om ervoor te zorgen dat voor de toepassing van deze alinea, punt a), ii), de uiterste termijnen zijn afgestemd op de eventuele specifieke kenmerken van de financiële sectoren, zonder dat afbreuk wordt gedaan aan een consistente aanpak van ICT-gerelateerde incidentrapportage op grond van deze verordening en Richtlijn (EU) 2022/2555. De ETA’s motiveren eventuele afwijkingen van de in het kader van die richtlijn gevolgde aanpak;"]
[null,null,null,"20.1b","- gemeenschappelijke ontwerpen van technische uitvoeringsnormen tot vaststelling van de standaardformulieren, modellen en procedures voor het rapporteren van ernstige ICT-gerelateerde incidenten en het melden van significante cyberdreigingen door financiële entiteiten."]
[null,null,null,"20.x","De ETA’s leggen de gemeenschappelijke ontwerpen van technische reguleringsnormen bedoeld in de eerste alinea, punt a), en de gemeenschappelijke ontwerpen van technische uitvoeringsnormen bedoeld in de eerste alinea, punt b), uiterlijk op 17 juli 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea, punt a), bedoelde gemeenschappelijke technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010.\nAan de Commissie wordt de bevoegdheid toegekend om de in de eerste alinea, punt b), bedoelde technische uitvoeringsnormen vast te stellen overeenkomstig artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]
[null,"Art. 21","Centralisatie van meldingen van ernstige ICT-gerelateerde incidenten","21.1","De ETA’s stellen, via het Gemengd Comité en in overleg met de ECB en Enisa, een gezamenlijk verslag op waarin de haalbaarheid wordt beoordeeld van verdere centralisatie van incidentrapportage door middel van de oprichting van één EU-hub voor de melding van ernstige ICT-gerelateerde incidenten door financiële entiteiten. In het gezamenlijk verslag wordt onderzocht op welke wijze de stroom van ICT-gerelateerde incidentrapportage kan worden vergemakkelijkt, de daarmee gepaard gaande kosten kunnen worden verlaagd en thematische analyses kunnen worden onderbouwd met het oog op een grotere convergentie van het toezicht."]
[null,null,null,"21.2","Het in lid 1 bedoelde gezamenlijk verslag bevat ten minste:"]
[null,null,null,"21.2a","- de vereisten voor de oprichting van een dergelijke EU-hub;"]
[null,null,null,"21.2b","- de voordelen, beperkingen en risico’s, met inbegrip van de risico's in verband met de hoge concentratie van gevoelige informatie;"]
[null,null,null,"21.2c","- de nodige capaciteit om interoperabiliteit met andere relevante rapportagesystemen te waarborgen;"]
[null,null,null,"21.2d","- elementen van operationeel beheer;"]
[null,null,null,"21.2e","- de voorwaarden voor het lidmaatschap;"]
[null,null,null,"21.2f","- technische regels voor financiële entiteiten en nationale bevoegde autoriteiten om toegang tot de unieke EU-hub te verkrijgen;"]
[null,null,null,"21.2g","- een voorlopige beoordeling van de financiële kosten voor de oprichting van het operationele platform ter ondersteuning van de unieke EU-hub, met inbegrip van de vereiste deskundigheid."]
[null,null,null,"21.3","De ETA’s leggen het verslag bedoeld in lid 1 uiterlijk op 17 januari 2025voor aan het Europees Parlement, de Raad en de Commissie."]
[null,"Art. 22","Feedback van toezichthouders","22.1","Onverminderd de technische input, het advies of de corrigerende maatregelen en de daaropvolgende follow-up die, in voorkomend geval, overeenkomstig het nationale recht door de CSIRT’s kunnen worden verstrekt op grond van Richtlijn (EU) 2022/2555 , bevestigt de bevoegde autoriteit na ontvangst van de in artikel 19, lid 4, bedoelde eerste kennisgeving en verslagen, de ontvangst ervan en kan zij, waar mogelijk, tijdig relevante en evenredige feedback of richtsnoeren op hoog niveau aan de financiële entiteit verstrekken, met name door relevante geanonimiseerde informatie en inlichtingen over soortgelijke bedreigingen beschikbaar te stellen, en kan zij de op het niveau van de financiële entiteit toegepaste corrigerende maatregelen bespreken en onderzoeken hoe de nadelige effecten in de financiële sector zo veel mogelijk kunnen worden beperkt en verzacht. Onverminderd de ontvangen feedback van toezichthouders blijven financiële entiteiten volledig verantwoordelijk voor de behandeling en de gevolgen van de ICT-gerelateerde incidenten die op grond van artikel 19, lid 1, zijn gerapporteerd."]
[null,null,null,"22.2","De ETA’s brengen jaarlijks via het Gemengd Comité een geanonimiseerd en geaggregeerd verslag uit over de ernstige ICT-gerelateerde incidenten, de details waarvan door de bevoegde autoriteiten overeenkomstig artikel 19, lid 6, worden verstrekt, met vermelding van ten minste het aantal ernstige ICT-gerelateerde incidenten, de aard ervan, de gevolgen ervan voor de werking van financiële entiteiten of cliënten, de genomen corrigerende maatregelen en de kosten.\nDe ETA’s geven waarschuwingen en stellen statistieken op hoog niveau op ter ondersteuning van ICT-dreigings- en kwetsbaarheidsbeoordelingen."]
[null,"Art. 23","Betalingsgerelateerde operationele of beveiligings-incidenten die kredietinstellingen, betalings-instellingen, aanbieders van rekeninginforma-tiediensten en instellingen voor elektronisch geld betreffen",23,"De in dit hoofdstuk vastgestelde vereisten zijn ook van toepassing bij betalingsgerelateerde operationele of beveiligingsincidenten en ernstige betalingsgerelateerde operationele of beveiligingsincidenten die kredietinstellingen, betalingsinstellingen, aanbieders van rekeninginformatiediensten en instellingen voor elektronisch geld betreffen."]

{"sheet":"Hoofdstuk 4","index":4,"n_rows":40,"n_cols":9,"rows_kept":40,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,0,39,0],[1,1,6,1],[1,2,6,2],[7,1,9,1],[7,2,9,2],[10,1,28,1],[10,2,28,2],[29,1,39,1],[29,2,39,2]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 24","Algemene vereisten voor uitvoering van tests van digitale operationele weerbaarheid","24.1","Voor de beoordeling van de paraatheid ten aanzien van de behandeling van ICT-gerelateerde incidenten, de omschrijving van zwakheden, gebreken en lacunes in de digitale operationele weerbaarheid, en de snelle uitvoering van corrigerende maatregelen zorgen andere financiële entiteiten dan micro-ondernemingen, rekening houdend met de criteria in artikel 4, lid 2, voor het vaststellen, handhaven en evalueren van een degelijk en alomvattend programma voor het testen van de digitale operationele weerbaarheid als integrerend onderdeel van het kader voor ICT-risicobeheer als bedoeld in artikel 6."]
[null,null,null,"24.2","Het testprogramma voor digitale operationele weerbaarheid omvat een reeks beoordelingen, tests, methodologieën, praktijken en instrumenten die overeenkomstig de artikelen 25 en 26 moeten worden toegepast."]
[null,null,null,"24.3","Bij de uitvoering van het in lid 1 van dit artikel bedoelde programma voor het testen van de digitale operationele weerbaarheid volgen andere financiële entiteiten dan micro-ondernemingen een risicogebaseerde benadering, waarbij rekening wordt gehouden met de criteria van artikel 4, lid 2, en met het veranderende landschap van het ICT-risico, eventuele specifieke risico’s waaraan de betrokken financiële entiteit wordt of kan worden blootgesteld, de kritieke aard van informatieactiva en verleende diensten, alsmede alle andere factoren die de financiële entiteit passend acht."]
[null,null,null,"24.4","Andere financiële entiteiten dan micro-ondernemingen zorgen ervoor dat de tests worden uitgevoerd door interne of externe onafhankelijke partijen. Wanneer tests worden uitgevoerd door een interne tester, zetten financiële entiteiten voldoende middelen in en zorgen zij ervoor dat belangenconflicten gedurende de hele ontwerp- en uitvoeringsfase van de test worden voorkomen."]
[null,null,null,"24.5","Andere financiële entiteiten dan micro-ondernemingen stellen procedures en beleidslijnen vast om alle problemen die tijdens de uitvoering van de tests aan het licht zijn gekomen, te prioriteren, te classificeren en te verhelpen, en stellen interne valideringsmethoden vast om na te gaan of alle vastgestelde zwakheden, gebreken of lacunes volledig worden aangepakt."]
[null,null,null,"24.6","Andere financiële entiteiten dan micro-ondernemingen zorgen ervoor dat ten minste eenmaal per jaar passende tests worden uitgevoerd op alle ICT-systemen en -toepassingen die kritieke of belangrijke functies ondersteunen."]
[null,"Art. 25","Testen van ICT-instrumenten en -systemen","25.1","Het testprogramma voor digitale operationele weerbaarheid bedoeld in artikel 24 voorziet, overeenkomstig de criteria in artikel 4, lid 2, in de uitvoering van passende tests, zoals kwetsbaarheidsbeoordelingen en -scans, opensourceanalyses, netwerkbeveiligingsbeoordelingen, kloofanalyses, beoordelingen van fysieke beveiliging, vragenlijsten en scanningsoftwareoplossingen, beoordelingen van broncodes indien mogelijk, scenariogebaseerde tests, compatibiliteitstests, prestatietests, eind-tot-eindtests en penetratietests."]
[null,null,null,"25.2","Centrale effectenbewaarinstellingen en centrale tegenpartijen verrichten kwetsbaarheidsbeoordelingen voordat nieuwe of bestaande toepassingen en infrastructuurcomponenten, en ICT-diensten ter ondersteuning van kritieke of belangrijke functies van de financiële entiteit worden ingezet of opnieuw worden ingezet."]
[null,null,null,"25.3","Voor de uitvoering van de in lid 1 bedoelde tests combineren de micro-ondernemingen een op risico’s gebaseerde aanpak met een strategische planning van ICT-tests, en houden zij hierbij naar behoren rekening met het noodzakelijke evenwicht tussen enerzijds de hoeveelheid middelen en tijd die aan de in dit artikel bedoelde ICT-tests moet worden toegewezen, en anderzijds de urgentie, het soort risico, de kritieke aard van informatieactiva en van de geleverde diensten, alsmede alle andere relevante factoren, met inbegrip van het vermogen van de financiële entiteit om berekende risico’s te nemen."]
[null,"Art. 26","Geavanceerde tests van ICT-instrumenten, - systemen en - processen op basis van TLPT","26.1","Overeenkomstig lid 8, derde alinea, van dit artikel aangewezen andere financiële entiteiten dan de in artikel 16, lid 1, eerste alinea, bedoelde entiteiten en dan micro-ondernemingen verrichten ten minste om de drie jaar geavanceerde tests uit door middel van TLPT. Op basis van het risicoprofiel van de financiële entiteit en rekening houdend met operationele omstandigheden kan de bevoegde autoriteit, indien nodig, de financiële entiteit verzoeken deze frequentie te verlagen of te verhogen."]
[null,null,null,"26.2","Elke dreigingsgestuurde penetratietest heeft betrekking op meerdere of alle kritieke of belangrijke functies van een financiële entiteit en worden uitgevoerd op systemen die prestaties in het reële leven verrichten ter ondersteuning van deze functies.\nFinanciële entiteiten bepalen alle relevante onderliggende ICT-systemen, -processen en technologieën ter ondersteuning van kritieke of belangrijke functies en ICT-diensten, met inbegrip van die ter ondersteuning van uitbestede of met derde aanbieders van ICT-diensten contractueel overeengekomen kritieke of belangrijke functies.\nFinanciële entiteiten beoordelen voor welke kritieke of belangrijke functies TLPT moeten worden verricht. Het resultaat van die beoordeling bepaalt het exacte toepassingsgebied van TLPT en wordt door de bevoegde autoriteiten gevalideerd."]
[null,null,null,"26.3","Wanneer derde aanbieders van ICT-diensten binnen het toepassingsgebied van de TLPT vallen, neemt de financiële entiteit de nodige maatregelen en waarborgen om de deelname van deze derde aanbieders van ICT-diensten aan de TLPT te waarborgen en behoudt de financiële entiteit de volledige verantwoordelijkheid voor het waarborgen van de naleving van deze verordening."]
[null,null,null,"26.4","Onverminderd lid 2, eerste en tweede alinea, kunnen, indien redelijkerwijs mag worden verwacht dat de deelname van een derde aanbieder van ICT-diensten aan de TLPT, als bedoeld in lid 3, een negatief effect zal hebben op de kwaliteit of de beveiliging van diensten die door de derde aanbieder van ICT-diensten worden verleend aan klanten die entiteiten zijn die buiten het toepassingsgebied van deze verordening vallen, of op de vertrouwelijkheid van de gegevens met betrekking tot dergelijke diensten, de financiële entiteit en de derde aanbieder van ICT-diensten schriftelijk overeenkomen dat de derde aanbieder van ICT-diensten rechtstreeks een contractuele overeenkomst sluit met een externe tester voor de uitvoering, onder leiding van één aangewezen financiële entiteit, van een gebundelde TLPT waarbij meerdere financiële entiteiten betrokken zijn waaraan de derde aanbieder van ICT-diensten ICT-diensten verleent (gebundelde tests).\nDeze gebundelde tests hebben betrekking op het relevante gamma van ICT-diensten die kritieke of belangrijke functies ondersteunen waarvoor de financiële entiteiten met de respectieve derde aanbieders van ICT-diensten een contract hebben gesloten. De gebundelde tests worden beschouwd als TLPT die worden uitgevoerd door de financiële entiteiten die aan deze tests deelnemen.\nHet aantal financiële entiteiten dat deelneemt aan de gebundelde tests wordt afgestemd op de complexiteit en de aard van de betrokken diensten."]
[null,null,null,"26.5","Met de medewerking van derde aanbieders van ICT-diensten en andere betrokken partijen, inclusief testers, maar exclusief de bevoegde autoriteiten, passen de financiële entiteiten doeltreffende risicobeheerscontroles toe om de risico’s van potentiële effecten op gegevens, schade aan activa en verstoring van kritieke of belangrijke functies, diensten of activiteiten bij de financiële entiteit zelf, bij haar tegenhangers of in de financiële sector te mitigeren."]
[null,null,null,"26.6","Na afloop van de tests, nadat overeenstemming is bereikt over verslagen en correctieplannen, verstrekken de financiële entiteit en, waar van toepassing, de externe testers aan de autoriteit een overeenkomstig de leden 9 en 10 opgestelde samenvatting van de relevante bevindingen, de correctieplannen en de documentatie waaruit blijkt dat de TLPT in overeenstemming met de vereisten is verricht."]
[null,null,null,"26.7","Die autoriteit bezorgt een attest aan de financiële entiteit waarin wordt bevestigd dat de test in overeenstemming met de in de documentatie genoemde vereisten is verricht om de wederzijdse erkenning van dreigingsgestuurde penetratietests tussen bevoegde autoriteiten mogelijk te maken. De financiële entiteit stelt de relevante bevoegde autoriteit in kennis van het attest, de samenvatting van de relevante bevindingen en de correctieplannen.\nOnverminderd een dergelijk attest, blijven financiële entiteiten te allen tijde volledig verantwoordelijk voor de gevolgen van de in lid 4 genoemde tests."]
[null,null,null,"26.8","Financiële entiteiten stellen testers aan om TLPT te verrichten overeenkomstig artikel 27. Wanneer financiële entiteiten interne testers gebruiken om TLPT te verrichten, stellen zij om de drie tests externe testers aan.\nKredietinstellingen die overeenkomstig artikel 6, lid 4, van Verordening (EU) nr. 1024/2013 als belangrijk zijn aangemerkt, zetten alleen externe testers in overeenkomstig artikel 27, lid 1, punten a) tot en met e).\nDe bevoegde autoriteiten bepalen welke financiële entiteiten de verplichting opgelegd krijgen TLPT te verrichten, rekening houdend met de criteria in artikel 4, lid 2, op basis van een beoordeling van:"]
[null,null,null,"26.8a","- effectgerelateerde factoren, met name de mate waarin de diensten en de activiteiten van de financiële entiteit effecten hebben op de financiële sector;"]
[null,null,null,"26.8b","- mogelijke bezorgdheid over financiële stabiliteit, met inbegrip van het systemisch karakter van de financiële entiteit op Unieniveau of op nationaal niveau, indien van toepassing;"]
[null,null,null,"26.8c","- het specifieke ICT-risicoprofiel, het niveau van maturiteit inzake ICT van de financiële entiteit of de technologische kenmerken in het geding."]
[null,null,null,"26.9","De lidstaten kunnen één enkele overheidsinstantie in de financiële sector aanwijzen die verantwoordelijk is voor TLPT-gerelateerde aangelegenheden in de financiële sector op nationaal niveau en belasten die instantie daartoe met alle nodige bevoegdheden en taken."]
[null,null,null,"26.10","Indien een aanwijzing van één enkele overheidsinstantie overeenkomstig lid 9 van dit artikel ontbreekt, en onverminderd haar bevoegdheid te bepalen welke financiële entiteiten de verplichting krijgen opgelegd TLPT te verrichten, kan een bevoegde autoriteit de uitvoering van sommige of al de in dit artikel en artikel 27 genoemde taken aan een andere nationale autoriteit in de financiële sector delegeren."]
[null,null,null,"26.11","De ETA’s ontwikkelen, in overeenstemming met de ECB gemeenschappelijke ontwerpen van technische reguleringsnormen overeenkomstig het Tiber-EU-kader, tot nadere bepaling van:"]
[null,null,null,"26.11a","- de voor de toepassing van lid 8, tweede alinea gebruikte criteria;"]
[null,null,null,"26.11b","- de vereisten en normen inzake het inzetten van interne testers;"]
[null,null,null,"26.11c","- de vereisten met betrekking tot:\n(i) het toepassingsgebied van de in lid 2 bedoelde TLPT; \n(ii) de te volgen testmethodologie en -aanpak voor elke specifieke fase van het testproces; \n(iii) de resultaten, de afsluitings- en de correctiefase van de tests;"]
[null,null,null,"26.11d","- het soort samenwerking op het gebied van toezicht evenals andere relevante vormen van samenwerking die noodzakelijk zijn voor de uitvoering van TLPT en ter facilitering van wederzijdse erkenning van die tests, in het geval van financiële entiteiten die in meer dan een lidstaat actief zijn, teneinde een passend niveau van betrokkenheid van toezichthouders en een flexibele uitvoering mogelijk te maken rekening houdend met de specifieke kenmerken van financiële subsectoren of lokale financiële markten."]
[null,null,null,"26.x","Bij het ontwikkelen van die ontwerpen van technische reguleringsnormen, houden de ETA’s terdege rekening met elk specifiek kenmerk dat voortvloeit uit de specifieke aard van de activiteiten in verschillende financiëledienstensectoren.\nDe ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 juli 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]
[null,"Art. 27","Vereisten voor testers voor het uitvoeren van TLPT","27.1","Financiële entiteiten maken voor het uitvoeren van TLPT alleen gebruik van testers die:"]
[null,null,null,"27.1a","- in de hoogste mate geschikt en deugdelijk zijn;"]
[null,null,null,"27.1b","- technische en organisatorische capaciteiten bezitten en blijk geven van specifieke deskundigheid op het gebied van inlichtingen over dreigingen, penetratietests en red-teamtests;"]
[null,null,null,"27.1c","- door een accrediteringsinstantie in een lidstaat zijn gecertificeerd of formele gedragscodes of ethische kaders hebben onderschreven;"]
[null,null,null,"27.1d","- een onafhankelijke waarborg of een auditverslag verstrekken met betrekking tot het deugdelijk beheer van risico’s die verbonden zijn aan de uitvoering van TLPT, met inbegrip van de gepaste bescherming van de vertrouwelijke informatie van de financiële entiteit en herstel voor de bedrijfsrisico’s van de financiële entiteit;"]
[null,null,null,"27.1e","- naar behoren en volledig door de desbetreffende beroepsaansprakelijkheidsverzekeringen zijn gedekt, onder meer tegen het risico van fouten en nalatigheid."]
[null,null,null,"27.2","Bij het inzetten van interne testers zorgen de financiële entiteiten ervoor dat, naast de vereisten van lid 1, de volgende voorwaarden worden vervuld:"]
[null,null,null,"27.2a","- dergelijk inzetten van interne testers is goedgekeurd door de relevante bevoegde autoriteit of de overeenkomstig artikel 26, leden 9 en 10, aangewezen enige overheidsinstantie;"]
[null,null,null,"27.2b","- de relevante bevoegde autoriteit heeft geverifieerd dat de financiële entiteit voldoende middelen heeft ingezet en heeft ervoor gezorgd dat belangenconflicten gedurende de hele ontwerp- en uitvoeringsfase van de test worden voorkomen, en"]
[null,null,null,"27.2c","- de verstrekker van inlichtingen over dreigingen is extern ten opzichte van de financiële entiteit."]
[null,null,null,"27.3","Financiële entiteiten zorgen ervoor dat de contracten met externe testers een degelijk beheer van de resultaten van de TLPT opleggen en dat de gegevensverwerking daarvan, met inbegrip van het genereren, opslaan, aggregeren, ontwerpen, rapporteren, communiceren of vernietigen van resultaten, geen risico’s voor de financiële entiteit meebrengt."]

{"sheet":"Hoofdstuk 5","index":5,"n_rows":69,"n_cols":9,"rows_kept":69,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,0,54,0],[55,0,68,0],[1,1,25,1],[1,2,25,2],[26,1,33,1],[26,2,33,2],[34,1,54,1],[34,2,54,2]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
["Afdeling I","Art. 28","Algemene beginselen","28.1","Financiële entiteiten beheren het ICT-risico van derde aanbieders als integrerend onderdeel van het ICT-risico binnen hun kader voor ICT-risicobeheer als bedoeld in artikel 6, lid 1, en in overeenstemming met de volgende beginselen:"]
[null,null,null,"28.1a","- financiële entiteiten die contractuele overeenkomsten voor het gebruik van ICT-diensten voor hun bedrijfsactiviteiten hebben getroffen, blijven te allen tijde volledig verantwoordelijk voor de naleving en de verantwoording van alle verplichtingen uit hoofde van deze verordening en het toepasselijke recht inzake financiële diensten;"]
[null,null,null,"28.1b","- het beheer van het ICT-risico van derde aanbieders door financiële entiteiten wordt uitgevoerd aan de hand van het evenredigheidsbeginsel, rekening houdend met:\ni) de aard, de schaal, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden,\nii) de risico’s die voortvloeien uit contractuele overeenkomsten met derde aanbieders inzake het gebruik van ICT- diensten, rekening houdend met het kritieke karakter of het belang van de respectieve diensten, processen of functies en met de potentiële gevolgen voor de continuïteit en de beschikbaarheid van financiële diensten en activiteiten, op individueel en groepsniveau."]
[null,null,null,"28.2","Als onderdeel van hun kader voor ICT-risicobeheer stellen financiële entiteiten die geen entiteiten zijn in de zin van artikel 16, lid 1, eerste alinea, en geen micro-ondernemingen zijn, een strategie inzake ICT-risico van derde aanbieders vast en herzien zij deze regelmatig, rekening houdend met de in artikel 6, lid 9, bedoelde multi-vendorstrategie, indien van toepassing. De strategie inzake ICT-risico van derde aanbieders omvat een beleid inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen en is van toepassing op individuele basis en, in voorkomend geval, op gesubconsolideerde en geconsolideerde basis. Op basis van een beoordeling van het algehele risicoprofiel van de financiële entiteit en de schaal en complexiteit van de zakelijke diensten, evalueert het leidinggevend orgaan regelmatig de vastgestelde risico’s met betrekking tot de contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen."]
[null,null,null,"28.3","Als onderdeel van hun kader voor ICT-risicobeheer handhaven en actualiseren financiële entiteiten op het niveau van de entiteit en op gesubconsolideerd en geconsolideerd niveau een informatieregister met betrekking tot alle contractuele overeenkomsten over het gebruik van door derde aanbieders verleende ICT-diensten.\nDe in de eerste alinea bedoelde contractuele overeenkomsten worden naar behoren gedocumenteerd, met een onderscheid tussen die welke van toepassing zijn op ICT-diensten ter ondersteuning van kritieke of belangrijke functies en die welke daarop niet van toepassing zijn.\nFinanciële entiteiten rapporteren ten minste jaarlijks aan de bevoegde autoriteiten over het aantal nieuwe overeenkomsten inzake het gebruik van ICT-diensten, de categorieën van derde aanbieders van ICT-diensten, het soort contractuele overeenkomsten en de ICT-diensten en -functies die worden geleverd.\nFinanciële entiteiten stellen de bevoegde autoriteit op verzoek het volledige informatieregister of desgevraagd specifieke onderdelen daarvan ter beschikking, samen met alle informatie die noodzakelijk wordt geacht om doeltreffend toezicht op de financiële entiteit mogelijk te maken.\nFinanciële entiteiten stellen de bevoegde autoriteit tijdig in kennis van geplande contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen en van het feit dat een functie cruciaal of belangrijk is geworden."]
[null,null,null,"28.4","Vóór het sluiten van een contractuele overeenkomst inzake het gebruik van ICT-diensten:"]
[null,null,null,"28.4a","- beoordelen financiële entiteiten of de contractuele overeenkomst betrekking heeft op het gebruik van ICT-diensten die een kritieke of belangrijke functie ondersteunen;"]
[null,null,null,"28.4b","- beoordelen zij of aan de toezichtvoorwaarden voor het sluiten van het contract is voldaan;"]
[null,null,null,"28.4c","- identificeren en beoordelen zij alle relevante risico’s met betrekking tot de contractuele overeenkomst, met inbegrip van de mogelijkheid dat deze contractuele overeenkomst kan leiden tot een versterking van het ICT-concentratierisico als bedoeld in artikel 29;"]
[null,null,null,"28.4d","- verrichten zij due-diligenceonderzoeken over toekomstige derde aanbieders van ICT-diensten en waarborgen zij gedurende de gehele selectie- en beoordelingsprocedure dat de derde aanbieder van ICT-diensten geschikt is;"]
[null,null,null,"28.4e","- identificeren en beoordelen zij belangenconflicten die kunnen voortkomen uit de contractuele overeenkomst."]
[null,null,null,"28.5","Financiële entiteiten mogen alleen contractuele overeenkomsten sluiten met derde aanbieders van ICT-diensten die voldoen aan passende normen op het gebied van informatiebeveiliging. Wanneer die contractuele overeenkomsten kritieke of belangrijke functies betreffen, letten financiële entiteiten er vóór het sluiten van de overeenkomsten op dat derde aanbieders van ICT-diensten gebruikmaken van de meest actuele en hoogste normen voor informatiebeveiliging."]
[null,null,null,"28.6","Bij het uitoefenen van toegangs-, inspectie- en auditrechten ten aanzien van de derde aanbieder van ICT-diensten bepalen financiële entiteiten op basis van een risicogebaseerde benadering vooraf de frequentie van de audits en inspecties alsook de te controleren gebieden, door algemeen aanvaarde auditnormen in acht te nemen in overeenstemming met de instructies van de toezichthouder inzake het gebruik en de integratie van deze auditnormen.\nIndien met derde aanbieders van ICT-diensten afgesloten contractuele overeenkomsten inzake het gebruik van ICT-diensten een hoog niveau van technische complexiteit inhouden, verifieert de financiële entiteit dat interne of externe auditors, of een pool van auditors, over passende vaardigheden en kennis beschikken om de desbetreffende audits en beoordelingen doeltreffend uit te voeren."]
[null,null,null,"28.7","Financiële entiteiten zorgen ervoor dat contractuele overeenkomsten inzake het gebruik van ICT-diensten in elk van de volgende omstandigheden kunnen worden beëindigd:"]
[null,null,null,"28.7a","- bij ernstige overtreding van de toepasselijke wetten, voorschriften of contractuele voorwaarden door de derde aanbieder van ICT-diensten;"]
[null,null,null,"28.7b","- in omstandigheden die in de loop van de monitoring van het ICT-risico van derde aanbieders worden vastgesteld, waarvan wordt aangenomen dat deze wijzigingen kunnen brengen in de uitvoering van de functies waarin de contractuele overeenkomst voorziet, met inbegrip van materiële wijzigingen die de overeenkomst of de situatie van de derde aanbieder van ICT-diensten nadelig beïnvloeden;"]
[null,null,null,"28.7c","- bij klaarblijkelijke zwakheden van de derde aanbieder van ICT-diensten in verband met zijn algemeen beheer van het ICT-risico en in het bijzonder met de manier waarop hij zorgt voor de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van persoonlijke of anderszins gevoelige gegevens of niet-persoonsgebonden gegevens;"]
[null,null,null,"28.7d","- indien de bevoegde autoriteit niet langer doeltreffend toezicht kan uitoefenen op de financiële entiteit ten gevolge van de voorwaarden van of de omstandigheden in verband met de respectieve contractuele overeenkomst."]
[null,null,null,"28.8","Voor ICT-diensten die kritieke of belangrijke functies ondersteunen, voeren financiële entiteiten exitstrategieën in. In de exitstrategieën wordt rekening gehouden met risico’s die zich op het niveau van derde aanbieders van ICT-diensten kunnen voordoen, met name een mogelijk falen van deze aanbieders, een verslechtering van de kwaliteit van de geleverde ICT-diensten, verstoring van de bedrijfsactiviteiten ten gevolge van ongeschikte of falende dienstverlening van ICT-diensten of materiële risico’s in verband met de passende en permanente inzet van de respectieve ICT-dienst, of de beëindiging van contractuele overeenkomsten met derde aanbieders van ICT-diensten onder een van de in lid 7 bedoelde omstandigheden.\nFinanciële entiteiten zorgen ervoor dat zij de mogelijkheid hebben om contractuele overeenkomsten te beëindigen:"]
[null,null,null,"28.8a","- zonder verstoring van hun bedrijfsactiviteiten,"]
[null,null,null,"28.8b","- zonder dat de naleving van de regelgevingsvereisten wordt beperkt,"]
[null,null,null,"28.8c","- zonder dat afbreuk wordt gedaan aan de continuïteit en de kwaliteit van aan cliënten geleverde diensten."]
[null,null,null,"28.8x","Exitplannen zijn alomvattend en gedocumenteerd en worden overeenkomstig de in artikel 4, lid 2, genoemde criteria voldoende getest en regelmatig geëvalueerd.\nFinanciële entiteiten reiken alternatieve oplossingen aan en ontwikkelen overgangsplannen die hen in staat stellen contractueel overeengekomen ICT-diensten en de desbetreffende gegevens van de derde aanbieder van ICT-diensten te verwijderen en deze veilig en integraal over te dragen aan alternatieve aanbieders of deze opnieuw in het eigen bedrijf te integreren.\nFinanciële entiteiten beschikken over passende noodmaatregelen om de bedrijfscontinuïteit te handhaven indien omstandigheden als bedoeld in de eerste alinea zich voordoen."]
[null,null,null,"28.9","De ETA’s ontwikkelen via het Gemengd Comité ontwerpen van technische uitvoeringsnormen voor de vaststelling van standaardmodellen ten behoeve van het in lid 3 bedoelde informatieregister, waarin informatie wordt opgenomen inzake het gebruik van ICT-diensten die voor alle contractuele overeenkomsten van toepassing is. De ETA’s leggen deze ontwerpen van technische uitvoeringsnormen uiterlijk op 17 januari 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid verleend om de in de eerste alinea bedoelde technische uitvoeringsnormen vast te stellen overeenkomstig artikel 15 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]
[null,null,null,"28.10","De ETA’s ontwikkelen via het Gemengd Comité ontwerpen van technische reguleringsnormen tot nadere bepaling van de gedetailleerde inhoud van het in lid 2 bedoelde beleid met betrekking tot de contractuele overeenkomsten inzake het gebruik van door derde aanbieders verleende ICT-diensten die kritieke of belangrijke functies ondersteunen.\nBij het ontwikkelen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algehele risicoprofiel van de financiële entiteit en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan. De ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 januari 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]
[null,"Art. 29","Voorlopige beoordeling van het ICT-concentratierisico op het niveau van de entiteit","29.1","Bij het identificeren en beoordelen van de in artikel 28, lid 4, punt c), bedoelde risico’s houden financiële entiteiten eveneens rekening met de vraag of de beoogde sluiting van een contractuele overeenkomst inzake ICT-diensten die kritieke of belangrijke functies ondersteunen, zou leiden tot een van de volgende situaties waarin:"]
[null,null,null,"29.1a","- zij een contract sluiten met een derde aanbieder van ICT-diensten die niet gemakkelijk substitueerbaar is, of"]
[null,null,null,"29.1b","- zij beschikken over meerdere contractuele overeenkomsten inzake de verlening van ICT-diensten die kritieke of belangrijke functies ondersteunen, met dezelfde derde aanbieder van ICT-diensten of met nauw verbonden derde aanbieders van ICT-diensten."]
[null,null,null,"29.1x","Financiële entiteiten wegen de baten en kosten af van alternatieve oplossingen, zoals het gebruik van verschillende derde aanbieders van ICT-diensten, rekening houdend met de vraag of en hoe de voorgenomen oplossingen aansluiten bij de zakelijke behoeften en doelstellingen waarin hun strategie inzake digitale weerbaarheid voorziet."]
[null,null,null,"29.2","Wanneer de contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen de mogelijkheid inhouden dat een derde aanbieder ICT-diensten die een kritieke of belangrijke functie ondersteunen verder uitbesteedt aan andere derde aanbieders van ICT-diensten, wegen de financiële entiteiten de baten en risico’s af die uit een dergelijke uitbesteding kunnen voortkomen, met name in het geval van een in een derde land gevestigde ICT-subcontractant."]
[null,null,null,"29.2x","Indien contractuele overeenkomsten ICT-diensten betreffen die kritieke of belangrijke functies ondersteunen, houden financiële entiteiten terdege rekening met bepalingen van insolventierecht die in geval van faillissement van de derde aanbieder van ICT-diensten van toepassing zouden zijn alsook met beperkingen die zich met betrekking tot het dringende herstel van de gegevens van de financiële entiteit zouden kunnen voordoen."]
[null,null,null,"29.2x","Indien contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen met een in een derde land gevestigde derde aanbieder van ICT-diensten worden gesloten, houden financiële entiteiten, bovenop de in de tweede alinea bedoelde overwegingen, ook rekening met de naleving van de gegevensbeschermingsregels van de Unie en de doeltreffende handhaving van de wet in dat derde land."]
[null,null,null,"29.2x","Indien contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen uitbesteding mogelijk maken, beoordelen financiële entiteiten of en hoe potentieel lange of complexe uitbestedingsketens van invloed kunnen zijn op hun vermogen om de contractueel overeengekomen functies volledig te monitoren en op het vermogen van de bevoegde autoriteit om in dat verband doeltreffend toezicht uit te oefenen op de financiële entiteit."]
[null,"Art. 30","Belangrijke contractuele bepalingen","30.1","De rechten en plichten van de financiële entiteit en van de derde aanbieder van ICT-diensten worden duidelijk toegewezen en schriftelijk vastgesteld. Het volledige contract omvat de overeenkomsten inzake dienstverleningsniveau en wordt opgenomen in één schriftelijk document dat voor de partijen beschikbaar is op papier, of in een document met een ander, downloadbaar, duurzaam en toegankelijk formaat."]
[null,null,null,"30.2","De contractuele overeenkomsten inzake het gebruik van ICT-diensten bevatten ten minste de volgende elementen:"]
[null,null,null,"30.2a","- een duidelijke en volledige beschrijving van alle door de derde aanbieder van ICT-diensten te leveren functies en ICT- diensten, met vermelding of het uitbesteden van een ICT-dienst die een kritieke of belangrijke functie ondersteunt, of van materiële onderdelen daarvan, is toegestaan en indien dit het geval is, welke voorwaarden op die uitbesteding van toepassing zijn;"]
[null,null,null,"30.2b","- de locaties, met name de regio’s of landen, waar de contractueel overeengekomen of uitbestede functies en ICT-diensten moeten worden geleverd en waar gegevens moeten worden verwerkt, met inbegrip van de opslaglocatie, en de verplichting voor de derde aanbieder van ICT-diensten om de financiële entiteit vooraf in kennis te stellen indien hij voornemens is van locatie te veranderen;"]
[null,null,null,"30.2c","- bepalingen inzake beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid met betrekking tot de bescherming van gegevens, met inbegrip van persoonsgegevens;"]
[null,null,null,"30.2d","- bepalingen inzake het waarborgen van de toegang, het herstel en de teruggave in een gemakkelijk toegankelijk formaat van door de financiële entiteit verwerkte persoonsgegevens en niet-persoonsgebonden gegevens in geval van insolventie, afwikkeling of stopzetting van de bedrijfsactiviteiten van de derde aanbieder van ICT-diensten, of in geval van beëindiging van de contractuele overeenkomsten;"]
[null,null,null,"30.2e","- beschrijvingen van het dienstenniveau, met inbegrip van actualiseringen en herzieningen daarvan;"]
[null,null,null,"30.2f","- de verplichting van de derde aanbieder van ICT-diensten om de financiële entiteit zonder extra kosten, of tegen een vooraf bepaalde kostprijs, bijstand te verlenen wanneer zich een incident voordoet dat verband houdt met de aan de financiële entiteit geleverde ICT-dienst;"]
[null,null,null,"30.2g","- de verplichting van de derde aanbieder van ICT-diensten om volledige medewerking te verlenen aan de bevoegde autoriteiten en de afwikkelingsautoriteiten van de financiële entiteit, met inbegrip van de door hen aangestelde personen;"]
[null,null,null,"30.2h","- beëindigingsrechten en de bijbehorende minimumopzegtermijnen voor de beëindiging van de contractuele overeenkomsten, in overeenstemming met de verwachtingen van de bevoegde autoriteiten en de afwikkelingsautoriteiten;"]
[null,null,null,"30.2i","- de voorwaarden voor deelname van derde aanbieders van ICT-diensten aan bewustmakingsprogramma’s op het gebied van ICT-beveiliging en opleidingen inzake digitale operationele weerbaarheid van de financiële entiteiten, overeenkomstig artikel 13, lid 6."]
[null,null,null,"30.3","De contractuele overeenkomsten inzake het gebruik van ICT-diensten die kritieke of belangrijke functies ondersteunen, omvatten, bovenop de in lid 2 genoemde elementen, ten minste het volgende:"]
[null,null,null,"30.3a","- beschrijvingen van het niveau van volledige dienstverlening, met inbegrip van actualiseringen en herzieningen daarvan met nauwkeurige kwantitatieve en kwalitatieve prestatiedoelstellingen binnen de overeengekomen dienstverleningsniveaus, teneinde de financiële entiteit in staat te stellen een doeltreffende monitoring van de ICT-diensten te verrichten en onverwijld passende corrigerende maatregelen te nemen wanneer de overeengekomen dienstverleningsniveaus niet worden gehaald;"]
[null,null,null,"30.3b","- kennisgevingstermijnen en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit, met inbegrip van de kennisgeving van ontwikkelingen die materiële gevolgen kunnen hebben voor het vermogen van de derde aanbieder om op doeltreffende wijze de ICT-diensten die kritieke of belangrijke functies ondersteunen te leveren in overeenstemming met de afgesproken dienstverleningsniveaus;"]
[null,null,null,"30.3c","- verplichtingen voor de derde aanbieder van ICT-diensten om bedrijfsnoodplannen in te voeren en te testen en te beschikken over ICT-beveiligingsmaatregelen, -instrumenten en -beleidslijnen waarmee de financiële entiteit kan zorgen voor een passend niveau van veiligheid bij het verlenen van diensten in overeenstemming met haar regelgevingskader;"]
[null,null,null,"30.3d","- de verplichting voor de derde aanbieder van ICT-diensten om deel te nemen aan en volledig mee te werken bij de TLPT van de financiële entiteit als bedoeld in de artikelen 26 en 27;"]
[null,null,null,"30.3e","- het recht om de prestaties van de derde aanbieder van ICT-diensten permanent te monitoren, hetgeen het volgende inhoudt:\ni) onbeperkte rechten van toegang, inspectie en audit door de financiële entiteit of een daartoe aangestelde derde partij alsook door de bevoegde autoriteit, en het recht om ter plaatse kopieën van relevante documenten te maken indien deze cruciaal zijn voor de activiteiten van de derde aanbieder van ICT-diensten, waarbij de doeltreffende uitoefening van dit recht niet wordt belemmerd of beperkt door andere contractuele overeenkomsten of ander uitvoeringsbeleid;\nii) het recht om andere garantieniveaus overeen te komen indien de rechten van andere cliënten worden aangetast;\niii) de verplichting van de derde aanbieder van ICT-diensten om tijdens de door de bevoegde autoriteiten, de lead overseer, de financiële entiteit of een aangestelde derde partij ter plaatse uitgevoerde inspecties en audits volledig mee te werken, en\niv) de verplichting om bijzonderheden te verschaffen over het toepassingsgebied, te volgen procedures en de frequentie van dergelijke inspecties en audits;"]
[null,null,null,"30.3f","- exitstrategieën, met name de invoering van een verplichte passende overgangsperiode:\ni) waarin de derde aanbieder van ICT-diensten de levering van de respectieve functies of ICT-diensten zal blijven voortzetten, teneinde het risico op verstoring bij de financiële entiteit te beperken of voor een doeltreffende afwikkeling en herstructurering te zorgen;\nii) waarin de financiële entiteit kan overstappen naar een andere derde aanbieder van ICT-diensten of naar interne oplossingen in overeenstemming met de complexiteit van de geleverde dienst."]
[null,null,null,"30.3x","In afwijking van punt e) kunnen de derde aanbieder van ICT-diensten en de financiële entiteit die een micro-onderneming is, overeenkomen dat de rechten van toegang, inspectie en audit van de financiële entiteit mogen worden gedelegeerd aan een onafhankelijke derde partij die wordt aangesteld door de derde aanbieder van ICT-diensten, en dat de financiële entiteit de derde partij te allen tijde om informatie en garanties kan verzoeken met betrekking tot de prestaties van de derde aanbieder van ICT-diensten."]
[null,null,null,"30.4","Bij onderhandelingen over contractuele overeenkomsten houden financiële entiteiten en derde aanbieders van ICT- diensten rekening met het gebruik van modelcontractbepalingen die door overheidsinstanties zijn ontwikkeld voor specifieke diensten."]
[null,null,null,"30.5","De ETA’s stellen via het Gemengd Comité ontwerpen van technische reguleringsnormen op tot nadere bepaling van de in lid 2, punt a), genoemde elementen die een financiële entiteit nodig heeft om te kunnen bepalen en te beoordelen wanneer over te gaan tot uitbesteding van ICT-diensten die kritieke of belangrijke functies ondersteunen.\nBij het opstellen van die ontwerpen van technische reguleringsnormen houden de ETA’s rekening met de omvang en het algehele risicoprofiel van de financiële entiteit, en met de aard, schaal en complexiteit van de diensten, activiteiten en verrichtingen ervan.\nDe ETA’s leggen deze ontwerpen van technische reguleringsnormen uiterlijk op 17 juli 2024voor aan de Commissie.\nAan de Commissie wordt de bevoegdheid gedelegeerd om deze verordening aan te vullen door de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen overeenkomstig de artikelen 10 tot en met 14 van de Verordeningen (EU) nr. 1093/2010, (EU) nr. 1094/2010 en (EU) nr. 1095/2010."]
["Afdeling II",31,"Aanwijzing van kritieke derde aanbieders van ICT-diensten",null,"Geen requirements"]
[null,32,"Structuur van het oversightkader",null,"Geen requirements"]
[null,33,"Taken van de lead overseer",null,"Geen requirements"]
[null,34,"Operationele coördinatie tussen de lead overseers",null,"Geen requirements"]
[null,35,"Bevoegdheden van de lead overseer",null,"Geen requirements"]
[null,36,"Uitoefening van de bevoegdheden van de lead overseer buiten de Unie",null,"Geen requirements"]
[null,37,"Verzoek om informatie",null,"Geen requirements"]
[null,38,"Algemene onderzoeken",null,"Geen requirements"]
[null,39,"Inspecties",null,"Geen requirements"]
[null,40,"Oversight tijdens de uitvoering",null,"Geen requirements"]
[null,41,"Harmonisatie van de voorwaarden voor de uitoefening van de oversightactiviteiten",null,"Geen requirements"]
[null,42,"Vervolgmaatregelen van de bevoegde autoriteiten",null,"Geen requirements"]
[null,43,"Oversightvergoedingen",null,"Geen requirements"]
[null,44,"Internationale samenwerking",null,"Geen requirements"]

{"sheet":"Hoofdstuk 6","index":6,"n_rows":7,"n_cols":9,"rows_kept":7,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,0,6,0],[1,1,6,1],[1,2,6,2]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 45","Regelingen voor uitwisseling van informatie en inlichtingen over cyberdreiging","45.1","Financiële entiteiten kunnen onderling informatie en inlichtingen over cyberdreiging uitwisselen, zoals indicatoren voor aantasting, tactieken, technieken en procedures, cyberbeveiligingswaarschuwingen en configuratie-instrumenten, voor zover dit:"]
[null,null,null,"45.1a","- bedoeld is om de digitale operationele weerbaarheid van de financiële entiteiten te versterken, met name via bewustmaking van cyberdreigingen, beperking of belemmering van de mogelijkheid tot verdere verspreiding van cyberdreigingen, ondersteuning van defensiecapaciteiten, technieken voor dreigingsdetectie, risicobeperkende strategieën en respons- en herstelfasen;"]
[null,null,null,"45.1b","- gebeurt binnen vertrouwensgemeenschappen van financiële entiteiten;"]
[null,null,null,"45.1c","- gedaan wordt via regelingen voor informatie-uitwisseling die de potentieel gevoelige aard van de gedeelde informatie beschermen en waarvoor gedragsregels gelden waarin de vertrouwelijkheid van bedrijfsinformatie, de bescherming van persoonsgegevens overeenkomstig Verordening (EU) 2016/679 en de richtsnoeren inzake mededingingsbeleid volledig worden gerespecteerd."]
[null,null,null,"45.2","Voor de toepassing van lid 1, punt c), worden in de regelingen voor informatie-uitwisseling de voorwaarden voor deelname bepaald en, in voorkomend geval, nadere bepalingen voor de betrokkenheid van overheidsinstanties en de hoedanigheid waarin deze instanties bij bedoelde regelingen kunnen worden betrokken. Ook kunnen nadere bepalingen worden vastgelegd voor de betrokkenheid van derde aanbieders van ICT-diensten en voor operationele aspecten, waaronder het gebruik van specifieke ICT-platforms."]
[null,null,null,"45.3","Een financiële entiteit stelt de bevoegde autoriteiten, na goedkeuring van haar deelname in de vertrouwensgemeenschap, in kennis van haar deelname aan de in lid 1 bedoelde regelingen voor informatie-uitwisseling, en, in voorkomend geval, van de beëindiging van haar deelname zodra deze beëindiging van kracht wordt."]

{"sheet":"Hoofdstuk 7","index":7,"n_rows":12,"n_cols":9,"rows_kept":12,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,0,11,0]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 46","Bevoegde autoriteiten;",null,"Geen requirements"]
[null,"Art. 47","Samenwerking met structuren en autoriteiten die zijn opgericht bij Richtlijn (EU) 2022/2555;",null,"Geen requirements"]
[null,"Art. 48 ","Samenwerking tussen autoriteiten;",null,"Geen requirements"]
[null,"Art. 49 ","Sectoroverschrijdende financiële oefeningen, communicatie en samenwerking;",null,"Geen requirements"]
[null,"Art. 50","Administratieve strafmaatregelen en corrigerende maatregelen;",null,"Geen requirements"]
[null,"Art. 51","Uitoefening van de bevoegdheid tot het nemen van administratieve strafmaatregelen en corrigerende maatregelen;",null,"Geen requirements"]
[null,"Art. 52"," Strafrechtelijke maatregelen;",null,"Geen requirements"]
[null,"Art. 53","Kennisgevingverplichting;",null,"Geen requirements"]
[null,"Art. 54","Bekendmaking van administratieve strafmaatregelen; ",null,"Geen requirements"]
[null,"Art. 55 ","Beroepsgeheim; ",null,"Geen requirements"]
[null,"Art. 56","Gegevensbescherming",null,"Geen requirements"]

{"sheet":"Hoofdstuk 8","index":8,"n_rows":2,"n_cols":9,"rows_kept":2,"cut":false,"hidden":false,"merged":[[0,0,0,3]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 57","Uitoefenen van de bevoegdheidsdelegatie",null,"Geen requirements"]

{"sheet":"Hoofdstuk 9","index":9,"n_rows":8,"n_cols":9,"rows_kept":8,"cut":false,"hidden":false,"merged":[[0,0,0,3],[1,0,7,0]]}
["DORA referentie",null,null,null,"Inhoud","Verantwoordelijke","Score","Toelichting","Bewijs"]
[null,"Art. 58","Evaluatieclausule",null,"Geen requirements"]
[null,"Art. 59","Wijzigingen van Verordening (EG) nr. 1060/2009",null,"Geen requirements"]
[null,"Art. 60","Wijzigingen van Verordening (EU) nr. 648/2012",null,"Geen requirements"]
[null,"Art. 61","Wijzigingen van Verordening (EU) nr. 909/2014",null,"Geen requirements"]
[null,"Art. 62","Wijzigingen van Verordening (EU) nr. 600/2014",null,"Geen requirements"]
[null,"Art. 63","Wijziging van Verordening (EU) 2016/1011",null,"Geen requirements"]
[null,"Art. 64","Inwerkingtreding en toepassing",null,"Inwerkingtreding 17 januari 2025"]