Digitale weerbaarheid pensioenfondsen (DORA)

Met de inwerkingtreding van de Digital Operational Resilience Act (DORA) op 17 januari 2025 heeft de Europese wetgever een duidelijke boodschap afgegeven: digitale weerbaarheid is een strategische verantwoordelijkheid voor pensioenfondsen. Voor pensioenfondsen, die opereren binnen een keten die vrijwel volledig steunt op digitale dienstverlening, raakt DORA aan de kern van hun opdracht: zekerheid bieden, continuïteit borgen en het borgen van vertrouwen in een steeds meer gedigitaliseerde omgeving. Hoewel veel fondsen inmiddels de initiële inrichting hebben doorlopen, blijkt dat de aantoonbaarheid hiervan nog steeds de grootste uitdaging is. Dat is niet vreemd, aangezien DORA een stap verder gaat dan de Good Practice Informatiebeveiliging. Sterker nog: de wet markeert een verschuiving in hoe de sector naar digitale risico’s kijkt.

Van compliance naar een volwassen niveau van digitale weerbaarheid

DORA legt de lat hoger dan eerdere kaders. Niet alleen omdat de eisen concreter zijn, maar vooral omdat de achterliggende filosofie anders is. Waar voorheen de nadruk lag op het naleven van regels, vraagt DORA bestuurders om digitale risico’s structureel te verankeren in de governance, besluitvorming en risicobeoordeling.

De proportionaliteit die de wet toestaat, geeft pensioenfondsen ruimte om maatregelen af te stemmen op hun eigen risicoprofiel en complexiteit. Maar die ruimte is geen versoepeling; het is een uitnodiging om bewust en onderbouwd te handelen. Bestuurlijke keuzes moeten gemotiveerd, vastgelegd en daarnaast periodiek herijkt worden. De Plan Do Check Act (PDCA) cyclus wordt daarmee een essentieel instrument om de digitale weerbaarheid op een volwassener niveau te krijgen

De impact van DORA en de rol van het bestuur

Voor veel fondsen is DORA voelbaar op de volgende onderdelen IT risicomanagement:

• Het IT risicomanagement wordt uitgebreider en dynamischer. Cyberincidenten worden niet langer benaderd als uitzonderingen, maar als realistische scenario’s waarvan organisaties moeten kunnen herstellen.
• Inzicht in de volledige uitbestedingsketen met behulp van het informatieregister : Een van de meest ingrijpende verplichtingen van DORA is het informatieregister. Dit register dwingt fondsen om hun digitale keten tot op het niveau van onderuitbestedingspartners in kaart te brengen. Voor veel fondsen wordt hierdoor voor het eerst zichtbaar hoe diep afhankelijkheden reiken, hoe veel lagen er bestaan tussen het fonds en de deelnemer, en waar risico’s zich voor kunnen doen. In een sector waar het grootste deel van de dienstverlening is uitbesteed, vormt dat inzicht de basis voor juiste aansturing en monitoring. Het informatieregister moet actueel blijven. Dat vergt discipline, samenwerking met (onder)uitbestedingspartners en een goede governance structuur.
• Aantoonbaarheid: DORA vraagt evenals de Good Practice om aantoonbaarheid. Testresultaten, evaluaties, incidenthistorie, herstel¬capaciteit en aantoonbare betrokkenheid van het bestuur: het zijn allemaal onderdelen van een volwassen control framework dat de toezichthouder in staat stelt om digitale weerbaarheid daadwerkelijk te beoordelen.

DORA-naleving vraagt hiermee bestuurlijke aandacht en een verschuiving van IT afhankelijkheid naar IT regie. Het bestuur hoeft geen technisch specialist te worden, maar moet wel in staat zijn te begrijpen hoe digitale risico’s zich vertalen naar continuïteit, uitbesteding en governance. Het bestuur moet kunnen beoordelen of maatregelen logisch, proportioneel en effectief zijn. Dat vraagt om een nieuwe taal rond IT aan de bestuurstafel. Een taal die risico, techniek en organisatie aan elkaar verbindt. En die zichtbaar maakt waar kwetsbaarheden zitten voordat deze zich uiten in incidenten, verstoringen of datalekken

Ondersteuning WTW bij de realisatie van een volwassen niveau van digitale weerbaarheid

Veel fondsen herkennen de urgentie van DORA, maar worstelen met de praktische vertaalslag. Wat is proportioneel? Hoe diep moet je gaan? Wat is voldoende bewijs? En hoe houd je als bestuur grip op een keten die je niet volledig zelf beheert? WTW ondersteunt pensioenfondsen in deze transitie door het onderwerp terug te brengen naar waar het thuishoort: bestuurlijke sturing en aantoonbare beheersing. We helpen bij het ontwikkelen van een proportioneel DORA framework, het inrichten van governance, het opstellen en beoordelen van exit scenario’s, het ontwerpen van risico analyses en het professionaliseren van aantoonbaarheid. Daarbij vertalen we de wetgeving naar een praktische toepassing binnen de context van uw fonds.

Wij helpen pensioenfondsen graag om inzichtelijk te maken waar ze staan en welke stappen nodig zijn om de digitale weerbaarheid te versterken. Mocht u interesse hebben neem dan contact op met Marieke Wessels of Gerrit Liefers