Assetmanagers moeten ICT-recovery verder versterken

Toenemende digitale risico’s vragen om goede ICT-recovery

Financiële instellingen zijn voor hun dienstverlening sterk afhankelijk van ICT. Tegelijkertijd nemen de risico’s toe door cyberaanvallen, geopolitieke ontwikkelingen en nieuwe toepassingen van kunstmatige intelligentie. Het vermogen om systemen, data en processen na een verstoring snel te herstellen, is daarom een belangrijk onderdeel van digitale weerbaarheid.

DORA stelt eisen aan financiële instellingen, waaronder assetmanagers, om hun digitale weerbaarheid te versterken. Daaronder valt ook het vermogen om kritieke dienstverlening na een verstoring tijdig te herstellen. Tegen deze achtergrond heeft de AFM onderzocht hoe grote institutionele assetmanagers hun ICT-recovery hebben ingericht.

Basis op orde, verdere verbetering nodig

Uit het onderzoek blijkt dat de onderzochte assetmanagers op hoofdlijnen goed zijn voorbereid op ICT-uitval. De belangrijkste processen, plannen en testprogramma’s zijn aanwezig.

Tegelijkertijd ziet de AFM ruimte voor verdere verbetering. Niet altijd is er een duidelijke samenhang tussen kritieke functies, hersteldoelstellingen, afhankelijkheden van ICT-dienstverleners en de manier waarop herstel wordt getest. Juist die samenhang is belangrijk om ook bij ernstige verstoringen de dienstverlening snel te kunnen herstellen.

Vier aandachtspunten helpen ICT-recovery verder versterken

Het onderzoek laat vier aandachtspunten zien waarmee assetmanagers hun ICT-recovery verder kunnen versterken.

1. Consistente classificatie van kritieke functies
   Een duidelijke en consistente classificatie van kritieke functies vormt de basis voor effectief ICT-recovery. Verschillende definities of classificaties binnen een organisatie kunnen ertoe leiden dat herstelmaatregelen niet altijd aansluiten op de functies die het belangrijkst zijn voor de dienstverlening.
2. Hersteldoelstellingen vaststellen voor kritieke functies
   Hersteldoelstellingen worden vaak vastgesteld voor systemen of applicaties. Door deze ook vast te stellen voor kritieke functies ontstaat een beter beeld van wat nodig is om de dienstverlening na een verstoring tijdig te herstellen.
3. Herstelvereisten opnemen in afspraken met ICT-dienstverleners
   Veel assetmanagers zijn afhankelijk van externe ICT-dienstverleners. Daarom is het belangrijk dat afspraken met leveranciers aansluiten op de hersteldoelstellingen van de instelling. Zo wordt beter geborgd dat externe partijen kunnen bijdragen aan het gewenste herstelniveau.
4. Testen met verschillende extreme scenario’s
   Regelmatig testen helpt om vast te stellen of herstelmaatregelen in de praktijk werken. Daarbij is het belangrijk om verschillende scenario’s te gebruiken, waaronder ernstige verstoringen zoals cyberaanvallen, langdurige systeemuitval of problemen bij een externe ICT-dienstverlener.