SEO: NIS2 compliance governance financiele sector

Eerst het kader goed zetten, want hier gaat het vaak mis. Voor financiele entiteiten is DORA, Verordening 2022/2554, de specifieke regeling voor ICT-risicobeheer en governance. NIS2 wijkt daar voor deze sector terug: artikel 4 van NIS2 geeft voorrang aan sectorale regels die minstens gelijkwaardig zijn. Werkt u in of rond de financiele sector, begin dan bij DORA en niet bij NIS2.

Toch is de NIS2-gedachte het lezen waard, en voor een hele groep bedrijven eromheen geldt NIS2 wel rechtstreeks. Die gedachte is dat cybersecurity geen IT-onderwerp is maar een bestuursonderwerp.

Wat artikel 20 werkelijk zegt

Artikel 20 legt de verantwoordelijkheid bij het bestuur als geheel. Het bestuursorgaan moet de maatregelen uit artikel 21 goedkeuren en toezicht houden op de uitvoering, en kan aansprakelijk worden gesteld als dat toezicht tekortschiet. Welke bestuurder daarvoor persoonlijk wordt aangesproken en via welke sanctie, regelt niet de richtlijn zelf maar de nationale wet, in Nederland de Cyberbeveiligingswet.

Waar het op aankomt

Risico's die u doorlopend herkent en aanpakt, eisen aan de beveiliging van uw leveranciers, procedures om een incident te ontdekken en te herstellen, en mensen die weten waar ze op moeten letten.

Wie beslist bij u, wie houdt toezicht, en waaruit blijkt dat het werkt?