[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:nl:de-negen-plaatsen-waar-het-ict-risicokader-van-uw-bankklant-uw-product-binnenreikt-rts-2024-1774-einddata-van-support-kwetsbaarheden-broncode-accounts-en-incidenten":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"nl","de-negen-plaatsen-waar-het-ict-risicokader-van-uw-bankklant-uw-product-binnenreikt-rts-2024-1774-einddata-van-support-kwetsbaarheden-broncode-accounts-en-incidenten","De negen plaatsen waar het ICT-risicokader van uw bankklant uw product binnenreikt, RTS 2024\u002F1774: einddata van support, kwetsbaarheidsrapporten en bibliotheekregistratie, instellingen die hij niet mag omzeilen, broncode getest vóór productie, persoonlijke accounts voor uw medewerkers, en uw incidenten als zijn alarmen","Gedelegeerde Verordening (EU) 2024\u002F1774, in werking sinds 15 juli 2024, specificeert het ICT-risicobeheerkader dat elke financiële entiteit onder DORA voert, en negen van haar artikelen noemen de derde aanbieder van ICT-diensten. Gelezen vanuit de leverancier: het bedrijfsmiddelenregister dat de einddata van uw support vastlegt (artikel 4), de kwetsbaarhedenprocedure die toetst of u kwetsbaarheden afhandelt en meldt en de bibliotheken van derden in uw product volgt (artikel 10), de procedure voor gegevens- en systeembeveiliging die rollen tussen u en de klant verdeelt en maatregelen op uw infrastructuur vraagt (artikel 11), versleutelde verbindingen over netwerken van derden (artikel 13), broncode van aanbieders geanalyseerd en getest vóór productie (artikel 16), een uniek account voor elk van uw medewerkers met toegang (artikel 20), uw incidentmeldingen als een van zijn detectiebronnen (artikel 23), continuïteitstests die uw dienst en uw insolventie omvatten (artikelen 25 en 26). Met wat een ISO 27001-systeem al beantwoordt.","2026-09-12","\nArtikel 28, lid 1, van Verordening (EU) 2022\u002F2554, DORA, maakt het ICT-risicobeheerkader van de klant tot datgene waarvan uw dienst een onderdeel is, en Gedelegeerde Verordening (EU) 2024\u002F1774 van de Commissie van 13 maart 2024, bekendgemaakt op 25 juni 2024 en in werking sinds 15 juli 2024, specificeert dat kader in tweeënveertig artikelen: het beleid, de procedures, protocollen en instrumenten van artikel 9, lid 2, van DORA, de detectiemechanismen van artikel 10, de continuïteits- en herstelplannen van artikel 11, en een vereenvoudigd kader voor de kleine entiteiten van artikel 16. Het meeste ervan is de eigen huishouding van de klant. Negen artikelen noemen de derde aanbieder van ICT-diensten, en elk daarvan is een vraag die het kader van de klant over u moet kunnen beantwoorden, dus een vraag die u gesteld zal worden. Dit artikel leest die negen in het Publicatieblad op CELLAR op 12 september 2026, vanuit de leverancier. Het is geen juridisch advies.\n\n## Het bedrijfsmiddelenregister wil de einddata van uw support, artikel 4\n\nArtikel 4 vereist een beleid voor het beheer van ICT-bedrijfsmiddelen waaronder de entiteit van elk ICT-bedrijfsmiddel gegevens bijhoudt: een unieke identificatie, de fysieke of logische locatie, de classificatie, de eigenaar, de bedrijfsfuncties die het ondersteunt, de continuïteitseisen inclusief hersteltijd- en herstelpuntdoelstellingen, of het aan externe netwerken is blootgesteld, de verbanden en afhankelijkheden met andere bedrijfsmiddelen en, punt b) ix) van lid 2, waar van toepassing, de einddata van de reguliere, verlengde en aangepaste supportdiensten van de derde aanbieder van ICT-diensten, waarna het bedrijfsmiddel niet langer wordt ondersteund. Voor een leverancier betekent dat een gepubliceerde supportlevenscyclus per productversie, met data, want het register van de klant heeft er een kolom voor en een lege kolom is een bevinding bij de volgende audit van de klant.\n\n## De kwetsbaarhedenprocedure toetst u, en volgt uw bibliotheken, artikel 10\n\nArtikel 10 vereist procedures voor kwetsbaarhedenbeheer die onder meer toetsen of derde aanbieders van ICT-diensten kwetsbaarheden in de door hen geleverde diensten afhandelen en of zij ten minste de kritieke kwetsbaarheden en statistieken en trends tijdig aan de entiteit melden; en die het gebruik volgen van bibliotheken van derden, inclusief opensourcebibliotheken, in diensten die kritieke of belangrijke functies ondersteunen, en van diensten die een aanbieder voor de entiteit heeft ontwikkeld of aangepast. De verordening voegt toe dat de entiteit aanbieders verzoekt de relevante kwetsbaarheden te onderzoeken, de onderliggende oorzaken vast te stellen en beperkende maatregelen te nemen, en dat zij de versies en updates van bibliotheken van derden monitort, waar passend in samenwerking met de aanbieder. De entiteit zelf voert ten minste wekelijks geautomatiseerde kwetsbaarheidsscans uit op bedrijfsmiddelen die kritieke of belangrijke functies ondersteunen, en haar patchbeheer stelt termijnen met escalatie.\n\nGelezen vanuit de leverancier zijn dit drie leveringen: een proces voor de afhandeling van kwetsbaarheden waarvan de klant het bestaan kan toetsen, een periodiek kwetsbaarheidsrapport dat ten minste de kritieke noemt met statistieken en trends, en een lijst van de componenten van derden en open source in het product met hun versies, dat wil zeggen de softwarestuklijst die de [Cyber Resilience Act](\u002Fcyber-resilience-act) om eigen redenen van een fabrikant vereist. Een leverancier die haar al voor de CRA produceert, beantwoordt artikel 10, lid 2, punt d), met hetzelfde document.\n\n## Gegevens- en systeembeveiliging: rollen tussen u en de klant, maatregelen op uw infrastructuur, artikel 11\n\nArtikel 11 vereist een procedure voor gegevens- en systeembeveiliging waarvan de elementen, voor ICT-bedrijfsmiddelen of -diensten die door een derde aanbieder van ICT-diensten worden beheerd, punt k), de identificatie en uitvoering omvatten van eisen om de digitale operationele weerbaarheid in stand te houden overeenkomstig de gegevensclassificatie en de ICT-risicobeoordeling. Voor dat punt overweegt de entiteit de toepassing van de door de leverancier aanbevolen instellingen op de elementen die zij zelf beheert, een duidelijke verdeling van de rollen en verantwoordelijkheden voor informatiebeveiliging tussen de entiteit en de aanbieder, overeenkomstig de volledige verantwoordelijkheid van de entiteit op grond van artikel 28, lid 1, punt a), van DORA, de competenties die zij nodig heeft om de dienst te beheren en te beveiligen, en technische en organisatorische maatregelen om de risico's van de infrastructuur die de aanbieder voor zijn diensten gebruikt te minimaliseren, met inachtneming van toonaangevende praktijken en normen. Punt f) ii) van hetzelfde artikel, over eindapparaten, vereist beveiligingsmechanismen die niet op ongeoorloofde wijze door medewerkers of door derde aanbieders van ICT-diensten kunnen worden gewijzigd, verwijderd of omzeild.\n\nVoor een SaaS-leverancier is de rolverdeling het document over gedeelde verantwoordelijkheid: welke beveiligingsinstellingen de klant configureert, welke de leverancier beheert, en welke de klant niet mag uitschakelen. De maatregelen op uw infrastructuur zijn de beheersmaatregelen die de reikwijdte van uw certificaat beschrijft, en het kader van de klant zal ernaar vragen met verwijzing naar een norm.\n\n## Versleutelde verbindingen over netwerken van derden, artikel 13\n\nArtikel 13 vereist netwerkbeveiligingsmaatregelen die de versleuteling omvatten van netwerkverbindingen over bedrijfsnetwerken, openbare netwerken, thuisnetwerken, netwerken van derden en draadloze netwerken, voor de gebruikte communicatieprotocollen, met inachtneming van de gegevensclassificatie, en voor de netwerkdiensten van de entiteit de documentatie of ze door een aanbieder binnen de groep of door derde aanbieders worden geleverd. Het antwoord van de leverancier is de versleuteling tijdens overdracht voor elke verbinding tussen de klant en het product en tussen het product en zijn onderaannemers, met de protocolversies opgeschreven.\n\n## Broncode van aanbieders wordt geanalyseerd en getest vóór productie, artikel 16\n\nArtikel 16 vereist een beleid voor de verwerving, ontwikkeling en het onderhoud van ICT-systemen, en een procedure voor het testen en goedkeuren van alle ICT-systemen vóór gebruik en na onderhoud, evenredig aan de kriticiteit van de betrokken bedrijfsprocessen en bedrijfsmiddelen. De procedure bevat beheersmaatregelen om de integriteit te beschermen van broncode die intern of door een aanbieder is ontwikkeld en aan de entiteit is geleverd, en bepaalt dat propriëtaire software en, waar haalbaar, broncode van derde aanbieders of uit opensourceprojecten vóór de uitrol in productie wordt geanalyseerd en getest. Voor een leverancier wiens product door de klant wordt geïnstalleerd, is dat het recht van de klant om uw release te testen voordat ze live gaat en om integriteitsmaatregelen te zien op wat u levert: ondertekende releases, controlesommen, een buildpijplijn die u kunt beschrijven. Voor een SaaS-leverancier is het de belangstelling van de klant voor uw eigen releasetests, want de uitrol in productie gebeurt aan uw kant.\n\n## Een persoonlijk account voor elk van uw medewerkers met toegang, artikel 20\n\nArtikel 20 vereist beleid voor identiteitsbeheer waaronder aan elk personeelslid van de entiteit of van een derde aanbieder van ICT-diensten dat toegang heeft tot de informatie- en ICT-bedrijfsmiddelen van de entiteit een unieke identiteit met een uniek gebruikersaccount wordt toegewezen. Waar uw supportmedewerkers de omgeving van de klant binnenreiken, zal de klant hun persoonlijke accounts uitgeven en van u verwachten dat u meldt wie erbij komt en wie vertrekt; waar zij alleen uw eigen omgeving binnenreiken, zal de vragenlijst van de klant u vragen dezelfde regel bij uzelf te tonen.\n\n## Uw incidentmeldingen zijn een van de detectiebronnen van de klant, artikel 23\n\nArtikel 23 vereist een mechanisme om afwijkende activiteiten snel te detecteren dat, naast andere bronnen, ICT-gerelateerde incidentmeldingen van een derde aanbieder van ICT-diensten verzamelt, monitort en analyseert, gedetecteerd in de eigen systemen en netwerken van de aanbieder en mogelijk van invloed op de entiteit. De alarmering van de klant is ontworpen om uw meldingen als een feed te ontvangen, naast zijn eigen logboeken en dreigingsinformatie, en ze te prioriteren zodat ze binnen zijn verwachte oplostijd worden afgehandeld, tijdens en buiten werktijd. Het [artikel over ernstige incidenten](\u002Farticles\u002Fwhen-your-outage-becomes-your-bank-customers-major-incident-doras-six-criteria-the-two-hour-downtime-threshold-the-four-clocks-and-the-facts-your-customer-needs-from-you) legt uit wat er dan gebeurt: de termijn van vier uur bij de klant begint wanneer hij classificeert, en uw melding is wat hem laat classificeren.\n\n## Continuïteitstests omvatten uw dienst en uw insolventie, artikelen 25 en 26\n\nArtikel 25 vereist dat het testen van de ICT-bedrijfscontinuïteitsplannen van de entiteit, waar van toepassing, het testen omvat van ICT-diensten die door derde aanbieders worden geleverd, en procedures om na te gaan of het personeel van de entiteit, haar aanbieders, haar systemen en haar diensten adequaat kunnen reageren op de scenario's van artikel 26; voor de aanbiedersscenario's houdt de entiteit terdege rekening met insolventie of falen van de aanbieder en met politieke risico's in het rechtsgebied van de aanbieder. Artikel 26 vereist dat de respons- en herstelplannen scenario's overwegen waarin een kritieke of belangrijke functie verslechtert of uitvalt, met de mogelijke impact van insolventie of ander falen van een aanbieder, en politieke en sociale instabiliteit in het rechtsgebied van de aanbieder en waar de gegevens worden opgeslagen en verwerkt, en dat continuïteitsmaatregelen worden uitgevoerd om het falen van aanbieders van diensten die kritieke of belangrijke functies ondersteunen op te vangen. Het aandeel van de leverancier is de exit- en overgangsprocedure van de [checklist van de clausules van artikel 30](\u002Fdora\u002Fcontract-clauses), 30(3)(f), en zijn bereidheid om deel te nemen aan de continuïteitstest van de klant, die punt c) van artikel 30, lid 3, al in het contract zet.\n\n## Wat een ISO 27001-systeem al beantwoordt\n\nDe gedelegeerde verordening noemt geen norm, en wat volgt is de lezing van StandardOS van waar een ISO\u002FIEC 27001:2022-managementsysteem de antwoorden oplevert, zonder vermoeden van conformiteit. Artikel 4, lid 2, punt b) ix), is de inventaris van bedrijfsmiddelen, A.5.9, als de inventaris einddata van support draagt. Artikel 10 is de beheersmaatregel voor kwetsbaarhedenbeheer, A.8.8, en de rapportageafspraken met leveranciers van A.5.20; de componentenlijst is dezelfde registratie die de CRA vraagt. Artikel 11, punt k), is de leveranciersovereenkomst, A.5.20, en de configuratiemaatregel, A.8.9; punt f) ii) is A.8.1 en A.8.7. Artikel 13 is A.8.20 tot en met A.8.22 en de cryptografiemaatregel, A.8.24. Artikel 16 is veilige ontwikkeling, A.8.25 tot en met A.8.29, met de releasetests van A.8.29 en het wijzigingsbeheer van A.8.32. Artikel 20 is A.5.16, identiteitsbeheer, en A.5.18, toegangsrechten. Artikel 23 is de incidentbeheerplanning van A.5.24 en de logging en monitoring van A.8.15 en A.8.16, waar de melding vandaan komt. De artikelen 25 en 26 zijn A.5.29 en A.5.30 en de continuïteitstests die zij vereisen. Wat de norm u niet geeft, zijn het register van de klant, zijn classificatie van uw dienst en zijn scenario's; dat zijn vragen die u met feiten beantwoordt, en het [gegevensblad voor het register](\u002Fdora\u002Fregister-of-information) bevat die over locaties en onderaannemers.\n\n## Wat te doen voordat de vragen van het kader komen\n\nPubliceer een supportlevenscyclus met data per versie. Produceer een componentenlijst met versies en een periodiek kwetsbaarheidsrapport, en schrijf de rapportagefrequentie in het contract. Schrijf het document over gedeelde verantwoordelijkheid dat de rollen op grond van artikel 11, punt k), verdeelt, inclusief de instellingen die de klant niet mag uitschakelen. Documenteer de versleuteling tijdens overdracht met protocolversies. Beschrijf de releasepijplijn en haar integriteitsmaatregelen. Pas persoonlijke accounts toe op uw eigen medewerkers en bied de in- en uitdienstmelding aan voor accounts in de omgeving van de klant. Sluit uw incidentmeldingen aan op een kanaal dat de klant kan verwerken. En oefen de exit met de klant wanneer hij daarom vraagt, want artikel 25 zegt dat hij dat zal doen. De [DORA-hub](\u002Fdora) bevat de data van de verordening en haar handelingen.\n",1789383970572]