NIS2 voor vermogensbeheerders

Vermogensbeheerders vallen niet rechtstreeks onder NIS2, maar wel onder DORA. Dat onderscheidt vermogensbeheerders van vrijwel alle andere financieel adviseurs in Nederland, die er langs een vrijstelling of langs de aanwijzing als financiële entiteit buiten vallen. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.

Vallen vermogensbeheerders onder NIS2?

Vermogensbeheerders vallen niet rechtstreeks onder NIS2, maar wel onder DORA. Als beleggingsonderneming zijn zij een financiële entiteit in de zin van die verordening, met een eigen verplichtingenpakket voor digitale operationele weerbaarheid. De plicht ontstaat alleen indirect, via de opdrachtgever.

De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:

• Institutionele klanten: partijen die zelf onder NIS2 of DORA vallen, toetsen hun keten bij mandaatverlening en bij verlenging. Zij stellen dezelfde vragen als de toezichthouder, maar vanuit hun eigen ketenverantwoordelijkheid.
• Je eigen ICT-keten: custodians, het handelsplatform en de marktdataleveranciers. Beheersing van externe ICT-dienstverleners is een eis aan jou. Je institutionele klanten toetsen die beheersing mee.
• Twee regimes tegelijk: DORA geldt rechtstreeks, met de AFM en De Nederlandsche Bank als toezichthouder, terwijl NIS2 je indirect via de keten bereikt. De onderliggende maatregelen zijn grotendeels dezelfde, maar ze worden vanuit twee hoeken uitgevraagd.

Onder DORA ben je als beleggingsonderneming een financiële entiteit, met de AFM en De Nederlandsche Bank als toezichthouder en niet de Rijksinspectie Digitale Infrastructuur. Dat bepaalt ook bij wie je incidenten meldt. Een hypotheekadviseur is in de verordening nooit als financiële entiteit aangewezen: het woord kredietbemiddelaar komt er niet in voor. De vrijstelling in artikel 2 lid 3 van DORA geldt alleen voor verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen die volgens artikel 3 een kleine of middelgrote onderneming zijn: minder dan 250 personen in dienst en een jaaromzet van ten hoogste 50 miljoen euro en/of een balanstotaal van ten hoogste 43 miljoen euro.

Wat de Cyberbeveiligingswet verandert

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers eisen van vermogensbeheerders aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:

• Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
• Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
• Tijdige updates en patching van werkplekken, servers en software.
• Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
• Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
• Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.

Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.

De ICT van een vermogensbeheerder en waar NIS2 die raakt

ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Het handelsplatform, de dataleveranciers en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365: mail, klantdossiers en rapportages	Klantrapportages, mandaatwijzigingen en betaalinstructies lopen per mail. Een gekaapte mailbox is hier direct een frauderisico met grote bedragen.	Beheerd
Laptops en telefoons van beheerders en adviseurs	Portefeuilledata en klantgegevens gaan mee naar klantgesprekken en naar huis.	Beheerd
Accounts van beheerders, back office en compliance	Functiescheiding tussen handel, administratie en toezicht moet in de accounts terug te zien zijn. Dat is onder DORA een expliciet aandachtspunt.	Beheerd
Handelsplatform, ordersysteem en custodian-koppelingen	De kern van de dienstverlening, met eigen leveranciers die onder DORA als kritieke ICT-dienstverlener kunnen kwalificeren.	Buiten scope, toegang wel beheerd
Marktdata- en researchleveranciers	Externe databronnen met eigen inloggegevens. Buiten de werkplek, maar de credentials zitten er wel in.	Buiten scope

De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.

Het ICT-deel van NIS2, aantoonbaar geregeld

Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.

Bekijk het NIS2-trajectBekijk werkplekbeheer

NIS2 ook voor andere branches in zakelijke dienstverlening

• NIS2 voor accountantskantoren
• NIS2 voor administratiekantoren
• NIS2 voor advocatenkantoren
• NIS2 voor arbodiensten
• NIS2 voor assurantietussenpersonen
• NIS2 voor auditbureaus
• NIS2 voor bedrijfsadviesbureaus
• NIS2 voor bedrijfsmakelaars
• NIS2 voor belastingadvieskantoren
• NIS2 voor callcenters
• NIS2 voor compliance adviesbureaus
• NIS2 voor deurwaarderskantoren
• NIS2 voor detacheringsbureaus
• NIS2 voor financieel adviseurs
• NIS2 voor hypotheekadviseurs
• NIS2 voor incassobureaus
• NIS2 voor inkoopadviesbureaus
• NIS2 voor interim managementbureaus
• NIS2 voor loopbaancoachingsbureaus
• NIS2 voor marktonderzoeksbureaus
• NIS2 voor mediationbureaus
• NIS2 voor notariskantoren
• NIS2 voor octrooibureaus
• NIS2 voor outplacementbureaus
• NIS2 voor pensioenadvieskantoren
• NIS2 voor recruitmentbureaus
• NIS2 voor re integratiebureaus
• NIS2 voor salarisadministratiekantoren
• NIS2 voor subsidieadviesbureaus
• NIS2 voor trainings en opleidingsbureaus
• NIS2 voor uitzendbureaus
• NIS2 voor vertaalbureaus

Andere normen die voor vermogensbeheerders meespelen

Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij vermogensbeheerders regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.

ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.

DORA

DORA is de Europese verordening voor digitale operationele weerbaarheid in de financiële sector en geldt voor vermogensbeheerders rechtstreeks, als beleggingsonderneming. De verordening vraagt om ICT-risicobeheer, incidentmelding, weerbaarheidstesten en beheersing van externe ICT-dienstverleners. Toezicht ligt bij de AFM en De Nederlandsche Bank.

AVG

In je dossiers zitten financiële en persoonsgegevens van je cliënten, tot en met hun vermogenspositie. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je kantoor. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.

Veelgestelde vragen over NIS2 voor vermogensbeheerders

Valt een vermogensbeheerder onder NIS2?

Nee, maar wel onder DORA. Als beleggingsonderneming ben je een financiële entiteit in de zin van die verordening, met een eigen verplichtingenpakket voor digitale operationele weerbaarheid. NIS2 komt daarnaast via de keten binnen, via institutionele klanten en je eigen leveranciers.

Waarom valt een vermogensbeheerder wel onder DORA en een hypotheekadviseur niet?

Een hypotheekadviseur is in de verordening nooit als financiële entiteit aangewezen; het woord kredietbemiddelaar komt er niet in voor. Voor verzekerings-, herverzekerings- en nevenverzekeringstussenpersonen geldt daarnaast een vrijstelling voor kleine en middelgrote ondernemingen: minder dan 250 personen in dienst en een jaaromzet van ten hoogste 50 miljoen euro en/of een balanstotaal van ten hoogste 43 miljoen euro (DORA, artikel 2 lid 3 en artikel 3, 2022). Een vermogensbeheerder kwalificeert als beleggingsonderneming en valt daardoor wel onder het regime.

Wat vraagt DORA concreet?

ICT-risicobeheer, melding van incidenten, testen van digitale weerbaarheid en beheersing van externe ICT-dienstverleners. Dat ligt dicht bij wat de zorgplicht uit de Cyberbeveiligingswet van andere sectoren vraagt; de grondslag en de toezichthouder verschillen.

Wie houdt toezicht op DORA?

De AFM en De Nederlandsche Bank, niet de Rijksinspectie Digitale Infrastructuur. Dat is een van de praktische verschillen met NIS2 en bepaalt bij wie je incidenten meldt.

Welk deel van de ICT van een vermogensbeheerder valt buiten de scope van ClickOn?

Buiten scope vallen het handelsplatform, het ordersysteem en de custodian-koppelingen en de marktdata- en researchleveranciers. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.