NIS2 · Sector bankwezen

NIS2 voor banken en financiële instellingen

Hoe de Cyberbeveiligingswet en DORA samenhangen

Banken staan in de lijst van zeer kritieke sectoren. Toch krijgen de meeste banken in de praktijk vooral met DORA te maken, niet met de Cyberbeveiligingswet. Hier leggen we uit hoe dat zit en waar u wel op moet letten.

Bankwezen in het kort

Sector

Bijlage 1: zeer kritiek

Meestal

DORA gaat voor

Toezichthouder

De Nederlandsche Bank (DNB)

Melden

Ernstige ICT-incidenten volgens DORA

Welke financiële instellingen vallen onder NIS2?

In de Cbw gaat het om twee sectoren uit bijlage 1. Voor bijna alle instellingen daarin geldt DORA als voorrangsregeling.

Twijfelt u? Doe de gratis check →

Goed om te weten

DORA gaat voor
Volgens de Memorie van Toelichting gelden de zorgplicht, de bestuursverplichtingen, de meldplicht en het toezicht uit de Cbw niet voor financiële entiteiten die onder DORA vallen.

Tenzij u ook iets anders bent
Kwalificeert u daarnaast als ander soort entiteit onder de Cbw, dan gelden voor dat deel de Cbw-regels wel.

Registratie
De registratieplicht staat niet in die uitzondering. Laat per instelling beoordelen of u zich moet registreren.

DNB zelf
De Nederlandsche Bank valt niet onder de Cbw.

Waarom banken een doelwit zijn

Geld, gegevens en vertrouwen: bij een bank komt alles samen waar aanvallers op uit zijn.

Direct geld en data

Criminelen richten zich op betaalstromen, accounts en klantgegevens. De opbrengst is direct.

Beschikbaarheid

Klanten verwachten dat internetbankieren altijd werkt. Overbelastingsaanvallen raken dat direct.

Afhankelijk van derden

Cloud, fintech en IT-leveranciers zijn diep verweven in de dienstverlening van banken.

Uit de praktijk

DDoS-aanvallen op Nederlandse banken, 2018

Begin 2018 werden ABN AMRO, ING en Rabobank getroffen door een reeks overbelastingsaanvallen. Internetbankieren was daardoor tijdelijk slecht bereikbaar. Eén van de daders bleek een tiener die een betaalde aanvalsdienst gebruikte.

Wat er van banken wordt gevraagd

Voor banken onder DORA komen de DORA-eisen in plaats van de meeste Cbw-plichten. Zo ziet dat eruit.

ICT-risicobeheer via DORA

Uw raamwerk voor ICT-risico’s, testen en het beheer van derden volgt uit DORA. Dat komt in plaats van de zorgplicht uit de Cbw.

Incidenten melden via DORA

Ernstige ICT-incidenten meldt u volgens DORA bij de toezichthouder, in stappen: een eerste melding, een tussenrapport en een eindrapport.

Registratie laten toetsen

De uitzondering voor DORA noemt de registratieplicht niet. Laat beoordelen of registratie via mijn.ncsc.nl voor u nodig is.
Lees meer over de registratieplicht →

Verantwoordelijkheid van het bestuur

Ook onder DORA is het bestuur eindverantwoordelijk voor ICT-risico’s en moet het voldoende kennis hebben en houden.

DORA, Cbw en de AVG naast elkaar

Bouw geen losse stelsels. Breng de overlap in kaart en werk vanuit één aanpak.

DORA

Europese verordening die sinds januari 2025 rechtstreeks geldt voor de financiële sector. Voor banken het leidende kader voor digitale weerbaarheid.

AVG

Blijft naast DORA gelden. Een datalek meldt u bij de Autoriteit Persoonsgegevens.

Leveranciers en de Cbw

Uw IT-leveranciers kunnen zelf onder de Cbw vallen. Dan hebben zij met twee wetten te maken, die niet gelijk lopen.

Zo brengt u DORA en de Cbw op één lijn

Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.

Bepaal uw rol

Valt u onder DORA, en kwalificeert u daarnaast als een ander soort entiteit onder de Cbw?

Breng de overlap in kaart

Leg DORA en de Cbw naast elkaar en bepaal per verplichting welk kader geldt.

Toets de registratieplicht

Laat beoordelen of u zich moet registreren in het entiteitenregister.

Beheer uw ICT-derden

Beoordeel leveranciers en leg eisen vast in contracten, zoals DORA vraagt.

Bekijk ook andere sectoren

DORA en NIS2 in één aanpak

Wij helpen u de overlap helder te krijgen, zodat u niets dubbel en niets te weinig doet.