Toezicht in de praktijk: DNB en de AFM als DORA-toezichthouders

Digital Escrow Legal Insights — Aflevering 3

DORA stelt de eisen, maar het toezicht bepaalt hoe compliance er in de praktijk uitziet. In Nederland is dat toezicht verdeeld over twee toezichthouders, en beide kijken naar bewijs, niet naar intenties.

Het twin peaks-model

De Nederlandsche Bank (DNB) is de prudentieel toezichthouder voor banken, verzekeraars, betaalinstellingen, elektronischgeldinstellingen en pensioenfondsen. De Autoriteit Financiële Markten (AFM) houdt gedragstoezicht op beleggingsondernemingen, aanbieders van cryptoactivadiensten met een MiCA-vergunning, crowdfundingplatforms en aanbieders van datarapportagediensten. Heeft je instelling meerdere vergunningen, dan moet je mogelijk aan de eisen van beide voldoen.

Waar ze werkelijk naar kijken

 DNB schrijft nergens escrow voor, maar de Good Practice Informatiebeveiliging bestrijkt precies het terrein waar escrow een antwoord op geeft: governance, uitbesteding, testen en ketenrisico. De echte vraag van een toezichthouder is niet óf er een escrowovereenkomst bestaat, maar of de continuïteitsclaim die erachter zit een kritische toets doorstaat.

Rapportagetermijnen die er dagelijks toe doen

Bij een ernstig incident moet je binnen 4 uur na classificatie een eerste melding doen (uiterlijk 24 uur na detectie), binnen 72 uur een tussentijds rapport indienen en binnen een maand een eindrapport met oorzaakanalyse aanleveren. Daarnaast legt het informatieregister uit artikel 28 elke overeenkomst met een externe ICT-dienstverlener vast. Zo worden afhankelijkheden die niet zijn afgedekt zichtbaar voor de toezichthouder.

Continuïteit van gehoste diensten.

Hersteltijd- en herstelpuntdoelstellingen (artikelen 11 en 12) moeten worden getest, niet alleen gedocumenteerd. Een herstelplan dat uitgaat van het opnieuw opbouwen vanuit de broncode haalt een doelstelling die in uren wordt gemeten vaak niet; een step-in-regeling wel. De beoordeling van concentratierisico uit artikel 29 reikt bovendien tot de hostinglaag achter je softwareleverancier, en dat is precies waar SaaS-escrow werkt. Artikel 28, lid 8, vereist daarnaast een exitstrategie die de bedrijfsvoering niet verstoort en de dienstverlening aan klanten niet aantast. Een exit die alleen op papier bestaat, volstaat niet.

Escrow als auditbewijs.

Een escrowovereenkomst laat zien dat materialen zijn gedeponeerd. Een verificatierapport laat zien dat die materialen ook werkelijk werken. Periodieke herverificatie levert het doorlopende bewijsspoor op dat de testverplichtingen vragen.

Tot slot:

DNB en de AFM schrijven geen escrow voor, maar beide toetsen wel de continuïteitsclaims die escrow onderbouwt. Een kritieke afhankelijkheid zonder gedocumenteerde exitroute is een lacune die zij zien.

Bekijk de video: Aflevering 3 – Toezicht in de praktijk: DNB en de AFM als DORA-toezichthouders